XAR Archive
| Format | XAR Archive |
|---|---|
| Kurzname | XAR |
| Kategorie | Archiv |
| Plattformen | macOS |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Das eXtensible-ARchive-Format, verwendet von Flat-Installer-Paketen (.pkg) unter macOS, XIP-Archiven und einigen anderen Artefakten der Software-Distribution von Apple; ältere Bundle-.pkg-Pakete sind stattdessen Verzeichnisse. Ein XAR-Archiv besteht aus einem binären Big-Endian-Header, einem zlib-komprimierten XML-Inhaltsverzeichnis (TOC) und einem Heap mit den archivierten Dateidaten. Das TOC kann Pfade, Dateitypen, Eigentümer, Berechtigungen, Zeitstempel, Größen sowie Prüfsummen pro Datei für den archivierten und den extrahierten Zustand enthalten und liefert damit nützliche Metadaten für forensische Analysen und Integritätsvergleiche. Signierte XAR-Archive referenzieren aus dem TOC die im Heap gespeicherten Signaturdaten; das TOC bettet auch die zugehörige X.509-Zertifikatskette ein. Bei Installer-Paketen kann das TOC daher sowohl Metadaten über den Paketinhalt als auch Informationen zur Prüfung von Integrität und Herkunft des Pakets liefern.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 78 61 72 21 | xar! | XAR-Signatur 'xar!' |
Bekannte Dateiendungen
.pkg, .xar, .xip
Referenzen
- xar format (mackyle/xar wiki) https://github.com/mackyle/xar/wiki/xarformat
- xar source (Apple Open Source) https://github.com/apple-oss-distributions/xar
Diesen Eintrag zitieren
Crush-Format-Referenz, „XAR Archive“. https://kalink0.github.io/crush-forensics/formats/de/xar/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden