contrib/file/magic/Magdir/macintosh

   1
   2 #------------------------------------------------------------------------------
   3 # macintosh description
   4 #
   5 # BinHex is the Macintosh ASCII-encoded file format (see also "apple")
   6 # Daniel Quinlan, quinlan@yggdrasil.com
   7 11      string  must\ be\ converted\ with\ BinHex       BinHex binary text
   8 !:mime  application/mac-binhex40
   9 >41     string  x                                       \b, version %.3s
  10
  11 # Stuffit archives are the de facto standard of compression for Macintosh
  12 # files obtained from most archives. (franklsm@tuns.ca)
  13 0       string          SIT!                    StuffIt Archive (data)
  14 !:mime  application/x-stuffit
  15 !:apple SIT!SIT!
  16 >2      string          x                       : %s
  17 0       string          SITD                    StuffIt Deluxe (data)
  18 >2      string          x                       : %s
  19 0       string          Seg                     StuffIt Deluxe Segment (data)
  20 >2      string          x                       : %s
  21
  22 # Newer StuffIt archives (grant@netbsd.org)
  23 0       string          StuffIt                 StuffIt Archive
  24 !:mime  application/x-stuffit
  25 !:apple SIT!SIT!
  26 #>162   string          >0                      : %s
  27
  28 # Macintosh Applications and Installation binaries (franklsm@tuns.ca)
  29 # GRR: Too weak
  30 #0      string          APPL                    Macintosh Application (data)
  31 #>2     string          x                       \b: %s
  32
  33 # Macintosh System files (franklsm@tuns.ca)
  34 # GRR: Too weak
  35 #0      string          zsys                    Macintosh System File (data)
  36 #0      string          FNDR                    Macintosh Finder (data)
  37 #0      string          libr                    Macintosh Library (data)
  38 #>2     string          x                       : %s
  39 #0      string          shlb                    Macintosh Shared Library (data)
  40 #>2     string          x                       : %s
  41 #0      string          cdev                    Macintosh Control Panel (data)
  42 #>2     string          x                       : %s
  43 #0      string          INIT                    Macintosh Extension (data)
  44 #>2     string          x                       : %s
  45 #0      string          FFIL                    Macintosh Truetype Font (data)
  46 #>2     string          x                       : %s
  47 #0      string          LWFN                    Macintosh Postscript Font (data)
  48 #>2     string          x                       : %s
  49
  50 # Additional Macintosh Files (franklsm@tuns.ca)
  51 # GRR: Too weak
  52 #0      string          PACT                    Macintosh Compact Pro Archive (data)
  53 #>2     string          x                       : %s
  54 #0      string          ttro                    Macintosh TeachText File (data)
  55 #>2     string          x                       : %s
  56 #0      string          TEXT                    Macintosh TeachText File (data)
  57 #>2     string          x                       : %s
  58 #0      string          PDF                     Macintosh PDF File (data)
  59 #>2     string          x                       : %s
  60
  61 # MacBinary format (Eric Fischer, enf@pobox.com)
  62 #
  63 # Unfortunately MacBinary doesn't really have a magic number prior
  64 # to the MacBinary III format.  The checksum is really the way to
  65 # do it, but the magic file format isn't up to the challenge.
  66 #
  67 # 0     byte            0
  68 # 1     byte                            # filename length
  69 # 2     string                          # filename
  70 # 65    string                          # file type
  71 # 69    string                          # file creator
  72 # 73    byte                            # Finder flags
  73 # 74    byte            0
  74 # 75    beshort                         # vertical posn in window
  75 # 77    beshort                         # horiz posn in window
  76 # 79    beshort                         # window or folder ID
  77 # 81    byte                            # protected?
