Upgrade to file-4.18.
[dragonfly.git] / contrib / file-4 / magic / Magdir / msdos
1
2 #------------------------------------------------------------------------------
3 # msdos:  file(1) magic for MS-DOS files
4 #
5
6 # .BAT files (Daniel Quinlan, quinlan@yggdrasil.com)
7 0       string/c        @echo\ off      MS-DOS batch file text
8
9 # OS/2 batch files are REXX. the second regex is a bit generic, oh well
10 # the matched commands seem to be common in REXX and uncommon elsewhere
11 100 regex/c =^\\s*call\s+rxfuncadd.*sysloadfu OS/2 REXX batch file text
12 100 regex/c =^\\s*say\ ['"] OS/2 REXX batch file text
13
14 0       leshort         0x14c   MS Windows COFF Intel 80386 object file
15 #>4     ledate          x       stamp %s
16 0       leshort         0x166   MS Windows COFF MIPS R4000 object file
17 #>4     ledate          x       stamp %s
18 0       leshort         0x184   MS Windows COFF Alpha object file
19 #>4     ledate          x       stamp %s
20 0       leshort         0x268   MS Windows COFF Motorola 68000 object file
21 #>4     ledate          x       stamp %s
22 0       leshort         0x1f0   MS Windows COFF PowerPC object file
23 #>4     ledate          x       stamp %s
24 0       leshort         0x290   MS Windows COFF PA-RISC object file
25 #>4     ledate          x       stamp %s
26
27 # XXX - according to Microsoft's spec, at an offset of 0x3c in a
28 # PE-format executable is the offset in the file of the PE header;
29 # unfortunately, that's a little-endian offset, and there's no way
30 # to specify an indirect offset with a specified byte order.
31 # So, for now, we assume the standard MS-DOS stub, which puts the
32 # PE header at 0x80 = 128.
33 #
34 # Required OS version and subsystem version were 4.0 on some NT 3.51
35 # executables built with Visual C++ 4.0, so it's not clear that
36 # they're interesting.  The user version was 0.0, but there's
37 # probably some linker directive to set it.  The linker version was
38 # 3.0, except for one ".exe" which had it as 4.20 (same damn linker!).
39 #
40 # many of the compressed formats were extraced from IDARC 1.23 source code
41 #
42 0       string  MZ
43 >0 string MZ\0\0\0\0\0\0\0\0\0\0PE\0\0 PE executable for MS Windows
44 >>&18   leshort&0x2000  >0      (DLL)
45 >>&88   leshort         0       (unknown subsystem)
46 >>&88   leshort         1       (native)
47 >>&88   leshort         2       (GUI)
48 >>&88   leshort         3       (console)
49 >>&88   leshort         7       (POSIX)
50 >>&0    leshort         0x0     unknown processor
51 >>&0    leshort         0x14c   Intel 80386
52 >>&0    leshort         0x166   MIPS R4000
53 >>&0    leshort         0x184   Alpha
54 >>&0    leshort         0x268   Motorola 68000
55 >>&0    leshort         0x1f0   PowerPC
56 >>&0    leshort         0x290   PA-RISC
57 >>&18   leshort&0x0100  >0      32-bit
58 >>&18   leshort&0x1000  >0      system file
59 >>&0xf4 search/0x140 \x0\x40\x1\x0
60 >>>(&0.l+(4)) string MSCF \b, WinHKI CAB self-extracting archive
61
62 >0x18  leshort >0x3f
63 >>(0x3c.l) string PE\0\0 PE executable
64 # hooray, there's a DOS extender using the PE format, with a valid PE
65 # executable inside (which just prints a message and exits if run in win)
66 >>>(8.s*16) string 32STUB for MS-DOS, 32rtm DOS extender
67 >>>(8.s*16) string !32STUB for MS Windows
68 >>>>(0x3c.l+22) leshort&0x2000  >0      (DLL)
69 >>>>(0x3c.l+92) leshort         0       (unknown subsystem)
70 >>>>(0x3c.l+92) leshort         1       (native)
71 >>>>(0x3c.l+92) leshort         2       (GUI)
72 >>>>(0x3c.l+92) leshort         3       (console)
73 >>>>(0x3c.l+92) leshort         7       (POSIX)
74 >>>>(0x3c.l+4)  leshort         0x0     unknown processor
75 >>>>(0x3c.l+4)  leshort         0x14c   Intel 80386
76 >>>>(0x3c.l+4)  leshort         0x166   MIPS R4000
77 >>>>(0x3c.l+4)  leshort         0x184   Alpha
78 >>>>(0x3c.l+4)  leshort         0x268   Motorola 68000
79 >>>>(0x3c.l+4)  leshort         0x1f0   PowerPC
80 >>>>(0x3c.l+4)  leshort         0x290   PA-RISC
81 >>>>(0x3c.l+22) leshort&0x0100  >0      32-bit
82 >>>>(0x3c.l+22) leshort&0x1000  >0      system file
83
84 >>>>(0x3c.l+0xf8)       string          UPX0 \b, UPX compressed
85 >>>>(0x3c.l+0xf8)       search/0x140    PEC2 \b, PECompact2 compressed
86 >>>>(0x3c.l+0xf8)       search/0x140    UPX2
87 >>>>>(&0x10.l+(-4))     string          PK\3\4 \b, ZIP self-extracting archive (Info-Zip)
88 >>>>(0x3c.l+0xf8)       search/0x140    .idata
89 >>>>>(&0xe.l+(-4))      string          PK\3\4 \b, ZIP self-extracting archive (Info-Zip)
90 >>>>>(&0xe.l+(-4))      string          ZZ0 \b, ZZip self-extracting archive
91 >>>>>(&0xe.l+(-4))      string          ZZ1 \b, ZZip self-extracting archive
92 >>>>(0x3c.l+0xf8)       search/0x140    .rsrc
93 >>>>>(&0x0f.l+(-4))     string          a\\\4\5 \b, WinHKI self-extracting archive
94 >>>>>(&0x0f.l+(-4))     string          Rar! \b, RAR self-extracting archive
95 >>>>>(&0x0f.l+(-4))     search/0x3000   MSCF \b, InstallShield self-extracting archive
96 >>>>>(&0x0f.l+(-4))     search/32       Nullsoft \b, Nullsoft Installer self-extracting archive
97 >>>>(0x3c.l+0xf8)       search/0x140    .data
98 >>>>>(&0x0f.l)          string          WEXTRACT \b, MS CAB-Installer self-extracting archive
99 >>>>(0x3c.l+0xf8)       search/0x140    .petite\0 \b, Petite compressed
100 >>>>>(0x3c.l+0xf7)      byte            x
101 >>>>>>(&0x104.l+(-4))   string          =!sfx! \b, ACE self-extracting archive
102 >>>>(0x3c.l+0xf8)       search/0x140    .WISE \b, WISE installer self-extracting archive
103 >>>>(0x3c.l+0xf8)       search/0x140    .dz\0\0\0 \b, Dzip self-extracting archive
104 >>>>(0x3c.l+0xf8)       search/0x140    .reloc
105 >>>>>(&0xe.l+(-4))      search/0x180    PK\3\4 \b, ZIP self-extracting archive (WinZip)
106
107 >>>>&(0x3c.l+0xf8)      search/0x100    _winzip_ \b, ZIP self-extracting archive (WinZip)
108 >>>>&(0x3c.l+0xf8)      search/0x100    SharedD \b, Microsoft Installer self-extracting archive
109 >>>>0x30                string          Inno \b, InnoSetup self-extracting archive
110
111 >>(0x3c.l)              string          NE NE executable
112 >>>(0x3c.l+0x36)        byte            0 (unknown OS)
113 >>>(0x3c.l+0x36)        byte            1 for OS/2 1.x
114 >>>(0x3c.l+0x36)        byte            2 for MS Windows 3.x
115 >>>(0x3c.l+0x36)        byte            3 for MS-DOS
