contrib/file/magic/Magdir/linux

   1
   2 #------------------------------------------------------------------------------
   3 # $File: linux,v 1.42 2012/02/07 21:35:03 christos Exp $
   4 # linux:  file(1) magic for Linux files
   5 #
   6 # Values for Linux/i386 binaries, from Daniel Quinlan <quinlan@yggdrasil.com>
   7 # The following basic Linux magic is useful for reference, but using
   8 # "long" magic is a better practice in order to avoid collisions.
   9 #
  10 # 2     leshort         100             Linux/i386
  11 # >0    leshort         0407            impure executable (OMAGIC)
  12 # >0    leshort         0410            pure executable (NMAGIC)
  13 # >0    leshort         0413            demand-paged executable (ZMAGIC)
  14 # >0    leshort         0314            demand-paged executable (QMAGIC)
  15 #
  16 0       lelong          0x00640107      Linux/i386 impure executable (OMAGIC)
  17 >16     lelong          0               \b, stripped
  18 0       lelong          0x00640108      Linux/i386 pure executable (NMAGIC)
  19 >16     lelong          0               \b, stripped
  20 0       lelong          0x0064010b      Linux/i386 demand-paged executable (ZMAGIC)
  21 >16     lelong          0               \b, stripped
  22 0       lelong          0x006400cc      Linux/i386 demand-paged executable (QMAGIC)
  23 >16     lelong          0               \b, stripped
  24 #
  25 0       string          \007\001\000    Linux/i386 object file
  26 >20     lelong          >0x1020         \b, DLL library
  27 # Linux-8086 stuff:
  28 0       string          \01\03\020\04   Linux-8086 impure executable
  29 >28     long            !0              not stripped
  30 0       string          \01\03\040\04   Linux-8086 executable
  31 >28     long            !0              not stripped
  32 #
  33 0       string          \243\206\001\0  Linux-8086 object file
  34 #
  35 0       string          \01\03\020\20   Minix-386 impure executable
  36 >28     long            !0              not stripped
  37 0       string          \01\03\040\20   Minix-386 executable
  38 >28     long            !0              not stripped
  39 # core dump file, from Bill Reynolds <bill@goshawk.lanl.gov>
  40 216     lelong          0421            Linux/i386 core file
  41 >220    string          >\0             of '%s'
  42 >200    lelong          >0              (signal %d)
  43 #
  44 # LILO boot/chain loaders, from Daniel Quinlan <quinlan@yggdrasil.com>
  45 # this can be overridden by the DOS executable (COM) entry
  46 2       string          LILO            Linux/i386 LILO boot/chain loader
  47 #
  48 # Linux make config build file, from Ole Aamot <oka@oka.no>
  49 28      string          make\ config    Linux make config build file
  50 #
  51 # PSF fonts, from H. Peter Anvin <hpa@yggdrasil.com>
  52 # Updated by Adam Buchbinder <adam.buchbinder@gmail.com>
  53 # See: http://www.win.tue.nl/~aeb/linux/kbd/font-formats-1.html
  54 0       leshort         0x0436          Linux/i386 PC Screen Font v1 data,
  55 >2      byte&0x01       0               256 characters,
  56 >2      byte&0x01       !0              512 characters,
  57 >2      byte&0x02       0               no directory,
  58 >2      byte&0x02       !0              Unicode directory,
  59 >3      byte            >0              8x%d
  60 0       string          \x72\xb5\x4a\x86\x00\x00 Linux/i386 PC Screen Font v2 data,
  61 >16     lelong          x               %d characters,
  62 >12     lelong&0x01     0               no directory,
  63 >12     lelong&0x01     !0              Unicode directory,
  64 >24     lelong          x               %d
  65 >28     lelong          x               \bx%d
  66
  67 # Linux swap file, from Daniel Quinlan <quinlan@yggdrasil.com>
  68 4086    string          SWAP-SPACE      Linux/i386 swap file
  69 # From: Jeff Bailey <jbailey@ubuntu.com>
  70 # Linux swap file with swsusp1 image, from Jeff Bailey <jbailey@ubuntu.com>
  71 4076    string          SWAPSPACE2S1SUSPEND     Linux/i386 swap file (new style) with SWSUSP1 image
  72 # From: James Hunt <james.hunt@ubuntu.com>
  73 4076    string          SWAPSPACE2LINHIB0001    Linux/i386 swap file (new style) (compressed hibernate)
  74 # according to man page of mkswap (8) March 1999
  75 # volume label and UUID Russell Coker
  76 # http://etbe.coker.com.au/2008/07/08/label-vs-uuid-vs-device/
  77 4086    string          SWAPSPACE2      Linux/i386 swap file (new style),
  78 >0x400  long            x               version %d (4K pages),
  79 >0x404  long            x               size %d pages,
  80 >1052   string          \0              no label,
  81 >1052   string          >\0             LABEL=%s,
  82 >0x40c  belong          x               UUID=%08x
  83 >0x410  beshort         x               \b-%04x
  84 >0x412  beshort         x               \b-%04x
  85 >0x414  beshort         x               \b-%04x
  86 >0x416  belong          x               \b-%08x
  87 >0x41a  beshort         x               \b%04x
  88 # From Daniel Novotny <dnovotny@redhat.com>
  89 # swap file for PowerPC
  90 65526   string          SWAPSPACE2      Linux/ppc swap file
  91 #
  92 # Linux kernel boot images, from Albert Cahalan <acahalan@cs.uml.edu>
  93 # and others such as Axel Kohlmeyer <akohlmey@rincewind.chemie.uni-ulm.de>
  94 # and Nicolás Lichtmaier <nick@debian.org>
  95 # All known start with: b8 c0 07 8e d8 b8 00 90 8e c0 b9 00 01 29 f6 29
  96 # Linux kernel boot images (i386 arch) (Wolfram Kleff)
  97 514     string          HdrS            Linux kernel
  98 >510    leshort         0xAA55          x86 boot executable
  99 >>518   leshort         >0x1ff
 100 >>>529  byte            0               zImage,
 101 >>>529  byte            1               bzImage,
 102 >>>(526.s+0x200) string >\0             version %s,
 103 >>498   leshort         1               RO-rootFS,
 104 >>498   leshort         0               RW-rootFS,
 105 >>508   leshort         >0              root_dev 0x%X,
 106 >>502   leshort         >0              swap_dev 0x%X,
 107 >>504   leshort         >0              RAMdisksize %u KB,
 108 >>506   leshort         0xFFFF          Normal VGA
 109 >>506   leshort         0xFFFE          Extended VGA
 110 >>506   leshort         0xFFFD          Prompt for Videomode
 111 >>506   leshort         >0              Video mode %d
 112 # This also matches new kernels, which were caught above by "HdrS".
 113 0               belong  0xb8c0078e      Linux kernel
 114 >0x1e3          string  Loading         version 1.3.79 or older
 115 >0x1e9          string  Loading         from prehistoric times
 116
 117 # System.map files - Nicolás Lichtmaier <nick@debian.org>
 118 8       search/1        \ A\ _text      Linux kernel symbol map text
 119
 120 # LSM entries - Nicolás Lichtmaier <nick@debian.org>
 121 0       search/1        Begin3  Linux Software Map entry text
 122 0       search/1        Begin4  Linux Software Map entry text (new format)
 123
 124 # From Matt Zimmerman, enhanced for v3 by Matthew Palmer
 125 0       belong  0x4f4f4f4d      User-mode Linux COW file
 126 >4      belong  <3              \b, version %d
 127 >>8     string  >\0             \b, backing file %s
 128 >4      belong  >2              \b, version %d
 129 >>32    string  >\0             \b, backing file %s
 130
 131 ############################################################################
 132 # Linux kernel versions
 133
 134 0               string          \xb8\xc0\x07\x8e\xd8\xb8\x00\x90        Linux
 135 >497            leshort         0               x86 boot sector
 136 >>514           belong          0x8e    of a kernel from the dawn of time!
 137 >>514           belong          0x908ed8b4      version 0.99-1.1.42
 138 >>514           belong          0x908ed8b8      for memtest86
 139
 140 >497            leshort         !0              x86 kernel
 141 >>504           leshort         >0              RAMdisksize=%u KB
 142 >>502           leshort         >0              swap=0x%X
 143 >>508           leshort         >0              root=0x%X
 144 >>>498          leshort         1               \b-ro
 145 >>>498          leshort         0               \b-rw
 146 >>506           leshort         0xFFFF          vga=normal
 147 >>506           leshort         0xFFFE          vga=extended
 148 >>506           leshort         0xFFFD          vga=ask
 149 >>506           leshort         >0              vga=%d
 150 >>514           belong          0x908ed881      version 1.1.43-1.1.45
 151 >>514           belong          0x15b281cd
 152 >>>0xa8e        belong          0x55AA5a5a      version 1.1.46-1.2.13,1.3.0
 153 >>>0xa99        belong          0x55AA5a5a      version 1.3.1,2
 154 >>>0xaa3        belong          0x55AA5a5a      version 1.3.3-1.3.30
 155 >>>0xaa6        belong          0x55AA5a5a      version 1.3.31-1.3.41
 156 >>>0xb2b        belong          0x55AA5a5a      version 1.3.42-1.3.45
 157 >>>0xaf7        belong          0x55AA5a5a      version 1.3.46-1.3.72
 158 >>514           string          HdrS
 159 >>>518          leshort         >0x1FF
 160 >>>>529         byte            0               \b, zImage
 161 >>>>529         byte            1               \b, bzImage
 162 >>>>(526.s+0x200) string        >\0             \b, version %s
 163
 164 # Linux boot sector thefts.
 165 0               belong          0xb8c0078e      Linux
 166 >0x1e6          belong          0x454c4b53      ELKS Kernel
 167 >0x1e6          belong          !0x454c4b53     style boot sector
 168
 169 ############################################################################
 170 # Linux S390 kernel image
 171 # Created by: Jan Kaluza <jkaluza@redhat.com>
 172 8 string \x02\x00\x00\x18\x60\x00\x00\x50\x02\x00\x00\x68\x60\x00\x00\x50\x40\x40\x40\x40\x40\x40\x40\x40 Linux S390
 173 >0x00010000 search/b/4096 \x00\x0a\x00\x00\x8b\xad\xcc\xcc
 174 # 64bit
 175 >>&0 string \xc1\x00\xef\xe3\xf0\x68\x00\x00 Z10 64bit kernel
 176 >>&0 string \xc1\x00\xef\xc3\x00\x00\x00\x00 Z9-109 64bit kernel
 177 >>&0 string \xc0\x00\x20\x00\x00\x00\x00\x00 Z990 64bit kernel
 178 >>&0 string \x00\x00\x00\x00\x00\x00\x00\x00 Z900 64bit kernel
 179 # 32bit
 180 >>&0 string \x81\x00\xc8\x80\x00\x00\x00\x00 Z10 32bit kernel
 181 >>&0 string \x81\x00\xc8\x80\x00\x00\x00\x00 Z9-109 32bit kernel
 182 >>&0 string \x80\x00\x20\x00\x00\x00\x00\x00 Z990 32bit kernel
 183 >>&0 string \x80\x00\x00\x00\x00\x00\x00\x00 Z900 32bit kernel
 184
 185 # Linux ARM compressed kernel image
 186 # From: Kevin Cernekee <cernekee@gmail.com>
 187 36      lelong  0x016f2818      Linux kernel ARM boot executable zImage (little-endian)
 188 36      belong  0x016f2818      Linux kernel ARM boot executable zImage (big-endian)
 189
 190 ############################################################################
 191 # Linux 8086 executable
 192 0       lelong&0xFF0000FF 0xC30000E9    Linux-Dev86 executable, headerless
 193 >5      string          .
 194 >>4     string          >\0             \b, libc version %s
 195
 196 0       lelong&0xFF00FFFF 0x4000301     Linux-8086 executable
 197 >2      byte&0x01       !0              \b, unmapped zero page
 198 >2      byte&0x20       0               \b, impure
 199 >2      byte&0x20       !0
 200 >>2     byte&0x10       !0              \b, A_EXEC
 201 >2      byte&0x02       !0              \b, A_PAL
 202 >2      byte&0x04       !0              \b, A_NSYM
 203 >2      byte&0x08       !0              \b, A_STAND
 204 >2      byte&0x40       !0              \b, A_PURE
 205 >2      byte&0x80       !0              \b, A_TOVLY
 206 >28     long            !0              \b, not stripped
 207 >37     string          .
 208 >>36    string          >\0             \b, libc version %s
 209
 210 # 0     lelong&0xFF00FFFF 0x10000301    ld86 I80386 executable
 211 # 0     lelong&0xFF00FFFF 0xB000301     ld86 M68K executable
 212 # 0     lelong&0xFF00FFFF 0xC000301     ld86 NS16K executable
 213 # 0     lelong&0xFF00FFFF 0x17000301    ld86 SPARC executable
 214
 215 # SYSLINUX boot logo files (from 'ppmtolss16' sources)
 216 # http://syslinux.zytor.com/
 217 #
 218 0       lelong  =0x1413f33d             SYSLINUX' LSS16 image data
 219 >4      leshort x                       \b, width %d
 220 >6      leshort x                       \b, height %d
 221
 222 0       string  OOOM                    User-Mode-Linux's Copy-On-Write disk image
 223 >4      belong  x                       version %d
 224
 225 # SE Linux policy database
 226 # From: Mike Frysinger <vapier@gentoo.org>
 227 0       lelong  0xf97cff8c              SE Linux policy
 228 >16     lelong  x                       v%d
 229 >20     lelong  1                       MLS
 230 >24     lelong  x                       %d symbols
 231 >28     lelong  x                       %d ocons
 232
 233 # Linux Logical Volume Manager (LVM)
 234 # Emmanuel VARAGNAT <emmanuel.varagnat@guzu.net>
 235 #
 236 # System ID, UUID and volume group name are 128 bytes long
 237 # but they should never be full and initialized with zeros...
 238 #
 239 # LVM1
 240 #
 241 0x0     string  HM\001          LVM1 (Linux Logical Volume Manager), version 1
 242 >0x12c  string  >\0             , System ID: %s
 243
 244 0x0     string  HM\002          LVM1 (Linux Logical Volume Manager), version 2
 245 >0x12c  string  >\0             , System ID: %s
 246
 247 #  LVM2
 248 #
 249 # It seems that the label header can be in one the four first sector
 250 # of the disk... (from _find_labeller in lib/label/label.c of LVM2)
 251 #
 252 # 0x200 seems to be the common case
 253
 254 0x218           string  LVM2\ 001      LVM2 PV (Linux Logical Volume Manager)
 255 # read the offset to add to the start of the header, and the header
 256 # start in 0x200
 257 >&(&-12.l-0x21) byte    x
 258 # display UUID in LVM format + display all 32 bytes (instead of max string length: 31)
 259 >>&0x0          string  >\x2f          \b, UUID: %.6s
 260 >>&0x6          string  >\x2f          \b-%.4s
 261 >>&0xa          string  >\x2f          \b-%.4s
 262 >>&0xe          string  >\x2f          \b-%.4s
 263 >>&0x12         string  >\x2f          \b-%.4s
 264 >>&0x16         string  >\x2f          \b-%.4s
 265 >>&0x1a         string  >\x2f          \b-%.6s
 266 >>&0x20         lequad  x              \b, size: %lld
 267
 268 0x018           string  LVM2\ 001      LVM2 PV (Linux Logical Volume Manager)
 269 >&(&-12.l-0x21) byte    x
 270 # display UUID in LVM format + display all 32 bytes (instead of max string length: 31)
 271 >>&0x0          string  >\x2f          \b, UUID: %.6s
 272 >>&0x6          string  >\x2f          \b-%.4s
 273 >>&0xa          string  >\x2f          \b-%.4s
 274 >>&0xe          string  >\x2f          \b-%.4s
 275 >>&0x12         string  >\x2f          \b-%.4s
 276 >>&0x16         string  >\x2f          \b-%.4s
 277 >>&0x1a         string  >\x2f          \b-%.6s
 278 >>&0x20         lequad  x              \b, size: %lld
 279
 280 0x418           string  LVM2\ 001      LVM2 PV (Linux Logical Volume Manager)
 281 >&(&-12.l-0x21) byte    x
 282 # display UUID in LVM format + display all 32 bytes (instead of max string length: 31)
 283 >>&0x0          string  >\x2f          \b, UUID: %.6s
 284 >>&0x6          string  >\x2f          \b-%.4s
 285 >>&0xa          string  >\x2f          \b-%.4s
 286 >>&0xe          string  >\x2f          \b-%.4s
 287 >>&0x12         string  >\x2f          \b-%.4s
 288 >>&0x16         string  >\x2f          \b-%.4s
 289 >>&0x1a         string  >\x2f          \b-%.6s
 290 >>&0x20         lequad  x              \b, size: %lld
 291
 292 0x618           string  LVM2\ 001      LVM2 PV (Linux Logical Volume Manager)
 293 >&(&-12.l-0x21) byte    x
 294 # display UUID in LVM format + display all 32 bytes (instead of max string length: 31)
 295 >>&0x0          string  >\x2f          \b, UUID: %.6s
 296 >>&0x6          string  >\x2f          \b-%.4s
 297 >>&0xa          string  >\x2f          \b-%.4s
 298 >>&0xe          string  >\x2f          \b-%.4s
 299 >>&0x12         string  >\x2f          \b-%.4s
 300 >>&0x16         string  >\x2f          \b-%.4s
 301 >>&0x1a         string  >\x2f          \b-%.6s
 302 >>&0x20         lequad  x              \b, size: %lld
 303
 304 # LVM snapshot
 305 # from Jason Farrel
 306 0       string  SnAp    LVM Snapshot (CopyOnWrite store)
 307 >4      lelong  !0      - valid,
 308 >4      lelong  0       - invalid,
 309 >8      lelong  x       version %d,
 310 >12     lelong  x       chunk_size %d
 311
 312 # SE Linux policy database
 313 0       lelong  0xf97cff8c              SE Linux policy
 314 >16     lelong  x                       v%d
 315 >20     lelong  1                       MLS
 316 >24     lelong  x                       %d symbols
 317 >28     lelong  x                       %d ocons
 318
 319 # LUKS: Linux Unified Key Setup, On-Disk Format, http://luks.endorphin.org/spec
 320 # Anthon van der Neut (anthon@mnt.org)
 321 0       string  LUKS\xba\xbe    LUKS encrypted file,
 322 >6      beshort x               ver %d
 323 >8      string  x               [%s,
 324 >40     string  x               %s,
 325 >72     string  x               %s]
 326 >168    string  x               UUID: %s
 327
 328
 329 # Summary: Xen saved domain file
 330 # Created by: Radek Vokal <rvokal@redhat.com>
 331 0       string          LinuxGuestRecord        Xen saved domain
 332 >20     search/256      (name
 333 >>&1    string          x                       (name %s)
 334
 335 # Type: Xen, the virtual machine monitor
 336 # From: Radek Vokal <rvokal@redhat.com>
 337 0       string          LinuxGuestRecord        Xen saved domain
 338 #>2     regex           \(name\ [^)]*\)         %s
 339 >20     search/256      (name                   (name
 340 >>&1    string          x                       %s...)