ZIP Archive
| Format | ZIP Archive |
|---|---|
| Kurzname | ZIP |
| Kategorie | Archiv |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (ZipVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Allgegenwärtiges Archivformat und Grundlage vieler höherer Formate: APK (Android-Apps), IPA (iOS-Apps), DOCX/XLSX/PPTX (Office Open XML), JAR (Java) und viele andere sind ZIP-Archive mit einer bestimmten internen Struktur. Doppelte Verzeichnisstruktur: Local File Headers stehen vor den Daten jedes Eintrags, das Central Directory am Dateiende ist der maßgebliche Index. Abweichungen zwischen beiden können auf Manipulation, Polyglot-Dateien oder Malware hindeuten. Das Kommentarfeld des EOCD (End of Central Directory) kann versteckte Daten, Tracker-IDs oder Malware-Markierungen enthalten; die letzten 64KB nach der EOCD-Magic durchsuchen. Zeitstempel verwenden das DOS-Datums-/Zeitformat: 2 Sekunden Genauigkeit, Ortszeit, keine Zeitzoneninformation. Für eine genaue forensische Zeitlinie unzuverlässig, sofern nicht Extra Fields UTC-Zeiten ergänzen (0x5455 Extended Timestamp, 0x000A NTFS-Zeiten für Änderung/Zugriff/Erstellung). APK-spezifisch: Der APK Signing Block v2+ wird zwischen dem letzten Local File Header und dem Central Directory eingefügt; sein Vorhandensein zeigt eine moderne Android-Signatur. Unterschiede in der ZIP-Struktur (Ersteller-OS, Version des Kompressors, Extra Fields) können helfen, das Tool oder Betriebssystem zu bestimmen, mit dem das Archiv erstellt wurde. Verschlüsselung: ZipCrypto (Legacy, schwach, Known-Plaintext-Angriff möglich) oder WinZip AES (128/192/256 Bit, stark). Standard-ZIP ist auf 4GB begrenzt, für größere Archive ist die ZIP64-Erweiterung nötig.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 50 4B 03 04 | PK.. | Signatur des ZIP Local File Header ('PK\x03\x04') |
| Offset 0 (0x0) | 50 4B 05 06 | PK.. | Leeres Archiv (nur End of Central Directory Record) |
| Offset 0 (0x0) | 50 4B 07 08 50 4B 03 04 | PK..PK.. | Erstes Segment eines geteilten/übergreifenden Archivs (Span-Signatur, gefolgt von einem Local File Header) |
| Offset unbekannt | 50 4B 05 06 | PK.. | End of Central Directory Record in den letzten 64 KB der Datei |
Bekannte Dateiendungen
.zip, .apk, .ipa, .jar, .docx, .xlsx, .pptx
Referenzen
- ZIP format specification (PKWARE APPNOTE) https://pkware.cachefly.net/webdocs/casestudies/APPNOTE.TXT
- ZIP format overview (Wikipedia) https://en.wikipedia.org/wiki/ZIP_(file_format)
- File fingerprinting of the ZIP format for identifying and tracking provenance (FSI: Digital Investigation, 2021) https://www.sciencedirect.com/science/article/abs/pii/S266628172100189X
- An Android Package is no Longer a ZIP — APK Signing Block (Fortinet, 2018) https://www.fortinet.com/blog/threat-research/an-android-package-is-no-longer-a-zip
- ForensicsWiki — ZIP format https://forensics.wiki/zip/
Diesen Eintrag zitieren
Crush-Format-Referenz, „ZIP Archive“. https://kalink0.github.io/crush-forensics/formats/de/zip/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden