contrib/file-4/magic/Magdir/msdos

   1
   2 #------------------------------------------------------------------------------
   3 # msdos:  file(1) magic for MS-DOS files
   4 #
   5
   6 # .BAT files (Daniel Quinlan, quinlan@yggdrasil.com)
   7 # updated by Joerg Jenderek
   8 0       string  @
   9 >1      string/cB       \ echo\ off     MS-DOS batch file text
  10 >1      string/cB       echo\ off       MS-DOS batch file text
  11 >1      string/cB       rem\            MS-DOS batch file text
  12 >1      string/cB       set\            MS-DOS batch file text
  13
  14
  15 # OS/2 batch files are REXX. the second regex is a bit generic, oh well
  16 # the matched commands seem to be common in REXX and uncommon elsewhere
  17 100     regex/c =^[\ \t]{0,10}call[\ \t]{1,10}rxfunc OS/2 REXX batch file text
  18 100     regex/c =^[\ \t]{0,10}say\ ['"]      OS/2 REXX batch file text
  19
  20
  21 100 regex/c =^\\s*call\\s+rxfuncadd.*sysloadfu OS/2 REXX batch file text
  22 100 regex/c =^\\s*say\ ['"] OS/2 REXX batch file text
  23
  24 0       leshort         0x14c   MS Windows COFF Intel 80386 object file
  25 #>4     ledate          x       stamp %s
  26 0       leshort         0x166   MS Windows COFF MIPS R4000 object file
  27 #>4     ledate          x       stamp %s
  28 0       leshort         0x184   MS Windows COFF Alpha object file
  29 #>4     ledate          x       stamp %s
  30 0       leshort         0x268   MS Windows COFF Motorola 68000 object file
  31 #>4     ledate          x       stamp %s
  32 0       leshort         0x1f0   MS Windows COFF PowerPC object file
  33 #>4     ledate          x       stamp %s
  34 0       leshort         0x290   MS Windows COFF PA-RISC object file
  35 #>4     ledate          x       stamp %s
  36
  37 # XXX - according to Microsoft's spec, at an offset of 0x3c in a
  38 # PE-format executable is the offset in the file of the PE header;
  39 # unfortunately, that's a little-endian offset, and there's no way
  40 # to specify an indirect offset with a specified byte order.
  41 # So, for now, we assume the standard MS-DOS stub, which puts the
  42 # PE header at 0x80 = 128.
  43 #
  44 # Required OS version and subsystem version were 4.0 on some NT 3.51
  45 # executables built with Visual C++ 4.0, so it's not clear that
  46 # they're interesting.  The user version was 0.0, but there's
  47 # probably some linker directive to set it.  The linker version was
  48 # 3.0, except for one ".exe" which had it as 4.20 (same damn linker!).
  49 #
  50 # many of the compressed formats were extraced from IDARC 1.23 source code
  51 #
  52 0       string  MZ              MS-DOS executable
  53 >0 string MZ\0\0\0\0\0\0\0\0\0\0PE\0\0 \b, PE for MS Windows
  54 >>&18   leshort&0x2000  >0      (DLL)
  55 >>&88   leshort         0       (unknown subsystem)
  56 >>&88   leshort         1       (native)
  57 >>&88   leshort         2       (GUI)
  58 >>&88   leshort         3       (console)
  59 >>&88   leshort         7       (POSIX)
  60 >>&0    leshort         0x0     unknown processor
  61 >>&0    leshort         0x14c   Intel 80386
  62 >>&0    leshort         0x166   MIPS R4000
  63 >>&0    leshort         0x184   Alpha
  64 >>&0    leshort         0x268   Motorola 68000
  65 >>&0    leshort         0x1f0   PowerPC
  66 >>&0    leshort         0x290   PA-RISC
  67 >>&18   leshort&0x0100  >0      32-bit
  68 >>&18   leshort&0x1000  >0      system file
  69 >>&0xf4 search/0x140 \x0\x40\x1\x0
  70 >>>(&0.l+(4)) string MSCF \b, WinHKI CAB self-extracting archive
  71
  72 >0x18  leshort >0x3f
  73 >>(0x3c.l) string PE\0\0 PE
  74 # hooray, there's a DOS extender using the PE format, with a valid PE
  75 # executable inside (which just prints a message and exits if run in win)
  76 >>>(8.s*16) string 32STUB for MS-DOS, 32rtm DOS extender
  77 >>>(8.s*16) string !32STUB for MS Windows
  78 >>>>(0x3c.l+22) leshort&0x2000  >0      (DLL)
  79 >>>>(0x3c.l+92) leshort         0       (unknown subsystem)
  80 >>>>(0x3c.l+92) leshort         1       (native)
  81 >>>>(0x3c.l+92) leshort         2       (GUI)
  82 >>>>(0x3c.l+92) leshort         3       (console)
  83 >>>>(0x3c.l+92) leshort         7       (POSIX)
  84 >>>>(0x3c.l+4)  leshort         0x0     unknown processor
  85 >>>>(0x3c.l+4)  leshort         0x14c   Intel 80386
  86 >>>>(0x3c.l+4)  leshort         0x166   MIPS R4000
  87 >>>>(0x3c.l+4)  leshort         0x184   Alpha
  88 >>>>(0x3c.l+4)  leshort         0x268   Motorola 68000
  89 >>>>(0x3c.l+4)  leshort         0x1f0   PowerPC
  90 >>>>(0x3c.l+4)  leshort         0x290   PA-RISC
  91 >>>>(0x3c.l+22) leshort&0x0100  >0      32-bit
  92 >>>>(0x3c.l+22) leshort&0x1000  >0      system file
  93 >>>>(0x3c.l+232)        lelong  >0      Mono/.Net assembly
  94
  95 >>>>(0x3c.l+0xf8)       string          UPX0 \b, UPX compressed
  96 >>>>(0x3c.l+0xf8)       search/0x140    PEC2 \b, PECompact2 compressed
  97 >>>>(0x3c.l+0xf8)       search/0x140    UPX2
  98 >>>>>(&0x10.l+(-4))     string          PK\3\4 \b, ZIP self-extracting archive (Info-Zip)
  99 >>>>(0x3c.l+0xf8)       search/0x140    .idata
 100 >>>>>(&0xe.l+(-4))      string          PK\3\4 \b, ZIP self-extracting archive (Info-Zip)
 101 >>>>>(&0xe.l+(-4))      string          ZZ0 \b, ZZip self-extracting archive
 102 >>>>>(&0xe.l+(-4))      string          ZZ1 \b, ZZip self-extracting archive
 103 >>>>(0x3c.l+0xf8)       search/0x140    .rsrc
 104 >>>>>(&0x0f.l+(-4))     string          a\\\4\5 \b, WinHKI self-extracting archive
 105 >>>>>(&0x0f.l+(-4))     string          Rar! \b, RAR self-extracting archive
 106 >>>>>(&0x0f.l+(-4))     search/0x3000   MSCF \b, InstallShield self-extracting archive
 107 >>>>>(&0x0f.l+(-4))     search/32       Nullsoft \b, Nullsoft Installer self-extracting archive
 108 >>>>(0x3c.l+0xf8)       search/0x140    .data
 109 >>>>>(&0x0f.l)          string          WEXTRACT \b, MS CAB-Installer self-extracting archive
 110 >>>>(0x3c.l+0xf8)       search/0x140    .petite\0 \b, Petite compressed
 111 >>>>>(0x3c.l+0xf7)      byte            x
 112 >>>>>>(&0x104.l+(-4))   string          =!sfx! \b, ACE self-extracting archive
 113 >>>>(0x3c.l+0xf8)       search/0x140    .WISE \b, WISE installer self-extracting archive
 114 >>>>(0x3c.l+0xf8)       search/0x140    .dz\0\0\0 \b, Dzip self-extracting archive
 115 >>>>(0x3c.l+0xf8)       search/0x140    .reloc
 116 >>>>>(&0xe.l+(-4))      search/0x180    PK\3\4 \b, ZIP self-extracting archive (WinZip)
 117
 118 >>>>&(0x3c.l+0xf8)      search/0x100    _winzip_ \b, ZIP self-extracting archive (WinZip)
 119 >>>>&(0x3c.l+0xf8)      search/0x100    SharedD \b, Microsoft Installer self-extracting archive
 120 >>>>0x30                string          Inno \b, InnoSetup self-extracting archive
 121
 122 >>(0x3c.l)              string          NE \b, NE
 123 >>>(0x3c.l+0x36)        byte            0 (unknown OS)
 124 >>>(0x3c.l+0x36)        byte            1 for OS/2 1.x
 125 >>>(0x3c.l+0x36)        byte            2 for MS Windows 3.x
 126 >>>(0x3c.l+0x36)        byte            3 for MS-DOS
 127 >>>(0x3c.l+0x36)        byte            >3 (unknown OS)
 128 >>>(0x3c.l+0x36)        byte            0x81 for MS-DOS, Phar Lap DOS extender
 129 >>>(0x3c.l+0x0c)        leshort&0x8003  0x8002 (DLL)
 130 >>>(0x3c.l+0x0c)        leshort&0x8003  0x8001 (driver)
 131 >>>&(&0x24.s-1)         string          ARJSFX \b, ARJ self-extracting archive
 132 >>>(0x3c.l+0x70)        search/0x80     WinZip(R)\ Self-Extractor \b, ZIP self-extracting archive (WinZip)
 133
 134 >>(0x3c.l)              string          LX\0\0 \b, LX
 135 >>>(0x3c.l+0x0a)        leshort         <1 (unknown OS)
 136 >>>(0x3c.l+0x0a)        leshort         1 for OS/2
 137 >>>(0x3c.l+0x0a)        leshort         2 for MS Windows
 138 >>>(0x3c.l+0x0a)        leshort         3 for DOS
 139 >>>(0x3c.l+0x0a)        leshort         >3 (unknown OS)
 140 >>>(0x3c.l+0x10)        lelong&0x28000  =0x8000 (DLL)
 141 >>>(0x3c.l+0x10)        lelong&0x20000  >0 (device driver)
 142 >>>(0x3c.l+0x10)        lelong&0x300    0x300 (GUI)
 143 >>>(0x3c.l+0x10)        lelong&0x28300  <0x300 (console)
 144 >>>(0x3c.l+0x08)        leshort         1 i80286
 145 >>>(0x3c.l+0x08)        leshort         2 i80386
 146 >>>(0x3c.l+0x08)        leshort         3 i80486
 147 >>>(8.s*16)             string          emx \b, emx
 148 >>>>&1                  string          x %s
 149 >>>&(&0x54.l-3)         string          arjsfx \b, ARJ self-extracting archive
 150
 151 # MS Windows system file, supposedly a collection of LE executables
 152 >>(0x3c.l)              string          W3 \b, W3 for MS Windows
 153
 154 >>(0x3c.l)              string          LE\0\0 \b, LE executable
 155 >>>(0x3c.l+0x0a)        leshort         1
 156 # some DOS extenders use LE files with OS/2 header
 157 >>>>0x240               search/0x100    DOS/4G for MS-DOS, DOS4GW DOS extender
 158 >>>>0x240               search/0x200    WATCOM\ C/C++ for MS-DOS, DOS4GW DOS extender
 159 >>>>0x440               search/0x100    CauseWay\ DOS\ Extender for MS-DOS, CauseWay DOS extender
 160 >>>>0x40                search/0x40     PMODE/W for MS-DOS, PMODE/W DOS extender
 161 >>>>0x40                search/0x40     STUB/32A for MS-DOS, DOS/32A DOS extender (stub)
 162 >>>>0x40                search/0x80     STUB/32C for MS-DOS, DOS/32A DOS extender (configurable stub)
 163 >>>>0x40                search/0x80     DOS/32A for MS-DOS, DOS/32A DOS extender (embedded)
 164 # this is a wild guess; hopefully it is a specific signature
 165 >>>>&0x24               lelong          <0x50
 166 >>>>>(&0x4c.l)          string          \xfc\xb8WATCOM
 167 >>>>>>&0                search/8        3\xdbf\xb9 \b, 32Lite compressed
 168 # another wild guess: if real OS/2 LE executables exist, they probably have higher start EIP
 169 #>>>>(0x3c.l+0x1c)      lelong          >0x10000 for OS/2
 170 # fails with DOS-Extenders.
 171 >>>(0x3c.l+0x0a)        leshort         2 for MS Windows
 172 >>>(0x3c.l+0x0a)        leshort         3 for DOS
 173 >>>(0x3c.l+0x0a)        leshort         4 for MS Windows (VxD)
 174 >>>(&0x7c.l+0x26)       string          UPX \b, UPX compressed
 175 >>>&(&0x54.l-3)         string          UNACE \b, ACE self-extracting archive
 176
 177 # looks like ASCII, probably some embedded copyright message.
 178 # and definitely not NE/LE/LX/PE
 179 >>0x3c          lelong  >0x20000000
 180 >>>(4.s*512)    leshort !0x014c \b, MZ for MS-DOS
 181 # header data too small for extended executable
 182 >2              long    !0
 183 >>0x18          leshort <0x40
 184 >>>(4.s*512)    leshort !0x014c
 185
 186 >>>>&(2.s-514)  string  !LE
 187 >>>>>&-2        string  !BW \b, MZ for MS-DOS
 188 >>>>&(2.s-514)  string  LE \b, LE
 189 >>>>>0x240      search/0x100    DOS/4G for MS-DOS, DOS4GW DOS extender
 190 # educated guess since indirection is still not capable enough for complex offset
 191 # calculations (next embedded executable would be at &(&2*512+&0-2)
 192 # I suspect there are only LE executables in these multi-exe files
 193 >>>>&(2.s-514)  string  BW
 194 >>>>>0x240      search/0x100    DOS/4G ,\b LE for MS-DOS, DOS4GW DOS extender (embedded)
 195 >>>>>0x240      search/0x100    !DOS/4G ,\b BW collection for MS-DOS
 196
 197 # This sequence skips to the first COFF segment, usually .text
 198 >(4.s*512)      leshort         0x014c \b, COFF
 199 >>(8.s*16)      string          go32stub for MS-DOS, DJGPP go32 DOS extender
 200 >>(8.s*16)      string          emx
 201 >>>&1           string          x for DOS, Win or OS/2, emx %s
 202 >>&(&0x42.l-3)  byte            x
 203 >>>&0x26        string          UPX \b, UPX compressed
 204 # and yet another guess: small .text, and after large .data is unusal, could be 32lite
 205 >>&0x2c         search/0xa0     .text
 206 >>>&0x0b        lelong          <0x2000
 207 >>>>&0          lelong          >0x6000 \b, 32lite compressed
 208
 209 >(8.s*16) string $WdX \b, WDos/X DOS extender
 210
 211 # .EXE formats (Greg Roelofs, newt@uchicago.edu)
 212 #
 213 >0x35   string  \x8e\xc0\xb9\x08\x00\xf3\xa5\x4a\x75\xeb\x8e\xc3\x8e\xd8\x33\xff\xbe\x30\x00\x05 \b, aPack compressed
 214 >0xe7   string  LH/2\ Self-Extract \b, %s
 215 >0x1c   string  diet \b, diet compressed
 216 >0x1c   string  LZ09 \b, LZEXE v0.90 compressed
 217 >0x1c   string  LZ91 \b, LZEXE v0.91 compressed
 218 >0x1c   string  tz \b, TinyProg compressed
 219 >0x1e   string  PKLITE \b, %s compressed
 220 >0x64   string  W\ Collis\0\0 \b, Compack compressed
 221 >0x24   string  LHa's\ SFX \b, LHa self-extracting archive
 222 >0x24   string  LHA's\ SFX \b, LHa self-extracting archive
 223 >0x24   string  \ $ARX \b, ARX self-extracting archive
 224 >0x24   string  \ $LHarc \b, LHarc self-extracting archive
 225 >0x20   string  SFX\ by\ LARC \b, LARC self-extracting archive
 226 >1638   string  -lh5- \b, LHa self-extracting archive v2.13S
 227 >0x17888 string Rar! \b, RAR self-extracting archive
 228 >0x40   string aPKG \b, aPackage self-extracting archive
 229
 230 >32      string AIN
 231 >>35     string 2              \b, AIN 2.x compressed
 232 >>35     string <2             \b, AIN 1.x compressed
 233 >>35     string >2             \b, AIN 1.x compressed
 234 >28      string UC2X           \b, UCEXE compressed
 235 >28      string WWP\           \b, WWPACK compressed
 236
 237 # skip to the end of the exe
 238 >(4.s*512)      long    x
 239 >>&(2.s-517)    byte    x
 240 >>>&0   string          PK\3\4 \b, ZIP self-extracting archive
 241 >>>&0   string          Rar! \b, RAR self-extracting archive
 242 >>>&0   string          =!\x11 \b, AIN 2.x self-extracting archive
 243 >>>&0   string          =!\x12 \b, AIN 2.x self-extracting archive
 244 >>>&0   string          =!\x17 \b, AIN 1.x self-extracting archive
 245 >>>&0   string          =!\x18 \b, AIN 1.x self-extracting archive
 246 >>>&7   search/400      **ACE** \b, ACE self-extracting archive
 247 >>>&0   search/0x480    UC2SFX\ Header \b, UC2 self-extracting archive
 248
 249 >0x1c   string          RJSX \b, ARJ self-extracting archive
 250 # winarj stores a message in the stub instead of the sig in the MZ header
 251 >0x20   search/0xe0     aRJsfX \b, ARJ self-extracting archive
 252
 253 # a few unknown ZIP sfxes, no idea if they are needed or if they are
 254 # already captured by the generic patterns above
 255 >122            string          Windows\ self-extracting\ ZIP   \b, ZIP self-extracting archive
 256 >(8.s*16)       search/0x20     PKSFX \b, ZIP self-extracting archive (PKZIP)
 257 # TODO: how to add this? >FileSize-34 string Windows\ Self-Installing\ Executable \b, ZIP self-extracting archive
 258 #
 259
 260 # TELVOX Teleinformatica CODEC self-extractor for OS/2:
 261 >49801  string  \x79\xff\x80\xff\x76\xff        \b, CODEC archive v3.21
 262 >>49824 leshort         =1                      \b, 1 file
 263 >>49824 leshort         >1                      \b, %u files
 264
 265 # .COM formats (Daniel Quinlan, quinlan@yggdrasil.com)
 266 # Uncommenting only the first two lines will cover about 2/3 of COM files,
 267 # but it isn't feasible to match all COM files since there must be at least
 268 # two dozen different one-byte "magics".
 269 0       byte            0xe9            DOS executable (COM)
 270 >0x1FE  leshort         0xAA55          \b, boot code
 271 >6      string          SFX\ of\ LHarc  (%s)
 272 0       belong  0xffffffff              DOS executable (device driver)
 273 #CMD640X2.SYS
 274 >10     string  >\x23
 275 >>10    string  !\x2e
 276 >>>17   string  <\x5B
 277 >>>>10  string  x                       \b, name: %.8s
 278 #UDMA.SYS KEYB.SYS CMD640X2.SYS
 279 >10     string  <\x41
 280 >>12    string  >\x40
 281 >>>10   string  !$
 282 >>>>12  string  x                       \b, name: %.8s
 283 #BTCDROM.SYS ASPICD.SYS
 284 >22     string  >\x40
 285 >>22    string  <\x5B
 286 >>>23   string  <\x5B
 287 >>>>22  string  x                       \b, name: %.8s
 288 #ATAPICD.SYS
 289 >76     string  \0
 290 >>77    string  >\x40
 291 >>>77   string  <\x5B
 292 >>>>77  string  x                       \b, name: %.8s
 293 0       byte            0x8c            DOS executable (COM)
 294 # 0xeb conflicts with "sequent" magic
 295 0       byte            0xeb            DOS executable (COM)
 296 >0x1FE  leshort         0xAA55          \b, boot code
 297 >85     string          UPX             \b, UPX compressed
 298 >4      string          \ $ARX          \b, ARX self-extracting archive
 299 >4      string          \ $LHarc        \b, LHarc self-extracting archive
 300 >0x20e  string          SFX\ by\ LARC   \b, LARC self-extracting archive
 301 0       byte            0xb8            COM executable
 302 # modified by Joerg Jenderek
 303 >1      lelong          !0x21cd4cff     for DOS
 304 # http://syslinux.zytor.com/comboot.php
 305 # (32-bit COMBOOT) programs *.C32 contain 32-bit code and run in flat-memory 32-bit protected mode
 306 # start with assembler instructions mov eax,21cd4cffh
 307 >1      lelong          0x21cd4cff      (32-bit COMBOOT)
 308 0       string  \x81\xfc
 309 >4      string  \x77\x02\xcd\x20\xb9
 310 >>36    string  UPX!                    FREE-DOS executable (COM), UPX compressed
 311 252     string Must\ have\ DOS\ version DR-DOS executable (COM)
 312 # GRR search is not working
 313 #2      search/28       \xcd\x21        COM executable for MS-DOS
 314 #WHICHFAT.cOM
 315 2       string  \xcd\x21                COM executable for DOS
 316 #DELTREE.cOM DELTREE2.cOM
 317 4       string  \xcd\x21                COM executable for DOS
 318 #IFMEMDSK.cOM ASSIGN.cOM COMP.cOM
 319 5       string  \xcd\x21                COM executable for DOS
 320 #DELTMP.COm HASFAT32.cOM
 321 7       string  \xcd\x21
 322 >0      byte    !0xb8                   COM executable for DOS
 323 #COMP.cOM MORE.COm
 324 10      string  \xcd\x21
 325 >5      string  !\xcd\x21               COM executable for DOS
 326 #comecho.com
 327 13      string  \xcd\x21                COM executable for DOS
 328 #HELP.COm EDIT.coM
 329 18      string  \xcd\x21                COM executable for MS-DOS
 330 #NWRPLTRM.COm
 331 23      string  \xcd\x21                COM executable for MS-DOS
 332 #LOADFIX.cOm LOADFIX.cOm
 333 30      string  \xcd\x21                COM executable for MS-DOS
 334 #syslinux.com 3.11
 335 70      string  \xcd\x21                COM executable for DOS
 336 # many compressed/converted COMs start with a copy loop instead of a jump
 337 0x6     search/0xa      \xfc\x57\xf3\xa5\xc3    COM executable for MS-DOS
 338 0x6     search/0xa      \xfc\x57\xf3\xa4\xc3    COM executable for DOS
 339 >0x18   search/0x10     \x50\xa4\xff\xd5\x73    \b, aPack compressed
 340 0x3c    string          W\ Collis\0\0           COM executable for MS-DOS, Compack compressed
 341 # FIXME: missing diet .com compression
 342
 343 # miscellaneous formats
 344 0       string          LZ              MS-DOS executable (built-in)
 345 #0      byte            0xf0            MS-DOS program library data
 346 #
 347
 348 #
 349 # Windows Registry files.
 350 # updated by Joerg Jenderek
 351 0       string          regf            Windows NT/XP registry file
 352 0       string          CREG            Windows 95/98/ME registry file
 353 0       string          SHCC3           Windows 3.1 registry file
 354
 355
 356 # AAF files:
 357 # <stuartc@rd.bbc.co.uk> Stuart Cunningham
 358 0       string  \320\317\021\340\241\261\032\341AAFB\015\000OM\006\016\053\064\001\001\001\377                  AAF legacy file using MS Structured Storage
 359 >30     byte    9               (512B sectors)
 360 >30     byte    12              (4kB sectors)
 361 0       string  \320\317\021\340\241\261\032\341\001\002\001\015\000\002\000\000\006\016\053\064\003\002\001\001                        AAF file using MS Structured Storage
 362 >30     byte    9               (512B sectors)
 363 >30     byte    12              (4kB sectors)
 364
 365 # Popular applications
 366 # False positive with PPT
 367 #0       string \xD0\xCF\x11\xE0\xA1\xB1\x1A\xE1\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x3E\x00\x03\x00\xFE\xFF Microsoft Installer
 368 2080    string  Microsoft\ Word\ 6.0\ Document  %s
 369 2080    string  Documento\ Microsoft\ Word\ 6 Spanish Microsoft Word 6 document data
 370 # Pawel Wiecek <coven@i17linuxb.ists.pwr.wroc.pl> (for polish Word)
 371 2112    string  MSWordDoc                       Microsoft Word document data
 372 #
 373 0       belong  0x31be0000                      Microsoft Word Document
 374 #
 375 0       string  PO^Q`                           Microsoft Word 6.0 Document
 376 #
 377 0       string  \376\067\0\043                  Microsoft Office Document
 378 0       string  \333\245-\0\0\0                 Microsoft Office Document
 379 #
 380 2080    string  Microsoft\ Excel\ 5.0\ Worksheet        %s
 381 2080    string  Foglio\ di\ lavoro\ Microsoft\ Exce     %s
 382 #
 383 # Pawel Wiecek <coven@i17linuxb.ists.pwr.wroc.pl> (for polish Excel)
 384 2114    string  Biff5           Microsoft Excel 5.0 Worksheet
 385 # Italian MS-Excel
 386 2121    string  Biff5           Microsoft Excel 5.0 Worksheet
 387 0       string  \x09\x04\x06\x00\x00\x00\x10\x00        Microsoft Excel Worksheet
 388 #
 389 0       belong  0x00001a00      Lotus 1-2-3
 390 >4      belong  0x00100400      wk3 document data
 391 >4      belong  0x02100400      wk4 document data
 392 >4      belong  0x07800100      fm3 or fmb document data
 393 >4      belong  0x07800000      fm3 or fmb document data
 394 #
 395 0       belong  0x00000200      Lotus 1-2-3
 396 >4      belong  0x06040600      wk1 document data
 397 >4      belong  0x06800200      fmt document data
 398
 399 # Help files
 400 0       string  ?_\3\0          MS Windows Help Data
 401
 402 #  DeIsL1.isu what this is I don't know
 403 0       string  \161\250\000\000\001\002        DeIsL1.isu whatever that is
 404
 405 # Winamp .avs
 406 #0      string  Nullsoft\ AVS\ Preset\ \060\056\061\032 A plug in for Winamp ms-windows Freeware media player
 407 0       string  Nullsoft\ AVS\ Preset\  Winamp plug in
 408
 409 # Hyper terminal:
 410 0       string  HyperTerminal\  hyperterm
 411 >15     string  1.0\ --\ HyperTerminal\ data\ file      MS-windows Hyperterminal
 412
 413 # Windows Metafont .WMF
 414 0       string  \327\315\306\232        ms-windows metafont .wmf
 415 0       string  \002\000\011\000        ms-windows metafont .wmf
 416 0       string  \001\000\011\000        ms-windows metafont .wmf
 417
 418 #tz3 files whatever that is (MS Works files)
 419 0       string  \003\001\001\004\070\001\000\000        tz3 ms-works file
 420 0       string  \003\002\001\004\070\001\000\000        tz3 ms-works file
 421 0       string  \003\003\001\004\070\001\000\000        tz3 ms-works file
 422
 423 # PGP sig files .sig
 424 #0 string \211\000\077\003\005\000\063\237\127 065 to  \027\266\151\064\005\045\101\233\021\002 PGP sig
 425 0 string \211\000\077\003\005\000\063\237\127\065\027\266\151\064\005\045\101\233\021\002 PGP sig
 426 0 string \211\000\077\003\005\000\063\237\127\066\027\266\151\064\005\045\101\233\021\002 PGP sig
 427 0 string \211\000\077\003\005\000\063\237\127\067\027\266\151\064\005\045\101\233\021\002 PGP sig
 428 0 string \211\000\077\003\005\000\063\237\127\070\027\266\151\064\005\045\101\233\021\002 PGP sig
 429 0 string \211\000\077\003\005\000\063\237\127\071\027\266\151\064\005\045\101\233\021\002 PGP sig
 430 0 string \211\000\225\003\005\000\062\122\207\304\100\345\042 PGP sig
 431
 432 # windows zips files .dmf
 433 0       string  MDIF\032\000\010\000\000\000\372\046\100\175\001\000\001\036\001\000 MS Windows special zipped file
 434
 435
 436 # Windows help file FTG FTS
