Base de Magic Numbers (assinaturas de arquivos)

Consulte 70 assinaturas de arquivos (magic numbers) em 20 categorias, com offset, rodapé e observações periciais.

Os magic numbers são os primeiros bytes (e, às vezes, os últimos) que identificam o formato real de um arquivo, independentemente da extensão. São úteis na triagem de evidências, na recuperação de arquivos por carving e para detectar extensões trocadas. Busque por extensão, tipo, MIME ou pelo valor hexadecimal.

Observação pericial: magic numbers ajudam na triagem, mas não substituem a validação estrutural do arquivo. Alguns formatos compartilham a mesma assinatura, como ZIP, DOCX, XLSX, PPTX, APK, JAR e ODT.

Extensão	Tipo	Categoria	MIME	Offset	Magic Number inicial / offset	Rodapé / assinatura final	Observações periciais
jpg, jpeg, jpe	JPEG Image / JFIF	Imagem	image/jpeg	0	`FF D8 FF E0` `FF D8 FF E1` `FF D8 FF E8` `FF D8 FF DB`	`FF D9`	Pode iniciar com JFIF, EXIF, SPIFF ou quantization table. Rodapé padrão FF D9.
png	Portable Network Graphics	Imagem	image/png	0	`89 50 4E 47 0D 0A 1A 0A`	`49 45 4E 44 AE 42 60 82`	Rodapé corresponde ao chunk IEND.
gif	GIF 87a/89a	Imagem	image/gif	0	`47 49 46 38 37 61` `47 49 46 38 39 61`	`3B`	Rodapé 3B é o GIF trailer.
bmp	Bitmap Image	Imagem	image/bmp	0	`42 4D`	—	Assinatura ASCII BM.
tif, tiff	TIFF Image	Imagem	image/tiff	0	`49 49 2A 00` `4D 4D 00 2A` `49 49 2B 00` `4D 4D 00 2B`	—	II little-endian; MM big-endian; 2B indica BigTIFF.
webp	WebP Image	Imagem	image/webp	0 e 8	`52 49 46 46 .... 57 45 42 50`	—	RIFF no offset 0 e WEBP no offset 8.
ico	Windows Icon	Imagem	image/x-icon	0	`00 00 01 00`	—	Ícone Windows.
cur	Windows Cursor	Imagem	image/x-icon	0	`00 00 02 00`	—	Cursor Windows.
psd	Adobe Photoshop	Imagem	image/vnd.adobe.photoshop	0	`38 42 50 53`	—	ASCII 8BPS.
heic, heif	HEIF/HEIC Image	Imagem	image/heic	4	`66 74 79 70 68 65 69 63` `66 74 79 70 68 65 69 78` `66 74 79 70 6D 69 66 31`	—	Base ISO BMFF; assinatura ftyp no offset 4.
pdf	Portable Document Format	Documento	application/pdf	0	`25 50 44 46`	`25 25 45 4F 46`	Rodapé %%EOF. Pode haver bytes antes/depois em alguns casos.
doc, xls, ppt, msi, msg	OLE Compound File	Documento	application/vnd.ms-office	0	`D0 CF 11 E0 A1 B1 1A E1`	—	Usado por Office antigo, MSI, MSG e outros OLE.
docx, xlsx, pptx, odt, ods, odp, zip	ZIP / Office Open XML / OpenDocument	Documento/Compactado	application/zip	0	`50 4B 03 04` `50 4B 05 06` `50 4B 07 08`	`50 4B 05 06` `50 4B 06 06`	DOCX/XLSX/PPTX são ZIP com estrutura interna. Rodapé depende do diretório central; ZIP64 pode usar PK 06 06.
rtf	Rich Text Format	Documento	application/rtf	0	`7B 5C 72 74 66`	`7D`	Inicia com {\rtf e termina normalmente com }.
xml	XML Document	Documento/Web	application/xml	0	`3C 3F 78 6D 6C` `EF BB BF 3C 3F 78 6D 6C`	—	Pode iniciar com BOM UTF-8.
html, htm	HTML Document	Web	text/html	0	`3C 21 44 4F 43 54 59 50 45` `3C 68 74 6D 6C`	`3C 2F 68 74 6D 6C 3E`	Pode variar muito; assinatura textual.
eml	E-mail Message	E-mail	message/rfc822	0	`52 65 63 65 69 76 65 64 3A` `46 72 6F 6D 3A` `52 65 74 75 72 6E 2D 50 61 74 68 3A`	—	Assinatura depende do primeiro campo do cabeçalho.
pst	Outlook Personal Storage	E-mail	application/vnd.ms-outlook	0	`21 42 44 4E`	—	ASCII !BDN.
ost	Outlook Offline Storage	E-mail	application/vnd.ms-outlook	0	`21 42 44 4E`	—	Mesmo contêiner base do PST/OST.
mbox	Mailbox File	E-mail	application/mbox	0	`46 72 6F 6D 20`	—	Inicia linhas com 'From '.
zip	ZIP Archive	Compactado	application/zip	0	`50 4B 03 04` `50 4B 05 06` `50 4B 07 08`	`50 4B 05 06` `50 4B 06 06`	Fim pode ser EOCD normal ou ZIP64.
rar	RAR Archive	Compactado	application/vnd.rar	0	`52 61 72 21 1A 07 00` `52 61 72 21 1A 07 01 00`	—	Primeira é RAR 1.5-4.x; segunda é RAR 5.
7z	7-Zip Archive	Compactado	application/x-7z-compressed	0	`37 7A BC AF 27 1C`	—	Assinatura fixa no início.
gz, gzip	GZIP Archive	Compactado	application/gzip	0	`1F 8B 08`	`CRC32 + ISIZE`	Rodapé contém CRC32 e tamanho original, não uma assinatura fixa.
bz2	Bzip2 Archive	Compactado	application/x-bzip2	0	`42 5A 68`	`17 72 45 38 50 90`	Rodapé/end marker BZip2.
xz	XZ Archive	Compactado	application/x-xz	0	`FD 37 7A 58 5A 00`	`59 5A`	Final costuma terminar com YZ.
tar	Tape Archive	Compactado	application/x-tar	257	`75 73 74 61 72`	`00 00 ...`	Assinatura ustar no offset 257; final com dois blocos nulos.
cab	Microsoft Cabinet	Compactado	application/vnd.ms-cab-compressed	0	`4D 53 43 46`	—	ASCII MSCF.
dmg	Apple Disk Image	Imagem de disco	application/x-apple-diskimage	Final - 512	`78 01 73 0D 62 62 60`	`6B 6F 6C 79`	Assinatura 'koly' normalmente fica no trailer/final do arquivo.
iso	ISO 9660 CD/DVD Image	Imagem de disco	application/x-iso9660-image	32769	`43 44 30 30 31`	—	CD001 no volume descriptor, offset 0x8001.
mp3	MP3 Audio	Áudio	audio/mpeg	0	`49 44 33` `FF FB` `FF F3` `FF F2`	—	Pode iniciar com ID3 ou frame sync.
wav	WAVE Audio	Áudio	audio/wav	0 e 8	`52 49 46 46 .... 57 41 56 45`	—	RIFF no início e WAVE no offset 8.
flac	FLAC Audio	Áudio	audio/flac	0	`66 4C 61 43`	—	ASCII fLaC.
ogg, oga, ogv	Ogg Container	Áudio/Vídeo	application/ogg	0	`4F 67 67 53`	—	ASCII OggS.
m4a	MPEG-4 Audio	Áudio	audio/mp4	4	`66 74 79 70 4D 34 41` `66 74 79 70 69 73 6F 6D`	—	Base ISO BMFF; ftyp no offset 4.
aac	AAC ADTS Audio	Áudio	audio/aac	0	`FF F1` `FF F9`	—	ADTS syncword.
mid, midi	MIDI Audio	Áudio	audio/midi	0	`4D 54 68 64`	—	ASCII MThd.
mp4	MPEG-4 Video	Vídeo	video/mp4	4	`66 74 79 70 69 73 6F 6D` `66 74 79 70 6D 70 34 32` `66 74 79 70 4D 53 4E 56`	—	ftyp no offset 4; marcas variam.
mov	QuickTime Video	Vídeo	video/quicktime	4	`66 74 79 70 71 74 20 20` `6D 6F 6F 76`	—	QuickTime/ISO BMFF.
avi	AVI Video	Vídeo	video/x-msvideo	0 e 8	`52 49 46 46 .... 41 56 49 20`	—	RIFF + AVI no offset 8.
mkv, webm	Matroska/WebM	Vídeo	video/x-matroska	0	`1A 45 DF A3`	—	EBML container.
flv	Flash Video	Vídeo	video/x-flv	0	`46 4C 56`	—	ASCII FLV.
wmv, asf	ASF/Windows Media	Vídeo	video/x-ms-asf	0	`30 26 B2 75 8E 66 CF 11 A6 D9 00 AA 00 62 CE 6C`	—	GUID ASF header.
mpg, mpeg	MPEG Program Stream	Vídeo	video/mpeg	0	`00 00 01 BA` `00 00 01 B3`	`00 00 01 B9`	Pack/video sequence header; rodapé program end code.
exe, dll, sys	Windows PE Executable	Executável	application/vnd.microsoft.portable-executable	0	`4D 5A`	—	MZ header; PE header em offset indicado por e_lfanew.
elf	ELF Executable	Executável	application/x-elf	0	`7F 45 4C 46`	—	Linux/Unix ELF.
class	Java Class	Executável	application/java-vm	0	`CA FE BA BE`	—	Java bytecode.
