Extensión falsa y firmas de archivo

Muchos formatos empiezan con unos pocos bytes fijos, su firma o número mágico. Un PNG arranca con 89 50 4E 47 0D 0A 1A 0A, un JPEG con FF D8 FF, un PDF con 25 50 44 46 (las letras «%PDF») y un ZIP con 50 4B 03 04 (las letras «PK»). Un programa de identificación de tipos lee esos bytes y no mira la extensión.

Por eso la extensión sola no demuestra nada: se cambia en un segundo. La firma tampoco es una prueba definitiva, porque también puede copiarse, pero una discrepancia entre las dos es motivo para mirar más.

Abre la estación y lee listado-de-tipos.csv: para cada archivo trae la extensión, los primeros ocho bytes y el tipo que indica esa cabecera. Busca el archivo con extensión de texto plano cuya cabecera es de contenedor ZIP: un texto de verdad empezaría con letras legibles, no con esa firma.

Los documentos de oficina modernos (los .docx y los .xlsx, por ejemplo) son en realidad contenedores ZIP con archivos XML dentro. Su cabecera es de ZIP y es lo correcto. En el listado hay un .docx en esa situación.

Cuando un archivo resulta ser un contenedor, el siguiente paso sigue siendo leer: listar sus miembros con nombre y tamaño, sin extraerlos ni ejecutar nada. La lista dice qué hay dentro y cuál de sus piezas pesa más, y con eso se decide qué se analiza primero. En la estación está contenido-del-contenedor.txt, el listado de miembros del archivo de la tarea 2.

La tentación es renombrar el archivo y abrirlo para ver qué es. Es justo lo que no se hace con el original: abrirlo con la aplicación asociada puede modificar sus fechas y sus metadatos, y si es algo más que un documento, puede ejecutarse. La secuencia segura es otra: trabajar sobre una copia verificada, identificar el tipo por la cabecera, listar el contenido y registrar cada paso.