Impronte senza estrarre
MD5, SHA-1 e SHA-256 di una voce, calcolati decomprimendola in memoria: il contenuto non viene mai scritto su disco. Si documenta un archivio sospetto senza materializzarlo.
Ispezione
Archivi
Il modulo Archivi apre ZIP, 7z, TAR, CAB, ISO e installatori e ne mostra il contenuto senza estrarre nulla. Calcola le impronte delle singole voci senza scriverle su disco, confronta il CRC dichiarato con quello ricalcolato e dice ciò che il gestore di archivi del sistema tace: perché un archivio non si apre, quale nome è scritto davvero, quando le date non tornano.
Cosa fa
Cosa fa il modulo Archivi
CRC dichiarato contro ricalcolato
Voce per voce, il CRC-32 registrato nell'archivio è confrontato con quello ricalcolato: l'integrità interna del contenitore, con la stessa logica dell'hash di acquisizione di un'immagine E01.
Tutte le date, con la provenienza
Uno ZIP porta il DOS time (2 secondi di risoluzione, ora locale senza fuso) e spesso anche gli extra field NTFS o Unix in UTC. Probatio li mostra entrambi e segnala quando divergono.
Il nome come sequenza di byte
Letture UTF-8, CP437 e CP850 affiancate, i byte grezzi in esadecimale e lo stato del bit 11, che dichiara se il nome è UTF-8. Probatio non sceglie per te una lettura sola.
«Explorer aprirà questo archivio?»
Una diagnosi con soglie misurate, non dedotte: da 260 caratteri nel nome di una voce Explorer rifiuta l'archivio; fra 257 e 259 lo apre vuoto, senza alcun errore. E ancora metodi non supportati, AES-256, caratteri riservati, UTF-8 non dichiarato e collegamenti simbolici, con i codici d'errore reali.
Archivi frazionati e annidati
I set tagliati a byte (.7z.001, .zip.001…) si aprono come se fossero interi, partendo da un pezzo qualsiasi e senza ricomporli su disco; un pezzo mancante è indicato per nome. Un archivio dentro un archivio si sfoglia fino a tre livelli.
Niente sparisce in silenzio
Ciò che non viene estratto — un nome che il sistema rifiuta, un rapporto di compressione fuori scala, un percorso che usciva dalla destinazione — compare in un elenco, con il motivo accanto a ogni voce. Una voce cifrata è detta cifrata, non liquidata come archivio rotto.
Parsing isolato
Zip slip, nomi di dispositivo riservati, flussi alternativi NTFS e bombe di decompressione, comprese quelle non ricorsive, sono intercettati. La lettura avviene in un sottoprocesso separato con limiti di tempo; su macOS anche senza rete e senza possibilità di avviare altri programmi.
Rapporto PDF
Rapporto orizzontale con l'impronta dell'archivio esaminato, l'elenco delle voci, i rilievi e la diagnosi di compatibilità.
Passo per passo
Come funziona
- Trascina un archivio: il formato si riconosce dai byte, non dall'estensione.
- Sfoglia l'albero a colonne (dimensione, compressione, date) e seleziona una voce per impronte, CRC, date, letture del nome, anteprima e YARA.
- Estrai solo ciò che serve, file o cartelle: accanto all'archivio, allo stesso livello o in una cartella a scelta. Il percorso finale è mostrato prima di estrarre.
- Genera il rapporto PDF.
FAQ
Domande frequenti
Perché Windows dice «la cartella compressa non è valida» su un archivio corretto?
Esplora risorse ha limiti propri: rifiuta nomi di voce da 260 caratteri in su, non gestisce metodi diversi da Stored e Deflate né la cifratura AES, e fra 257 e 259 caratteri mostra l'archivio vuoto senza errori. Il modulo Archivi dice quale di questi casi si applica, voce per voce.
Posso calcolare l'hash di un file dentro uno ZIP senza estrarlo?
Sì: la voce viene decompressa in memoria e se ne calcolano MD5, SHA-1 e SHA-256, senza scriverla su disco. Per voci molto grandi conviene estrarla e usare il modulo Hash.
Apre i file RAR?
No, per una ragione di licenza e non tecnica: l'unica implementazione disponibile deriva dal sorgente UnRAR, con una licenza incompatibile con Probatio. Il file viene riconosciuto e l'app lo dice esplicitamente, invece di farlo sembrare danneggiato.
Estrarre un archivio altera il reperto?
L'archivio non viene modificato, ma materializzare migliaia di file cambia il disco e porta su filesystem contenuto potenzialmente ostile. Per questo Probatio permette di documentare contenuto e impronte senza estrarre, e di estrarre solo le voci che servono.
Moduli correlati