dex	Android Dalvik Executable	Android	application/vnd.android.dex	0	`64 65 78 0A 30 33 35 00` `64 65 78 0A 30 33 37 00` `64 65 78 0A 30 33 38 00`	—	DEX versões variáveis.
apk	Android Package	Android	application/vnd.android.package-archive	0	`50 4B 03 04`	`50 4B 05 06` `50 4B 06 06`	APK é um ZIP com estrutura Android.
mach-o	Mach-O Binary	Apple/Executável	application/x-mach-binary	0	`FE ED FA CE` `FE ED FA CF` `CE FA ED FE` `CF FA ED FE` `CA FE BA BE`	—	Assinaturas 32/64-bit e universal/fat.
sqlite, sqlite3, db	SQLite Database	Banco de Dados	application/vnd.sqlite3	0	`53 51 4C 69 74 65 20 66 6F 72 6D 61 74 20 33 00`	—	ASCII SQLite format 3.
mdb	Microsoft Access MDB	Banco de Dados	application/x-msaccess	0	`00 01 00 00 53 74 61 6E 64 61 72 64 20 4A 65 74 20 44 42`	—	Access Jet DB.
accdb	Microsoft Access ACCDB	Banco de Dados	application/msaccess	0	`00 01 00 00 53 74 61 6E 64 61 72 64 20 41 43 45 20 44 42`	—	Access ACE DB.
dbf	dBASE Database	Banco de Dados	application/dbase	0	`03` `83` `8B` `8E`	`1A`	Assinatura varia conforme versão; EOF 1A.
evt	Windows Event Log antigo	Windows/Logs	application/octet-stream	0	`30 00 00 00 4C 66 4C 65`	—	Windows EVT.
evtx	Windows Event Log XML	Windows/Logs	application/octet-stream	0	`45 6C 66 46 69 6C 65 00`	—	ASCII ElfFile\0.
lnk	Windows Shortcut	Windows	application/x-ms-shortcut	0	`4C 00 00 00 01 14 02 00`	—	Windows Shell Link.
reg	Windows Registry Export	Windows	text/plain	0	`FF FE 57 00 69 00 6E 00` `57 69 6E 64 6F 77 73 20 52 65 67 69 73 74 72 79`	—	Pode estar em UTF-16LE com BOM ou ANSI/UTF-8.
vmdk	VMware Virtual Disk	Virtualização	application/x-vmdk	0	`4B 44 4D 56`	—	ASCII KDMV para sparse VMDK.
vdi	VirtualBox Disk Image	Virtualização	application/x-virtualbox-vdi	64	`7F 10 DA BE`	—	Assinatura em offset 0x40.
vhd	Virtual Hard Disk	Virtualização	application/x-vhd	Final - 512	`63 6F 6E 65 63 74 69 78`	`63 6F 6E 65 63 74 69 78`	Cookie 'conectix' no rodapé; em VHD fixo também pode estar no final.
vhdx	Virtual Hard Disk v2	Virtualização	application/x-vhdx	0	`76 68 64 78 66 69 6C 65`	—	ASCII vhdxfile.
pcap	Packet Capture	Rede	application/vnd.tcpdump.pcap	0	`D4 C3 B2 A1` `A1 B2 C3 D4` `4D 3C B2 A1` `A1 B2 3C 4D`	—	Varia por endian e precisão temporal.
pcapng	PCAP Next Generation	Rede	application/x-pcapng	0	`0A 0D 0D 0A`	—	Section Header Block.
torrent	BitTorrent Metadata	Rede	application/x-bittorrent	0	`64 38 3A 61 6E 6E 6F 75 6E 63 65`	`65`	Bencode; pode variar.
pem, crt, cer, key	PEM Certificate/Key	Criptografia	application/x-pem-file	0	`2D 2D 2D 2D 2D 42 45 47 49 4E`	`2D 2D 2D 2D 2D 45 4E 44`	BEGIN/END em texto Base64.
der, cer	DER Certificate	Criptografia	application/pkix-cert	0	`30 82`	—	ASN.1 DER; 30 82 também aparece em outros DER.
p12, pfx	PKCS#12 Certificate Bundle	Criptografia	application/x-pkcs12	0	`30 82`	—	ASN.1; exige análise estrutural para confirmar.
gpg, pgp	PGP/GPG Binary	Criptografia	application/pgp-encrypted	0	`85` `84` `99` `95`	—	Pacotes OpenPGP variam.
asc	ASCII Armor PGP	Criptografia	application/pgp-keys	0	`2D 2D 2D 2D 2D 42 45 47 49 4E 20 50 47 50`	`2D 2D 2D 2D 2D 45 4E 44 20 50 47 50`	BEGIN PGP / END PGP.

Base de Magic Numbers (assinaturas de arquivos)

Atendimento técnico em todo o Brasil

Cookies e privacidade