 437 0       string  \164\146\115\122\012\000\000\000\001\000\000\000        MS Windows help cache
 438
 439 # grp old windows 3.1 group files
 440 0 string  \120\115\103\103      MS Windows 3.1 group files
 441
 442
 443 # lnk files windows symlinks
 444 0       string  \114\000\000\000\001\024\002\000\000\000\000\000\300\000\000\000\000\000\000\106        MS Windows shortcut
 445
 446 #ico files
 447 0       string  \102\101\050\000\000\000\056\000\000\000\000\000\000\000        Icon for MS Windows
 448
 449 # Windows icons (Ian Springer <ips@fpk.hp.com>)
 450 0       string  \000\000\001\000        MS Windows icon resource
 451 >4      byte    1                       - 1 icon
 452 >4      byte    >1                      - %d icons
 453 >>6     byte    >0                      \b, %dx
 454 >>>7    byte    >0                      \b%d
 455 >>8     byte    0                       \b, 256-colors
 456 >>8     byte    >0                      \b, %d-colors
 457
 458
 459 # .chr files
 460 0       string  PK\010\010BGI   Borland font
 461 >4      string  >\0     %s
 462 # then there is a copyright notice
 463
 464
 465 # .bgi files
 466 0       string  pk\010\010BGI   Borland device
 467 >4      string  >\0     %s
 468 # then there is a copyright notice
 469
 470
 471 # recycled/info the windows trash bin index
 472 9       string  \000\000\000\030\001\000\000\000 MS Windows recycled bin info
 473
 474
 475 ##### put in Either Magic/font or Magic/news
 476 # Acroread or something  files wrongly identified as G3  .pfm
 477 # these have the form \000 \001 any? \002 \000 \000
 478 # or \000 \001 any? \022 \000 \000
 479 #0      string  \000\001 pfm?
 480 #>3     string  \022\000\000Copyright\  yes
 481 #>3     string  \002\000\000Copyright\  yes
 482 #>3     string  >\0     oops, not a font file. Cancel that.
 483 #it clashes with ttf files so put it lower down.
 484
 485 # From Doug Lee via a FreeBSD pr
 486 9       string          GERBILDOC       First Choice document
 487 9       string          GERBILDB        First Choice database
 488 9       string          GERBILCLIP      First Choice database
 489 0       string          GERBIL          First Choice device file
 490 9       string          RABBITGRAPH     RabbitGraph file
 491 0       string          DCU1            Borland Delphi .DCU file
 492 0       string          =!<spell>       MKS Spell hash list (old format)
 493 0       string          =!<spell2>      MKS Spell hash list
 494 # Too simple - MPi
 495 #0      string          AH              Halo(TM) bitmapped font file
 496 0       lelong          0x08086b70      TurboC BGI file
 497 0       lelong          0x08084b50      TurboC Font file
 498
 499 # WARNING: below line conflicts with Infocom game data Z-machine 3
 500 0       byte            0x03            DBase 3 data file
 501 >0x04   lelong          0               (no records)
 502 >0x04   lelong          >0              (%ld records)
 503 0       byte            0x83            DBase 3 data file with memo(s)
 504 >0x04   lelong          0               (no records)
 505 >0x04   lelong          >0              (%ld records)
 506 0       leshort         0x0006          DBase 3 index file
 507 0       string          PMCC            Windows 3.x .GRP file
 508 1       string          RDC-meg         MegaDots
 509 >8      byte            >0x2F           version %c
 510 >9      byte            >0x2F           \b.%c file
 511 0       lelong          0x4C
 512 >4      lelong          0x00021401      Windows shortcut file
 513
 514 # DOS EPS Binary File Header
 515 # From: Ed Sznyter <ews@Black.Market.NET>
 516 0       belong          0xC5D0D3C6      DOS EPS Binary File
 517 >4      long            >0              Postscript starts at byte %d
 518 >>8     long            >0              length %d
 519 >>>12   long            >0              Metafile starts at byte %d
 520 >>>>16  long            >0              length %d
 521 >>>20   long            >0              TIFF starts at byte %d
 522 >>>>24  long            >0              length %d
 523
 524 # TNEF magic From "Joomy" <joomy@se-ed.net>
 525 0       leshort         0x223e9f78      TNEF
 526
 527 # HtmlHelp files (.chm)
 528 0       string  ITSF\003\000\000\000\x60\000\000\000\001\000\000\000    MS Windows HtmlHelp Data
 529
 530 # GFA-BASIC (Wolfram Kleff)
 531 2       string          GFA-BASIC3      GFA-BASIC 3 data
 532
 533 #------------------------------------------------------------------------------
 534 # From Stuart Caie <kyzer@4u.net> (developer of cabextract)
 535 # Microsoft Cabinet files
 536 0       string          MSCF\0\0\0\0    Microsoft Cabinet archive data
 537 >8      lelong          x               \b, %u bytes
 538 >28     leshort         1               \b, 1 file
 539 >28     leshort         >1              \b, %u files
 540
 541 # InstallShield Cabinet files
 542 0       string          ISc(            InstallShield Cabinet archive data
 543 >5      byte&0xf0       =0x60           version 6,
 544 >5      byte&0xf0       !0x60           version 4/5,
 545 >(12.l+40)      lelong  x               %u files
 546
 547 # Windows CE package files
 548 0       string          MSCE\0\0\0\0    Microsoft WinCE install header
 549 >20     lelong          0               \b, architecture-independent
 550 >20     lelong          103             \b, Hitachi SH3
 551 >20     lelong          104             \b, Hitachi SH4
 552 >20     lelong          0xA11           \b, StrongARM
 553 >20     lelong          4000            \b, MIPS R4000
 554 >20     lelong          10003           \b, Hitachi SH3
 555 >20     lelong          10004           \b, Hitachi SH3E
 556 >20     lelong          10005           \b, Hitachi SH4
 557 >20     lelong          70001           \b, ARM 7TDMI
 558 >52     leshort         1               \b, 1 file
 559 >52     leshort         >1              \b, %u files
 560 >56     leshort         1               \b, 1 registry entry
 561 >56     leshort         >1              \b, %u registry entries
 562
 563 # Outlook Personal Folders
 564 0       lelong  0x4E444221      Microsoft Outlook binary email folder
 565 >10     leshort 0x0e            (Outlook <=2002)
 566 >10     leshort 0x17            (Outlook >=2003)
 567
 568
 569 # From: Dirk Jagdmann <doj@cubic.org>
 570 0       lelong  0x00035f3f      Windows 3.x help file
 571
 572 # Christophe Monniez
 573 0       string  Client\ UrlCache\ MMF   Microsoft Internet Explorer Cache File
 574 >20     string  >\0                     Version %s
 575 0       string  \xCF\xAD\x12\xFE        Microsoft Outlook Express DBX File
 576 >4      byte    =0xC5                   Message database
 577 >4      byte    =0xC6                   Folder database
 578 >4      byte    =0xC7                   Accounts informations
 579 >4      byte    =0x30                   Offline database
 580
 581
 582 # Windows Enhanced Metafile (EMF)
 583 # See msdn.microsoft.com/archive/en-us/dnargdi/html/msdn_enhmeta.asp
 584 # for further information. Note that "0 lelong 1" should be true i.e.
 585 # the first double word in the file should be 1. With the extended
 586 # syntax available by some file commands you could write:
 587 # 0 lelong 1
 588 # &40 ulelong 0x464D4520 Windows Enhanced Metafile (EMF) image data
 589 40      ulelong 0x464D4520      Windows Enhanced Metafile (EMF) image data
 590 >44     ulelong x               version 0x%x.
 591 # If the description has a length greater than zero, it exists and is
 592 # found at offset (*64).
 593 >64     ulelong >0              Description available at offset 0x%x
 594 >>60    ulelong >0              (length 0x%x)
 595 # Note it would be better to print out the description, which is found
 596 # as below. Unfortunately the following only prints out the first couple
 597 # of characters instead of all the "description length"
 598 # number of characters -- indicated by the ulelong at offset 60.
 599 >>(64.l)  lestring16 >0 Description: %15.15s
 600
 601 # From: Alex Beregszaszi <alex@fsn.hu>
 602 0       string  COWD            VMWare3
 603 >4      byte    3               disk image
 604 >>32    lelong  x               (%d/
 605 >>36    lelong  x               \b%d/
 606 >>40    lelong  x               \b%d)
 607 >4      byte    2               undoable disk image
 608 >>32    string  >\0             (%s)
 609
 610 0       string  VMDK             VMware4 disk image
 611 0       string  KDMV             VMware4 disk image
 612
 613 0       belong  0x514649fb      QEMU Copy-On-Write disk image
 614 >4      belong  x               version %d,
 615 >24     belong  x               size %d +
 616 >28     belong  x               %d
 617
 618 0       string  QEVM            QEMU's suspend to disk image
 619
 620 0       string  Bochs\ Virtual\ HD\ Image       Bochs disk image,
 621 >32     string  x                               type %s,
 622 >48     string  x                               subtype %s
 623
 624 0       lelong  0x02468ace                      Bochs Sparse disk image
 625
 626 # from http://filext.com by Derek M Jones <derek@knosof.co.uk>
 627 0       string  \xD0\xCF\x11\xE0\xA1\xB1\x1A\xE1\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x3E\x00\x03\x00\xFE\xFF        Microsoft Installer
 628 0       string  \320\317\021\340\241\261\032\341        Microsoft Office Document