contrib/file/magic/Magdir/windows

   1
   2 #------------------------------------------------------------------------------
   3 # $File: windows,v 1.4 2009/09/19 16:28:13 christos Exp $
   4 # windows:  file(1) magic for Microsoft Windows
   5 #
   6 # This file is mainly reserved for files where programs
   7 # using them are run almost always on MS Windows 3.x or
   8 # above, or files only used exclusively in Windows OS,
   9 # where there is no better category to allocate for.
  10 # For example, even though WinZIP almost run on Windows
  11 # only, it is better to treat them as "archive" instead.
  12 # For format usable in DOS, such as generic executable
  13 # format, please specify under "msdos" file.
  14 #
  15
  16
  17 # Summary: Outlook Express DBX file
  18 # Extension: .dbx
  19 # Created by: Christophe Monniez
  20 0       string  \xCF\xAD\x12\xFE        MS Outlook Express DBX file
  21 >4      byte    =0xC5                   \b, message database
  22 >4      byte    =0xC6                   \b, folder database
  23 >4      byte    =0xC7                   \b, account information
  24 >4      byte    =0x30                   \b, offline database
  25
  26
  27 # Summary: Windows crash dump
  28 # Extension: .dmp
  29 # Created by: Andreas Schuster (http://computer.forensikblog.de/)
  30 # Reference (1): http://computer.forensikblog.de/en/2008/02/64bit_magic.html
  31 # Modified by (1): Abel Cheung (Avoid match with first 4 bytes only)
  32 0       string          PAGE
  33 >4      string          DUMP            MS Windows 32bit crash dump
  34 >>0x05c byte            0               \b, no PAE
  35 >>0x05c byte            1               \b, PAE
  36 >>0xf88 lelong          1               \b, full dump
  37 >>0xf88 lelong          2               \b, kernel dump
  38 >>0xf88 lelong          3               \b, small dump
  39 >>0x068 lelong          x               \b, %ld pages
  40 >4      string          DU64            MS Windows 64bit crash dump
  41 >>0xf98 lelong          1               \b, full dump
  42 >>0xf98 lelong          2               \b, kernel dump
  43 >>0xf98 lelong          3               \b, small dump
  44 >>0x090 lequad          x               \b, %lld pages
  45
  46
  47 # Summary: Vista Event Log
  48 # Extension: .evtx
  49 # Created by: Andreas Schuster (http://computer.forensikblog.de/)
  50 # Reference (1): http://computer.forensikblog.de/en/2007/05/some_magic.html
  51 0       string          ElfFile\0       MS Windows Vista Event Log
  52 >0x2a   leshort         x               \b, %d chunks
  53 >>0x10  lelong          x               \b (no. %d in use)
  54 >0x18   lelong          >1              \b, next record no. %d
  55 >0x18   lelong          =1              \b, empty
  56 >0x78   lelong          &1              \b, DIRTY
  57 >0x78   lelong          &2              \b, FULL
  58
  59
  60 # Summary: Windows 3.1 group files
  61 # Extension: .grp
  62 # Created by: unknown
  63 0       string          \120\115\103\103        MS Windows 3.1 group files
  64
  65
  66 # Summary: Old format help files
  67 # Extension: .hlp
  68 # Created by: Dirk Jagdmann <doj@cubic.org>
  69 0       lelong          0x00035f3f              MS Windows 3.x help file
  70
  71
  72 # Summary: Hyper terminal
  73 # Extension: .ht
  74 # Created by: unknown
  75 0       string          HyperTerminal\
  76 >15     string          1.0\ --\ HyperTerminal\ data\ file      MS Windows HyperTerminal profile
  77
  78
  79 # Summary: Windows shortcut
  80 # Extension: .lnk
  81 # Created by: unknown
  82 0       string          \114\0\0\0\001\024\002\0\0\0\0\0\300\0\0\0\0\0\0\106    MS Windows shortcut
  83
  84
  85 # Summary: Outlook Personal Folders
  86 # Created by: unknown
  87 0       lelong          0x4E444221      Microsoft Outlook email folder
  88 >10     leshort         0x0e            (<=2002)
  89 >10     leshort         0x17            (>=2003)
  90
  91
  92 # Summary: Windows help cache
  93 # Created by: unknown
  94 0       string          \164\146\115\122\012\000\000\000\001\000\000\000        MS Windows help cache
  95
  96
  97 # Summary: IE cache file
  98 # Created by: Christophe Monniez
  99 0       string  Client\ UrlCache\ MMF   Internet Explorer cache file
 100 >20     string  >\0                     version %s
 101
 102
 103 # Summary: Registry files
 104 # Created by: unknown
 105 # Modified by (1): Joerg Jenderek
 106 0       string          regf            MS Windows registry file, NT/2000 or above
 107 0       string          CREG            MS Windows 95/98/ME registry file
 108 0       string          SHCC3           MS Windows 3.1 registry file
 109
 110
 111 # Summary: Windows Registry text
 112 # Extension: .reg
 113 # Submitted by: Abel Cheung <abelcheung@gmail.com>
 114 0       string          REGEDIT4\r\n\r\n        Windows Registry text (Win95 or above)
 115 0       string          Windows\ Registry\ Editor\
 116 >&0     string          Version\ 5.00\r\n\r\n   Windows Registry text (Win2K or above)
 117
 118
 119 # From: Pal Tamas <folti@balabit.hu>
 120 # Autorun File
 121 0       string/c          [autorun]\r\n   Microsoft Windows Autorun file.
 122 !:mime  application/x-setupscript.