RAR Archive
| Format | RAR Archive |
|---|---|
| Kurzname | RAR |
| Kategorie | Archiv |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Das RAR-Archivformat (Versionen 1.5–4.x und 5.0): Header mit Dateinamen, Größen, Änderungszeit (optional auch Erstellungs- und Zugriffszeit) und Attributen; RAR 5.0 speichert Zeiten als Unix-Zeit (optional mit Nanosekunden) oder Windows-FILETIME. Unterstützt Solid-Kompression, mehrteilige Archive und Recovery Records. RAR 5.0 verwendet AES-256 mit PBKDF2, RAR 3.x–4.x AES-128, RAR 2.x nutzte ein proprietäres Verschlüsselungsverfahren; die Verschlüsselung kann die Daten oder auch die Header umfassen. Bei verschlüsselten Headern sind sogar die Dateinamen verborgen. Selbstentpackende Archive (SFX) tragen die RAR-Signatur nicht an Offset 0, sondern nach einem ausführbaren Modul, und werden daher zunächst als ausführbare Dateien erkannt.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 52 61 72 21 1A 07 00 | Rar!... | Signatur von RAR 1.5–4.x |
| Offset 0 (0x0) | 52 61 72 21 1A 07 01 00 | Rar!.... | Signatur von RAR 5.0 |
| Offset unbekannt | 52 45 7E 5E | RE~^ | Signatur von RAR-Versionen vor 1.5 (spärlich dokumentiert) |
Bekannte Dateiendungen
.rar, .r00
Referenzen
- RAR 5.0 archive format (RARLAB) https://www.rarlab.com/technote.htm
- ForensicsWiki — RAR https://forensics.wiki/rar/
Diesen Eintrag zitieren
Crush-Format-Referenz, „RAR Archive“. https://kalink0.github.io/crush-forensics/formats/de/rar/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden