流量与样本溯源43 条

附件类型鉴定与哈希

附件先判真实类型再看哈希：扩展名与文件头不一致（如 .doc 实为 PE 或压缩包）就是危险信号。

用途	确认邮件落地物的真身
步骤	file 认类型 → unzip/7z 试探 → 算哈希

鉴定

file attachment.doc
sha256sum attachment.doc
7z l attachment.doc 2>/dev/null | head

多层嵌套（压缩包内含 lnk/脚本）要逐层展开并逐层记录哈希。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