ZIP Comment — Données dans les archives

Cachettes ZIP

Une archive ZIP peut cacher de l'information dans son champ commentaire (en fin de fichier), dans des fichiers ajoutés après le central directory, ou en concaténant le ZIP à un autre fichier (polyglotte image+zip).

Inspection & extraction

# Lire le commentaire et la structure
unzip -z archive.zip          # affiche le commentaire
zipinfo archive.zip

# Données appended / ZIP concaténé
binwalk archive.png           # détecte un ZIP en fin de fichier
binwalk -e archive.png        # extrait

# ZIP protégé par mot de passe -> brute force
zip2john archive.zip > h ; john h

Indices

Une image dont la taille est anormalement grande peut contenir un ZIP appended (renommer en .zip et tenter unzip). Le commentaire ZIP est souvent négligé par les analystes — toujours le vérifier.