软件从业者工具箱

功能说明

绝大多数二进制文件格式都会在开头写入一段固定的标识字节，业内称为 Magic Bytes（魔数）或文件签名。例如 PNG 文件永远以 89 50 4E 47 0D 0A 1A 0A 开头，其中 50 4E 47 正是 ASCII 的 PNG 三个字母。本工具读取你选择的文件头部字节，与内置的三十余条签名规则逐条比对，给出真实类型判断、置信度评分与完整的十六进制转储。所有读取通过 FileReader 在本地完成，文件不会上传到任何服务器。

为什么不能只看扩展名

扩展名只是文件名的一部分，任何人都可以随手改掉，它不代表文件的真实内容。把 trojan.exe 改名成 photo.jpg，扩展名会骗过肉眼，但文件头的 4D 5A（即 ASCII 的 MZ，DOS 可执行文件标识）骗不了人。这正是文件上传接口必须做服务端魔数校验的原因——只校验扩展名或前端 MIME 类型是典型的安全漏洞，因为两者都可以被客户端任意伪造。

置信度是怎么算的

评分主要看三个因素：签名越长越可信（八字节的 PNG 签名比两字节的 4D 5A 可靠得多，因为随机数据撞上八字节特定序列的概率是二的六十四次方分之一）；需要同时匹配多处特征的规则加分（如 WAV 要求开头是 RIFF 且第 8 字节起是 WAVE）；扩展名与识别结果吻合再小幅加分。当多条规则同时命中时，工具会按分数从高到低全部列出，方便你自行判断。

关于误判的坦诚说明

魔数识别不是万无一失的，以下几类情况需要特别留意。

容器格式共用签名：DOCX、XLSX、PPTX、JAR、APK、EPUB、ODT 本质上都是 ZIP 压缩包，头部完全相同都是 50 4B 03 04。本工具会进一步读取 ZIP 第一个条目的文件名做二次判断（例如以 word/ 开头判定为 DOCX，以 xl/ 开头判定为 XLSX），但这依赖打包顺序，某些工具生成的文件可能把 [Content_Types].xml 排在最前，此时只能给出「ZIP 或基于 ZIP 的文档」这一较宽泛的结论。RIFF 家族的 WAV、AVI、WEBP 同理，靠第 8 字节起的四字节子类型区分。

短签名易误报：4D 5A（EXE）与 42 4D（BMP）都只有两字节，任何二进制数据开头恰好是这两个字节都会被命中，置信度因此被压低。无签名格式无法识别：纯文本、CSV、HTML、JSON、SVG、部分 TAR 与老式 MP3 并没有可靠魔数，本工具会尝试识别 BOM 与可打印字符比例给出「疑似文本」的提示，但不会武断下结论。偏移量陷阱：TAR 的 ustar 位于第 257 字节，MP4 的 ftyp 位于第 4 字节，所以工具默认读取 512 字节而非仅仅头部几个字节。

结论是：识别结果应当作为参考与线索，安全敏感场景请结合完整解析、沙箱验证与病毒扫描共同判断，不要仅凭本工具的输出就认定文件安全。

使用场景

排查下载文件损坏或类型不符、分析改过后缀的可疑文件、验证文件上传接口的服务端校验是否可靠、CTF 取证题中的文件头修复、以及学习二进制格式结构。