  78 # 82    byte            0
  79 # 83    belong                          # length of data segment
  80 # 87    belong                          # length of resource segment
  81 # 91    belong                          # file creation date
  82 # 95    belong                          # file modification date
  83 # 99    beshort                         # length of comment after resource
  84 # 101   byte                            # new Finder flags
  85 # 102   string          mBIN            # (only in MacBinary III)
  86 # 106   byte                            # char. code of file name
  87 # 107   byte                            # still more Finder flags
  88 # 116   belong                          # total file length
  89 # 120   beshort                         # length of add'l header
  90 # 122   byte            129             # for MacBinary II
  91 # 122   byte            130             # for MacBinary III
  92 # 123   byte            129             # minimum version that can read fmt
  93 # 124   beshort                         # checksum
  94 #
  95 # This attempts to use the version numbers as a magic number, requiring
  96 # that the first one be 0x80, 0x81, 0x82, or 0x83, and that the second
  97 # be 0x81.  This works for the files I have, but maybe not for everyone's.
  98
  99 # Unfortunately, this magic is quite weak - MPi
 100 #122    beshort&0xFCFF  0x8081          Macintosh MacBinary data
 101
 102 # MacBinary I doesn't have the version number field at all, but MacBinary II
 103 # has been in use since 1987 so I hope there aren't many really old files
 104 # floating around that this will miss.  The original spec calls for using
 105 # the nulls in 0, 74, and 82 as the magic number.
 106 #
 107 # Another possibility, that would also work for MacBinary I, is to use
 108 # the assumption that 65-72 will all be ASCII (0x20-0x7F), that 73 will
 109 # have bits 1 (changed), 2 (busy), 3 (bozo), and 6 (invisible) unset,
 110 # and that 74 will be 0.  So something like
 111 #
 112 # 71    belong&0x80804EFF 0x00000000    Macintosh MacBinary data
 113 #
 114 # >73   byte&0x01       0x01            \b, inited
 115 # >73   byte&0x02       0x02            \b, changed
 116 # >73   byte&0x04       0x04            \b, busy
 117 # >73   byte&0x08       0x08            \b, bozo
 118 # >73   byte&0x10       0x10            \b, system
 119 # >73   byte&0x10       0x20            \b, bundle
 120 # >73   byte&0x10       0x40            \b, invisible
 121 # >73   byte&0x10       0x80            \b, locked
 122
 123 #>65    string          x               \b, type "%4.4s"
 124
 125 #>65    string          8BIM            (PhotoShop)
 126 #>65    string          ALB3            (PageMaker 3)
 127 #>65    string          ALB4            (PageMaker 4)
 128 #>65    string          ALT3            (PageMaker 3)
 129 #>65    string          APPL            (application)
 130 #>65    string          AWWP            (AppleWorks word processor)
 131 #>65    string          CIRC            (simulated circuit)
 132 #>65    string          DRWG            (MacDraw)
 133 #>65    string          EPSF            (Encapsulated PostScript)
 134 #>65    string          FFIL            (font suitcase)
 135 #>65    string          FKEY            (function key)
 136 #>65    string          FNDR            (Macintosh Finder)
 137 #>65    string          GIFf            (GIF image)
 138 #>65    string          Gzip            (GNU gzip)
 139 #>65    string          INIT            (system extension)
 140 #>65    string          LIB\            (library)
 141 #>65    string          LWFN            (PostScript font)
 142 #>65    string          MSBC            (Microsoft BASIC)
 143 #>65    string          PACT            (Compact Pro archive)
 144 #>65    string          PDF\            (Portable Document Format)
 145 #>65    string          PICT            (picture)
 146 #>65    string          PNTG            (MacPaint picture)
 147 #>65    string          PREF            (preferences)
 148 #>65    string          PROJ            (Think C project)
 149 #>65    string          QPRJ            (Think Pascal project)
 150 #>65    string          SCFL            (Defender scores)
 151 #>65    string          SCRN            (startup screen)
 152 #>65    string          SITD            (StuffIt Deluxe)
 153 #>65    string          SPn3            (SuperPaint)
 154 #>65    string          STAK            (HyperCard stack)
 155 #>65    string          Seg\            (StuffIt segment)
 156 #>65    string          TARF            (Unix tar archive)
 157 #>65    string          TEXT            (ASCII)
 158 #>65    string          TIFF            (TIFF image)
 159 #>65    string          TOVF            (Eudora table of contents)
 160 #>65    string          WDBN            (Microsoft Word word processor)
 161 #>65    string          WORD            (MacWrite word processor)
 162 #>65    string          XLS\            (Microsoft Excel)
 163 #>65    string          ZIVM            (compress (.Z))
 164 #>65    string          ZSYS            (Pre-System 7 system file)
 165 #>65    string          acf3            (Aldus FreeHand)
 166 #>65    string          cdev            (control panel)
 167 #>65    string          dfil            (Desk Acessory suitcase)
 168 #>65    string          libr            (library)
 169 #>65    string          nX^d            (WriteNow word processor)
 170 #>65    string          nX^w            (WriteNow dictionary)
 171 #>65    string          rsrc            (resource)
 172 #>65    string          scbk            (Scrapbook)
 173 #>65    string          shlb            (shared library)
 174 #>65    string          ttro            (SimpleText read-only)
 175 #>65    string          zsys            (system file)
 176
 177 #>69    string          x               \b, creator "%4.4s"
 178
 179 # Somewhere, Apple has a repository of registered Creator IDs.  These are
 180 # just the ones that I happened to have files from and was able to identify.
 181
 182 #>69    string          8BIM            (Adobe Photoshop)
 183 #>69    string          ALD3            (PageMaker 3)
 184 #>69    string          ALD4            (PageMaker 4)
 185 #>69    string          ALFA            (Alpha editor)
 186 #>69    string          APLS            (Apple Scanner)
 187 #>69    string          APSC            (Apple Scanner)
 188 #>69    string          BRKL            (Brickles)
 189 #>69    string          BTFT            (BitFont)
 190 #>69    string          CCL2            (Common Lisp 2)
 191 #>69    string          CCL\            (Common Lisp)
 192 #>69    string          CDmo            (The Talking Moose)
 193 #>69    string          CPCT            (Compact Pro)
 194 #>69    string          CSOm            (Eudora)
 195 #>69    string          DMOV            (Font/DA Mover)
 196 #>69    string          DSIM            (DigSim)
 197 #>69    string          EDIT            (Macintosh Edit)
 198 #>69    string          ERIK            (Macintosh Finder)
 199 #>69    string          EXTR            (self-extracting archive)
 200 #>69    string          Gzip            (GNU gzip)
 201 #>69    string          KAHL            (Think C)
 202 #>69    string          LWFU            (LaserWriter Utility)
 203 #>69    string          LZIV            (compress)
 204 #>69    string          MACA            (MacWrite)
 205 #>69    string          MACS            (Macintosh operating system)
 206 #>69    string          MAcK            (MacKnowledge terminal emulator)
 207 #>69    string          MLND            (Defender)
 208 #>69    string          MPNT            (MacPaint)
 209 #>69    string          MSBB            (Microsoft BASIC (binary))
 210 #>69    string          MSWD            (Microsoft Word)
 211 #>69    string          NCSA            (NCSA Telnet)
 212 #>69    string          PJMM            (Think Pascal)
 213 #>69    string          PSAL            (Hunt the Wumpus)
 214 #>69    string          PSI2            (Apple File Exchange)
 215 #>69    string          R*ch            (BBEdit)
 216 #>69    string          RMKR            (Resource Maker)
 217 #>69    string          RSED            (Resource Editor)
 218 #>69    string          Rich            (BBEdit)
 219 #>69    string          SIT!            (StuffIt)
 220 #>69    string          SPNT            (SuperPaint)
 221 #>69    string          Unix            (NeXT Mac filesystem)
 222 #>69    string          VIM!            (Vim editor)
 223 #>69    string          WILD            (HyperCard)
 224 #>69    string          XCEL            (Microsoft Excel)
 225 #>69    string          aCa2            (Fontographer)
 226 #>69    string          aca3            (Aldus FreeHand)
 227 #>69    string          dosa            (Macintosh MS-DOS file system)
 228 #>69    string          movr            (Font/DA Mover)
 229 #>69    string          nX^n            (WriteNow)
 230 #>69    string          pdos            (Apple ProDOS file system)
 231 #>69    string          scbk            (Scrapbook)
 232 #>69    string          ttxt            (SimpleText)
 233 #>69    string          ufox            (Foreign File Access)
 234
 235 # Just in case...
 236
 237 102     string          mBIN            MacBinary III data with surprising version number
 238
 239 # sas magic from Bruce Foster (bef@nwu.edu)
 240 #
 241 #0      string          SAS             SAS
 242 #>8     string          x               %s
 243 0       string          SAS             SAS
 244 >24     string          DATA            data file
 245 >24     string          CATALOG         catalog
 246 >24     string          INDEX           data file index
 247 >24     string          VIEW            data view
 248 # sas 7+ magic from Reinhold Koch (reinhold.koch@roche.com)
 249 #
 250 0x54    string          SAS             SAS 7+
 251 >0x9C   string          DATA            data file
 252 >0x9C   string          CATALOG         catalog
 253 >0x9C   string          INDEX           data file index
 254 >0x9C   string          VIEW            data view
 255
 256 # spss magic for SPSS system and portable files,
 257 #        from Bruce Foster (bef@nwu.edu).
 258
 259 0       long            0xc1e2c3c9      SPSS Portable File
 260 >40     string          x               %s
 261
 262 0       string          $FL2            SPSS System File
 263 >24     string          x               %s
 264
 265 # Macintosh filesystem data
 266 # From "Tom N Harris" <telliamed@mac.com>
 267 # Fixed HFS+ and Partition map magic: Ethan Benson <erbenson@alaska.net>
 268 # The MacOS epoch begins on 1 Jan 1904 instead of 1 Jan 1970, so these
 269 # entries depend on the data arithmetic added after v.35
 270 # There's also some Pascal strings in here, ditto...
 271
 272 # The boot block signature, according to IM:Files, is
 273 # "for HFS volumes, this field always contains the value 0x4C4B."
 274 # But if this is true for MFS or HFS+ volumes, I don't know.
 275 # Alternatively, the boot block is supposed to be zeroed if it's
 276 # unused, so a simply >0 should suffice.
 277
 278 0x400   beshort                 0xD2D7          Macintosh MFS data
 279 >0      beshort                 0x4C4B          (bootable)
 280 >0x40a  beshort                 &0x8000         (locked)
 281 >0x402  beldate-0x7C25B080      x               created: %s,
 282 >0x406  beldate-0x7C25B080      >0              last backup: %s,
 283 >0x414  belong                  x               block size: %d,
 284 >0x412  beshort                 x               number of blocks: %d,
 285 >0x424  pstring                 x               volume name: %s
 286
 287 # "BD" is has many false positives
 288 #0x400  beshort                 0x4244          Macintosh HFS data
 289 #>0     beshort                 0x4C4B          (bootable)
 290 #>0x40a beshort                 &0x8000         (locked)
 291 #>0x40a beshort                 ^0x0100         (mounted)
 292 #>0x40a beshort                 &0x0200         (spared blocks)
 293 #>0x40a beshort                 &0x0800         (unclean)
 294 #>0x47C beshort                 0x482B          (Embedded HFS+ Volume)
 295 #>0x402 beldate-0x7C25B080      x               created: %s,
 296 #>0x406 beldate-0x7C25B080      x               last modified: %s,
 297 #>0x440 beldate-0x7C25B080      >0              last backup: %s,
 298 #>0x414 belong                  x               block size: %d,
 299 #>0x412 beshort                 x               number of blocks: %d,
 300 #>0x424 pstring                 x               volume name: %s
 301
 302 0x400   beshort                 0x482B          Macintosh HFS Extended
 303 >&0     beshort                 x               version %d data
 304 >0      beshort                 0x4C4B          (bootable)
 305 >0x404  belong                  ^0x00000100     (mounted)
 306 >&2     belong                  &0x00000200     (spared blocks)
 307 >&2     belong                  &0x00000800     (unclean)
 308 >&2     belong                  &0x00008000     (locked)
 309 >&6     string                  x               last mounted by: '%.4s',
 310 # really, that should be treated as a belong and we print a string
 311 # based on the value. TN1150 only mentions '8.10' for "MacOS 8.1"
 312 >&14    beldate-0x7C25B080      x               created: %s,
 313 # only the creation date is local time, all other timestamps in HFS+ are UTC.
 314 >&18    bedate-0x7C25B080       x               last modified: %s,
 315 >&22    bedate-0x7C25B080       >0              last backup: %s,
 316 >&26    bedate-0x7C25B080       >0              last checked: %s,
 317 >&38    belong                  x               block size: %d,
 318 >&42    belong                  x               number of blocks: %d,
 319 >&46    belong                  x               free blocks: %d
 320
 321 # I don't think this is really necessary since it doesn't do much and
 322 # anything with a valid driver descriptor will also have a valid
 323 # partition map
 324 #0              beshort         0x4552          Apple Device Driver data
 325 #>&24           beshort         =1              \b, MacOS
 326
 327 # Is that the partition type a cstring or a pstring? Well, IM says "strings
 328 # shorter than 32 bytes must be terminated with NULL" so I'll treat it as a
 329 # cstring. Of course, partitions can contain more than four entries, but
 330 # what're you gonna do?
 331 # GRR: This magic is too weak, it is just "PM"
 332 #0x200          beshort         0x504D          Apple Partition data
 333 #>0x2           beshort         x               (block size: %d):
 334 #>0x230         string          x               first type: %s,
 335 #>0x210         string          x               name: %s,
 336 #>0x254         belong          x               number of blocks: %d,
 337 #>0x400         beshort         0x504D
 338 #>>0x430                string          x               second type: %s,
 339 #>>0x410                string          x               name: %s,
 340 #>>0x454                belong          x               number of blocks: %d,
 341 #>>0x600                beshort         0x504D
 342 #>>>0x630       string          x               third type: %s,
 343 #>>>0x610       string          x               name: %s,
 344 #>>>0x654       belong          x               number of blocks: %d,
 345 #>>0x800                beshort         0x504D
 346 #>>>0x830       string          x               fourth type: %s,
 347 #>>>0x810       string          x               name: %s,
 348 #>>>0x854       belong          x               number of blocks: %d,
 349 #>>>0xa00       beshort         0x504D
 350 #>>>>0xa30      string          x               fifth type: %s,
 351 #>>>>0xa10      string          x               name: %s,
 352 #>>>>0xa54      belong          x               number of blocks: %d
 353 #>>>0xc00       beshort         0x504D
 354 #>>>>0xc30      string          x               sixth type: %s,
 355 #>>>>0xc10      string          x               name: %s,
 356 #>>>>0xc54      belong          x               number of blocks: %d
 357 ## AFAIK, only the signature is different
 358 #0x200          beshort         0x5453          Apple Old Partition data
 359 #>0x2           beshort         x               block size: %d,
 360 #>0x230         string          x               first type: %s,
 361 #>0x210         string          x               name: %s,
 362 #>0x254         belong          x               number of blocks: %d,
 363 #>0x400         beshort         0x504D
 364 #>>0x430                string          x               second type: %s,
 365 #>>0x410                string          x               name: %s,
 366 #>>0x454                belong          x               number of blocks: %d,
 367 #>>0x800                beshort         0x504D
 368 #>>>0x830       string          x               third type: %s,
 369 #>>>0x810       string          x               name: %s,
 370 #>>>0x854       belong          x               number of blocks: %d,
 371 #>>>0xa00       beshort         0x504D
 372 #>>>>0xa30      string          x               fourth type: %s,
 373 #>>>>0xa10      string          x               name: %s,
 374 #>>>>0xa54      belong          x               number of blocks: %d
 375
 376 # From: Remi Mommsen <mommsen@slac.stanford.edu>
 377 0               string          BOMStore        Mac OS X bill of materials (BOM) file