TrID - File Identifier

TrID è un utility per l'identificazione di binary files. Rispetto ad altre utilities simili, in grado di riconoscere ad esempio con che compilatore è stato prodotto un eseguibile, non ha nessuna regola hard-coded, ma è invece estensibile ed adattabile in modo molto pratico e, soprattutto, "automatico".

TrID infatti si basa solamente su un data base di definizioni che descrivono patterns ricorrenti specifici per ogni tipo di file riconosciuto. Il package con le definzioni viene aggiornato molto frequentamente e per questo è reso disponibile come download separato. E' comunque sufficente scaricare e decomprimere nella stessa directory entrambi gli archivi perchè TrID sia subito pronto all'uso.
Naturalmente, più ampio sarà l'insieme di definizioni disponibile, è più saranno accurate e dunque utili le analisi di TrID. Per questo motivo, saranno decisamente graditi contributi alla "causa" dell'identificazione! :-)
Vedere a questo proposito la sezione dedicata a TrIDScan, ovvero un modulo di TrID da utilizzare per produrre in modo molto semplice nuove definizioni, a partire da un insieme di files di un certo tipo.

In questo modo, penso si dovrebbe poter aggirare quello che forse è il difetto principale dei programmi di questo tipo: la rapida obsolescenza (e quindi incapacità di distinguere nuovi formati) in mancanza di sviluppo e supporto continui e puntuali.

La libreria di definizioni attuale è comunque già una delle più fornite (come si può vedere qui) e comprende 4002 file types.

L'utilizzo è semplicissimo. Basta lanciare TrID indicando il file da analizzare. TrID legge una sezione di quel file, e la confronta con tutte le definizioni presenti nella directory corrente.
I risultati vengono presentati in ordine di probabilità, oppure viene indicato l'unico match possibile se l'identificazione lascia dubbi:

C:\Trid>trid f:\test\doc\tutorial.doc TrID/32 - File Identifier v2.02 - (C) 2003-06 By M.Pontello           Collecting data from file: f:\test\doc\tutorial.doc Definitions found: 1959 Analyzing... 70.7% (.DOC) Microsoft Word document (58000/1/5) 29.3% (.) Generic OLE2 / Multistream Compound File (24000/1)

C:\TrID>trid f:\Download\AvBatEx.bav TrID/32 - File Identifier v2.02 - (C) 2003-06 By M.Pontello Collecting data from file: f:\Download\AvBatEx.bav Definitions found: 1959 Analyzing... 75.8% (.BAV) The Bat! Antivirus plugin (187530/5/21) 15.2% (.EXE) Win32 Executable MS Visual C++ (generic) (37706/45/16)  4.3% (.EXE) Win32 Executable Generic (10527/13/4) 3.1% (.DLL) Win32 Dynamic Link Library (generic) (7600/42/2) 0.8% (.EXE) Generic Win/DOS Executable (2002/3)

Si possono utilizzare i caratteri jolly in maniera da analizzare gruppi di files, intere directory, etc. Inoltre, usando lo switch -ae TrID aggiungerà ad ogni file l'estensione risultante dall'analisi. Un caso in cui questa possibilità può tornare utile è quando si ha a che fare con file prodotti da tool per il recupero dati (o anche il solito CHKDSK), a cui vengono assegnati nomi convenzionali in mancanza di dati più precisi. Per esempio:

C:\TrID>trid c:\temp\* -ae TrID/32 - File Identifier v2.02 - (C) 2003-06 By M.Pontello           Definitions found: 1969 Analyzing... File: c:\temp\FILE0001.CHK 75.8% (.BAV) The Bat! Antivirus plugin (187530/5/21) File: c:\temp\FILE0002.CHK 77.8% (.OGG) OGG Vorbis Audio (14014/3) File: c:\temp\FILE0003.CHK 86.0% (.DOC) Microsoft Word document (49500/1/4) File: c:\temp\FILE0004.CHK 42.6% (.EXE) UPX compressed Win32 Executable (30569/9/7) 4 file(s) renamed.

A questo punto i file nella directory c:\temp saranno diventati:

  FILE0001.CHK.bav
  FILE0002.CHK.ogg
  FILE0003.CHK.doc
  FILE0004.CHK.exe

E' anche possibile far mostrare a TrID alcune informazioni in più riguardo ad ogni match (come chi ha creato quella definizione, quanti files sono stati esaminati, etc.), oltre a poter indicare quanti risultati (al massimo) mostrare.
Lo switch -v attiva la modalità "verbose", mentre con -r:nn si indicano i risultati da visualizzare. Il default è di 5 per la modalità normale, e di 2 in quella più esaustiva.

C:\Trid>trid "f:\t\Windows XP Startup.ogg" -v -r:2 TrID/32 - File Identifier v2.02 - (C) 2003-06 By M.Pontello           Collecting data from file: f:\t\Windows XP Startup.ogg Definitions found: 1959 Analyzing... 77.8% (.OGG) OGG Vorbis Audio (14014/3) Author : Marco Pontello E-Mail : marcopon@nospam@myrealbox.com Home Page : http://mark0.net Definition : audio-ogg-vorbis.trid.xml Files : 35 22.2% (.OGG) OGG stream (generic) (4000/1) Author : Marco Pontello E-Mail : marcopon@nospam@myrealbox.com Home Page : http://mark0.net Definition : ogg-stream.trid.xml Files : 35

Appena lanciato TrID cerca di caricare il package con le definizioni TrIDDefs.TRD dalla directory corrente. Se non lo trova, passa a cercarlo nel path in cui TrID è installato. Eventualmente, è possibile specificare un package in particolare con lo switch -d:filespec. Per fare in modo che TrID attenda la pressione di un tasto dopo aver mostrato i risultati, invece, c'è lo switch -w.

Per ogni altra informazione o chiarimento potete contattarmi o dare un'occhiata al forum!

Download

Win32	TrID v2.02, 25KB ZIP
Linux/x86	TrID v2.00, 28KB ZIP
	TrIDDefs.TRD package, 492KB ZIP (4002 tipi di file, 28/08/10)

TrID's Definitions DB changes log feed!

Change Log TrID/32 v2.02 del 11/01/07: * Sistemato un bug nell'analisi di file oltre i 10MB di dimensione. TrID/32 v2.00 del 04/06/06: + Nuovo package per le definizioni dei vari filetype supportati. + Scansione di file multipli e possibilità di rinominarli. + Convertito in FreeBASIC. TrID/32 v1.56 del 22/12/04: + Indicazione percentuale durante il caricamento delle definizioni. + Modalità Quiet - non mostra i filetypes mentre vengono caricate le definizioni. TrID/32 v1.55 del 20/11/03: + Non viene più fatta distinzione tra maiuscole/minuscole per le stringhe caratteristiche. TrID/32 v1.50 del 15/11/03: + Migliorato il sistema di analisi, che ora può tener conto di stringhe caratteristiche (se presenti nelle definizioni) in aggiunta ai binary patterns in posizioni fisse. TrID/32 v1.23 del 13/08/03: + Modalità verbose, attivata con lo switch /V. + Possibilità di indicare il numero di risultati da mostrare, switch /R. TrID/32 v1.00 del 07/05/03: - Dopo un adeguato periodo di beta testing, viene rilasciata la prima versione stabile per la piattaforma Win32.