Gzip Compressed Data
| Format | Gzip Compressed Data |
|---|---|
| Kurzname | gzip |
| Kategorie | Archiv |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (GzipVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Verlustfreies Kompressionsformat für einzelne Dateien mit DEFLATE (RFC 1951), definiert in RFC 1952. Erkennbar an den Magic Bytes 0x1F 0x8B an Offset 0. Der 10-Byte-Header enthält: Kompressionsmethode (CM=8 für DEFLATE), Flags (FNAME, FCOMMENT, FEXTRA, FHCRC), mtime (4-Byte-Unix-Zeitstempel der Originaldatei; forensisch bedeutsam, kann zeigen, wann die Quelldatei zuletzt geändert wurde; 0, wenn nicht verfügbar, z. B. wenn ein Stream komprimiert wurde oder Name/Zeit unterdrückt wurden), OS-Byte (identifiziert das Betriebssystem, das die Datei erstellt hat: 0=FAT, 3=Unix, 7=Mac, 11=NTFS) und optional den ursprünglichen Dateinamen (Flag FNAME). 8-Byte-Footer: CRC-32 der unkomprimierten Daten und ursprüngliche Dateigröße (modulo 2^32). Forensisch häufig als: Log-Rotation unter Linux (.gz), komprimierte Kernel und Ramdisks in Android-Boot-Images (vor allem ältere Geräte), sysdiagnose-Archive von iOS/macOS (.tar.gz), Content-Encoding im Netzwerkverkehr und Datenbank-Backups. Mehrere gzip-Member können in einer einzigen .gz-Datei aneinandergehängt sein. OS-Byte und mtime können die Ursprungsplattform und das Alter der Quelldatei zeigen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 1F 8B 08 | ... | Gzip-Magic-Number (ID1=0x1F, ID2=0x8B) und Kompressionsmethode 8 (DEFLATE) |
Bekannte Dateiendungen
.gz, .tgz
Referenzen
- GZIP file format specification (RFC 1952) https://www.rfc-editor.org/rfc/rfc1952.html
- Gzip format overview (Wikipedia) https://en.wikipedia.org/wiki/Gzip
- Gzip format (Library of Congress) https://www.loc.gov/preservation/digital/formats/fdd/fdd000599.shtml
- Gzip (ForensicsWiki) https://forensics.wiki/gzip/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Gzip Compressed Data“. https://kalink0.github.io/crush-forensics/formats/de/gzip/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden