Как искать и читать сигнатуры?

не пойму чо за нах. Вот тут написано что hexedit должен искать в таком формате

Ctrl-S Hexa string to search: ffd8ffe1

https://medium.com/@danieljcrteixeira/forensic-and-incident-response-cont-3bcd8e4273d

Но у меня не ищет

Тебе нужен нормальный HEX-редактор, в Windows очень классный – HxD, его можно запускать и под Wine в твоём дистрибутиве.

Увы, но как выяснилось, под Linux-дистрибутивы нормальных HEX-редакторов – нет, исключением является развечто проприетарный и коммерческий 010 Editor.

Вариант, наполненный болью и компромиссами – Okteta.

спасибо. лан, у меня на работе винда стоит, не буду заморачиваться тогда

каким-нибудь пыхутоном может. с готовым софтом плохо.

man file

Можно сорцы этого file посмотреть. Он точно умеет сигнатуры читать.

Конкретно для такой ерунды, mcview более чем достаточно.

https://ibb.co/99L1PfY

Скорее всего дело в редакторе, под пингвина с ними весьма плохо.

mcview скачать

Matt Maltese Less and Less - скачать песню бесплатно и …

Не удивляет, что у тебя ничего не вышло. Хоть-бы на скриншот как следует посмотрел.

mcview - это просмотрщик, «встроенный» в Midnight commander.

сорри. подскажи плз, как его там включить? навигацию я там знаю. Вот у меня выделена в списке картинка, дальше что делать?

Мне надо в коде это смотреть а не просто вывести

все, нашел методом тыка.но он кажется кодировки неверно отображает. Виду такую хрень: ^@^@

короче f4 его включает. как отоброжать кодировку верную для бинарного представления jpeg?

Не дальше, а самым первым делом, не только в MC, в любой программе, жмешь «F1» - читаешь справку. Внизу окна MC подсказка, какие команды выполняются при нажатии первых десяти F-кнопок.

Ставишь указатель на файл. Жмешь «F3», чтобы этот файл открылся в просмотрщике. В зависимости от типа файла, могут сработать «встроенные ассоциации» и откроется в другой «ассоциированной программе». В этом случае открываешь по сочетанию клавиш «shift+F3». Откроется как «обычный файл». Опять смотришь подсказку внизу панелей. Жмешь «F4», чтобы переключился в «шестнадцатиричный вид»

это уже проехали. с кодировками чо?

Чо? Ты не туда едешь. Как всегда, хотя-бы прочитай. А кодировки меняются по «alt+e». Но это совсем другая песня.

Что такое «кодировка для бинарного представления jpeg»?

P.S.

Виду такую хрень: ^@^@

Потому что по F4 открыл, а не по Shift-F3.

все я нашел это надо было открывать в «просмотрщике» по f3

как конкретно вводить в строку поиска, по какой маске, чтобы сигнатуру найти?

0xFF 0xD9 - вот это чтобы найти что надо писать в строке поиска?

*ить, в скриншот хоть глянь, я тебе только для этого его рисовал. Нехера тебе делать «шестнадцатиричном мире», ни букв, ни картинок не видишь.

помоги плз. мы уже на последнем шаге:) я все нашел только формат строки поиска теперь надо задать

как конкретно вводить в строку поиска, по какой маске, чтобы сигнатуру найти?

0xFF 0xD9 - вот это чтобы найти что надо писать в строке поиска?

И какой вид поиска при этом выбирать, там есть опции «обычный», «шестнадцетиречный», «по шаблону» и прочее

а, то есть надо полностью ввводить 8 символов с пробелом, по части он не ищет? Щас попробую

в общем 0xff 0xd9 не нашел.

понять хотя бы как надо вводить

А может быть такое что там этой сингнатуры вообще нет?

Верхний правый угол скриншота. Только у меня там «d8 ff». Видно, что шаблон выбран «шестнадцатиричный». В нижнем правом углу выполнен поиск «JFIF» в текстовом виде.

Вот только что в mc сделал на первом попавшемся jpeg-e F3 (вызов mcview), F4 (переключение на 16-ричку), F7 (поиск), выбрал режим «Шестнадцатиричный», ввёл FF D9 (именно в таком порядке и с пробелом между байтами) — благополучно нашёлся маркер в конце файла.

Если ты делал так же, то либо это не JPEG, либо он битый.

P.S. И да, если во время работы mcview (но не при открытом диалоге поиска) нажать F1, оно показывает справку С ПРИМЕРОМ 16-ричного поиска.

А глаза тебе начто?

JFIF у меня ищет.

Я что то не совсем понял как сделать выбор шестнадцатиричного шаблона. Я когда открываю окно поиска, ввожу 0xff 0xd9 а потом стрелкой вниз выбираю шестнадцетиричный и жму enter, вероятно он не выбирается, это надо как то отдельно ставить опцию, да?

выбрал режим «Шестнадцатиричный»

Вот это как ты делаешь?

а потом стрелкой вниз выбираю шестнадцетиричный и жму enter

В порядке бреда — после стрелок, но до Энтера нажми ещё пробел, чтобы нужный режим реально выбрался (можно, кстати, и мышью, если она у тебя в mc работает).

Ура, получилось, спасибо!

Говоришь так будто бы это стандартный способ выбора опции нажать пробел, ага:)

В TUI-программах — довольно-таки стандартный.

Ну и тыканье мышью с большой вероятностью тоже должно работать, по крайней мере, в эмуляторе терминала, даже через SSH. Тогда пробел не нужен.

P.S. И даже в гуёвых программах, если по чекбоксам ходить табуляцией, пробел их триггерит, вот только что на своей кутешной программе проверил. Правда, к radio buttons (полям однозначного выбора) это не относится, там текущий пункт автоматически следует за стрелкой.

Это стандартный. А вот "«мышиный способ» выглядит весьма курьезно.

А в GUI ты чекбоксы чем устанавливаешь?

Ммм, на 386dx NC c той же фишкой был. Переключения параметра пробелом или мышкой, а мышка ёк.

Я и говорю — стандарт для TUI (и с оговоркой для GUI).

А с каких пор программа file стала с закрытыми исходниками?

то есть ты мне предлагаешь ее переписывать? lol

fq https://github.com/wader/fq

Tool, language and decoders for working with binary data.

fq is inspired by the well known jq tool and language and allows you to work with binary formats the same way you would using jq. In addition it can present data like a hex viewer, transform, slice and concatenate binary data. It also supports nested formats and has an interactive REPL with auto-completion.