파일 속 숨은 파일 찾기·꺼내기

사진 뒤에 ZIP을 붙여 숨기는 흔한 방법도 바로 찾아요. 찾은 파일은 눌러서 저장하세요.

파일은 서버로 전송되지 않고 내 기기에서만 처리돼요

파일을 놓거나 눌러서 고르세요이미지·펌웨어·문서·아무 파일 · 기기 밖으로 나가지 않아요

파일을 고르면 결과가 여기에 나와요.

약한 서명도 찾기 (MZ·BMP·MP3 프레임 등, 오탐 많음)

파일 안에 다른 파일이 숨어 있을 때

사진 파일 뒤에 ZIP 파일을 그대로 이어 붙여도 사진은 평소처럼 열려요. 사진 뷰어는 사진 부분만 읽고 뒤는 무시하기 때문이에요. 펌웨어 파일도 여러 개의 압축 파일·파일 시스템·이미지를 한 덩어리로 묶어 둔 경우가 많아요. 이 도구는 오픈소스 분석 도구 binwalk처럼 파일 전체를 처음부터 끝까지 훑으며 알려진 파일 서명(매직 넘버, 예: PNG는 89 50 4E 47 0D 0A 1A 0A, ZIP은 50 4B 03 04)을 찾아 목록으로 보여 주고, 원하는 부분을 따로 저장하게 해 줘요.

끝 위치는 이렇게 계산해요

서명만으로는 시작만 알 수 있어서, 형식마다 구조를 읽어 끝을 구해요. PNG는 청크를 따라가 IEND까지, JPEG는 마커를 따라가 이미지 끝(FFD9)까지, GIF는 블록을 따라가 끝 표시(3B)까지, ZIP은 ‘중앙 디렉터리 끝’ 레코드와 주석 길이까지, PDF는 마지막 %%EOF까지, WAV·WEBP(RIFF)·BMP·SQLite·7z는 머리에 적힌 크기로 계산해요. 끝을 알 수 없는 형식(GZIP, RAR, ELF 등)은 다음에 찾은 항목 바로 앞이나 파일 끝까지 저장하고, 표에 그렇게 표시해요. 서명이 맞아도 구조가 맞지 않으면 우연히 같은 바이트로 보고 건너뛰어요. 2바이트짜리 짧은 서명(MZ, BM, MP3 프레임)은 오탐이 많아 ‘약한 서명도 찾기’를 켰을 때만 찾아요.

엔트로피 그래프 읽기

엔트로피는 바이트 값이 얼마나 고르게 섞였는지를 0~8(비트/바이트)로 나타내요. 글자나 표 데이터는 보통 4~5, 실행 코드는 5~6, 압축되거나 암호화된 데이터는 7.9 가까이 나와요. 그래프에서 갑자기 8 근처로 올라가는 평평한 구간은 압축·암호화 데이터, 0 근처는 비어 있는(0으로 채운) 구간이에요. 파란 세로선은 찾은 파일의 시작 위치예요.

쓰임과 주의

CTF·디지털 포렌식 연습 문제, 펌웨어 구조 공부, 손상된 파일에서 사진 건지기에 쓸 수 있어요. 꺼낸 파일이 실행 파일이면 열지 말고 내용만 확인하세요. 찾은 결과는 서명과 구조 검사에 기댄 추정이라 꺼낸 파일이 열리지 않을 수 있어요. 파일 전체를 메모리에 읽어서 처리하고, 서버로 보내지 않아요.

참고한 자료

자주 묻는 질문

사진 뒤에 붙은 ZIP을 꺼냈는데 비밀번호를 물어요.

ZIP에 비밀번호가 걸린 경우예요. 이 도구는 파일을 꺼내기만 하고 비밀번호는 풀지 않아요.

펌웨어의 SquashFS·UBI 같은 파일 시스템도 찾나요?

지금은 이미지·압축·문서·실행 파일 위주로 20여 가지를 찾아요. 파일 시스템은 아직 지원하지 않아요.

같은 위치에 ZIP 안의 파일이 여러 개 잡혀요.

압축하지 않고 저장된(STORED) 파일은 ZIP 안에서 원래 서명이 그대로 보여서 따로 잡혀요. 원래 ZIP만 저장하면 돼요.