116 >>>(0x3c.l+0x36)        byte            >3 (unknown OS)
117 >>>(0x3c.l+0x36)        byte            0x81 for MS-DOS, Phar Lap DOS extender
118 >>>(0x3c.l+0x0c)        leshort&0x8003  0x8002 (DLL)
119 >>>(0x3c.l+0x0c)        leshort&0x8003  0x8001 (driver)
120 >>>&(&0x24.s-1)         string          ARJSFX \b, ARJ self-extracting archive
121 >>>(0x3c.l+0x70)        search/0x80     WinZip(R)\ Self-Extractor \b, ZIP self-extracting archive (WinZip)
122
123 >>(0x3c.l)              string          LX\0\0 LX executable
124 >>>(0x3c.l+0x0a)        leshort         <1 (unknown OS)
125 >>>(0x3c.l+0x0a)        leshort         1 for OS/2
126 >>>(0x3c.l+0x0a)        leshort         2 for MS Windows
127 >>>(0x3c.l+0x0a)        leshort         3 for DOS
128 >>>(0x3c.l+0x0a)        leshort         >3 (unknown OS)
129 >>>(0x3c.l+0x10)        lelong&0x28000  =0x8000 (DLL)
130 >>>(0x3c.l+0x10)        lelong&0x20000  >0 (device driver)
131 >>>(0x3c.l+0x10)        lelong&0x300    0x300 (GUI)
132 >>>(0x3c.l+0x10)        lelong&0x28300  <0x300 (console)
133 >>>(0x3c.l+0x08)        leshort         1 i80286
134 >>>(0x3c.l+0x08)        leshort         2 i80386
135 >>>(0x3c.l+0x08)        leshort         3 i80486
136 >>>(8.s*16)             string          emx \b, emx
137 >>>>&1                  string          x %s
138 >>>&(&0x54.l-3)         string          arjsfx \b, ARJ self-extracting archive
139
140 # MS Windows system file, supposedly a collection of LE executables
141 >>(0x3c.l)              string          W3 W3 executable for MS Windows
142
143 >>(0x3c.l)              string          LE\0\0 LE executable
144 >>>(0x3c.l+0x0a)        leshort         1
145 # some DOS extenders use LE files with OS/2 header
146 >>>>0x240               search/0x100    DOS/4G for MS-DOS, DOS4GW DOS extender
147 >>>>0x240               search/0x200    WATCOM\ C/C++ for MS-DOS, DOS4GW DOS extender
148 >>>>0x440               search/0x100    CauseWay\ DOS\ Extender for MS-DOS, CauseWay DOS extender
149 >>>>0x40                search/0x40     PMODE/W for MS-DOS, PMODE/W DOS extender
150 >>>>0x40                search/0x40     STUB/32A for MS-DOS, DOS/32A DOS extender (stub)
151 >>>>0x40                search/0x80     STUB/32C for MS-DOS, DOS/32A DOS extender (configurable stub)
152 >>>>0x40                search/0x80     DOS/32A for MS-DOS, DOS/32A DOS extender (embedded)
153 # this is a wild guess; hopefully it is a specific signature
154 >>>>&0x24               lelong          <0x50
155 >>>>>(&0x4c.l)          string          \xfc\xb8WATCOM
156 >>>>>>&0                search/8        3\xdbf\xb9 \b, 32Lite compressed
157 # another wild guess: if real OS/2 LE executables exist, they probably have higher start EIP
158 #>>>>(0x3c.l+0x1c)      lelong          >0x10000 for OS/2
159 # fails with DOS-Extenders.
160 >>>(0x3c.l+0x0a)        leshort         2 for MS Windows
161 >>>(0x3c.l+0x0a)        leshort         3 for MS-DOS
162 >>>(0x3c.l+0x0a)        leshort         4 for MS Windows (VxD)
163 >>>(&0x7c.l+0x26)       string          UPX \b, UPX compressed
164 >>>&(&0x54.l-3)         string          UNACE \b, ACE self-extracting archive
165
166 # looks like ASCII, probably some embedded copyright message.
167 # and definitely not NE/LE/LX/PE
168 >>0x3c          lelong  >0x20000000
169 >>>(4.s*512)    leshort !0x014c MZ executable for MS-DOS
170 # header data too small for extended executable
171 >2              long    !0
172 >>0x18          leshort <0x40
173 >>>(4.s*512)    leshort !0x014c
174
175 >>>>&(2.s-514)  string  !LE
176 >>>>>&-2        string  !BW MZ executable for MS-DOS
177 >>>>&(2.s-514)  string  LE LE executable
178 >>>>>0x240      search/0x100    DOS/4G for MS-DOS, DOS4GW DOS extender
179 # educated guess since indirection is still not capable enough for complex offset
180 # calculations (next embedded executable would be at &(&2*512+&0-2)
181 # I suspect there are only LE executables in these multi-exe files
182 >>>>&(2.s-514)  string  BW
183 >>>>>0x240      search/0x100    DOS/4G LE executable for MS-DOS, DOS4GW DOS extender (embedded)
184 >>>>>0x240      search/0x100    !DOS/4G BW executable collection for MS-DOS
185
186 # This sequence skips to the first COFF segment, usually .text
187 >(4.s*512)      leshort         0x014c COFF executable
188 >>(8.s*16)      string          go32stub for MS-DOS, DJGPP go32 DOS extender
189 >>(8.s*16)      string          emx
190 >>>&1           string          x for DOS, Win or OS/2, emx %s
191 >>&(&0x42.l-3)  byte            x 
192 >>>&0x26        string          UPX \b, UPX compressed
193 # and yet another guess: small .text, and after large .data is unusal, could be 32lite
194 >>&0x2c         search/0xa0     .text
195 >>>&0x0b        lelong          <0x2000
196 >>>>&0          lelong          >0x6000 \b, 32lite compressed
197
198 >(8.s*16) string $WdX \b, WDos/X DOS extender
199
200 # .EXE formats (Greg Roelofs, newt@uchicago.edu)
201 #
202 >0x35   string  \x8e\xc0\xb9\x08\x00\xf3\xa5\x4a\x75\xeb\x8e\xc3\x8e\xd8\x33\xff\xbe\x30\x00\x05 \b, aPack compressed
203 >0xe7   string  LH/2\ Self-Extract \b, %s
204 >0x1c   string  diet \b, diet compressed
205 >0x1c   string  LZ09 \b, LZEXE v0.90 compressed
206 >0x1c   string  LZ91 \b, LZEXE v0.91 compressed
207 >0x1c   string  tz \b, TinyProg compressed
208 >0x1e   string  PKLITE \b, %s compressed
209 >0x64   string  W\ Collis\0\0 \b, Compack compressed
210 >0x24   string  LHa's\ SFX \b, LHa self-extracting archive
211 >0x24   string  LHA's\ SFX \b, LHa self-extracting archive
212 >0x24   string  \ $ARX \b, ARX self-extracting archive
213 >0x24   string  \ $LHarc \b, LHarc self-extracting archive
214 >0x20   string  SFX\ by\ LARC \b, LARC self-extracting archive
215 >1638   string  -lh5- \b, LHa self-extracting archive v2.13S
216 >0x17888 string Rar! \b, RAR self-extracting archive
217 >0x40   string aPKG \b, aPackage self-extracting archive
218
219 >32      string AIN
220 >>35     string 2              \b, AIN 2.x compressed
221 >>35     string <2             \b, AIN 1.x compressed
222 >>35     string >2             \b, AIN 1.x compressed
223 >28      string UC2X           \b, UCEXE compressed
224 >28      string WWP\           \b, WWPACK compressed
225
226 # skip to the end of the exe
227 >(4.s*512)      long    x 
228 >>&(2.s-517)    byte    x 
229 >>>&0   string          PK\3\4 \b, ZIP self-extracting archive
230 >>>&0   string          Rar! \b, RAR self-extracting archive
231 >>>&0   string          =!\x11 \b, AIN 2.x self-extracting archive
232 >>>&0   string          =!\x12 \b, AIN 2.x self-extracting archive
233 >>>&0   string          =!\x17 \b, AIN 1.x self-extracting archive
234 >>>&0   string          =!\x18 \b, AIN 1.x self-extracting archive
235 >>>&7   search/400      **ACE** \b, ACE self-extracting archive
236 >>>&0   search/0x480    UC2SFX\ Header \b, UC2 self-extracting archive
237
238 >0x1c   string          RJSX \b, ARJ self-extracting archive
239 # winarj stores a message in the stub instead of the sig in the MZ header
240 >0x20   search/0xe0     aRJsfX \b, ARJ self-extracting archive
241
242 # a few unknown ZIP sfxes, no idea if they are needed or if they are
243 # already captured by the generic patterns above
244 >122            string          Windows\ self-extracting\ ZIP   \b, ZIP self-extracting archive
245 >(8.s*16)       search/0x20     PKSFX \b, ZIP self-extracting archive (PKZIP)
246 # TODO: how to add this? >FileSize-34 string Windows\ Self-Installing\ Executable \b, ZIP self-extracting archive
247 #
248
249 # TELVOX Teleinformatica CODEC self-extractor for OS/2:
250 >49801  string  \x79\xff\x80\xff\x76\xff        \b, CODEC archive v3.21
251 >>49824 leshort         =1                      \b, 1 file
252 >>49824 leshort         >1                      \b, %u files
253
254 # .COM formats (Daniel Quinlan, quinlan@yggdrasil.com)
255 # Uncommenting only the first two lines will cover about 2/3 of COM files,
256 # but it isn't feasible to match all COM files since there must be at least
257 # two dozen different one-byte "magics".
258 0       byte            0xe9            MS-DOS executable (COM)
259 >6      string          SFX\ of\ LHarc  (%s)
260 0       byte            0x8c            MS-DOS executable (COM)
261 # 0xeb conflicts with "sequent" magic
262 0       byte            0xeb            MS-DOS executable (COM)
263 >4      string          \ $ARX          \b, ARX self-extracting archive
264 >4      string          \ $LHarc        \b, LHarc self-extracting archive
265 >0x20e  string          SFX\ by\ LARC   \b, LARC self-extracting archive
266 0       byte            0xb8            COM executable for MS-DOS
267 # many compressed/converted COMs start with a copy loop instead of a jump
268 0x6     search/0xa      \xfc\x57\xf3\xa5\xc3    COM executable for MS-DOS
269 0x6     search/0xa      \xfc\x57\xf3\xa4\xc3    COM executable for MS-DOS
270 >0x18   search/0x10     \x50\xa4\xff\xd5\x73    \b, aPack compressed
271 0x3c    string          W\ Collis\0\0           COM executable for MS-DOS, Compack compressed
272 # FIXME: missing diet .com compression
273
274 # miscellaneous formats
275 0       string          LZ              MS-DOS executable (built-in)
276 #0      byte            0xf0            MS-DOS program library data
277 #
278
279 #
280 # Windows Registry files.
281 #
282 0       string          regf            Windows NT registry file
283 0       string          CREG            Windows 95 registry file
284
285
286 # AAF files:
287 # <stuartc@rd.bbc.co.uk> Stuart Cunningham
288 0       string  \320\317\021\340\241\261\032\341AAFB\015\000OM\006\016\053\064\001\001\001\377                  AAF legacy file using MS Structured Storage
289 >30     byte    9               (512B sectors)
290 >30     byte    12              (4kB sectors)
291 0       string  \320\317\021\340\241\261\032\341\001\002\001\015\000\002\000\000\006\016\053\064\003\002\001\001                        AAF file using MS Structured Storage
292 >30     byte    9               (512B sectors)
293 >30     byte    12              (4kB sectors)
294
295 # Popular applications
296 2080    string  Microsoft\ Word\ 6.0\ Document  %s
297 2080    string  Documento\ Microsoft\ Word\ 6 Spanish Microsoft Word 6 document data
298 # Pawel Wiecek <coven@i17linuxb.ists.pwr.wroc.pl> (for polish Word)
299 2112    string  MSWordDoc                       Microsoft Word document data
300 #
301 0       belong  0x31be0000                      Microsoft Word Document
302 #
303 0       string  PO^Q`                           Microsoft Word 6.0 Document
304 #
305 0       string  \376\067\0\043                  Microsoft Office Document
306 0       string  \320\317\021\340\241\261\032\341        Microsoft Office Document
307 0       string  \333\245-\0\0\0                 Microsoft Office Document
308 #
309 2080    string  Microsoft\ Excel\ 5.0\ Worksheet        %s
310 2080    string  Foglio\ di\ lavoro\ Microsoft\ Exce     %s
311 #
312 # Pawel Wiecek <coven@i17linuxb.ists.pwr.wroc.pl> (for polish Excel)
313 2114    string  Biff5           Microsoft Excel 5.0 Worksheet
314 # Italian MS-Excel
315 2121    string  Biff5           Microsoft Excel 5.0 Worksheet
316 0       string  \x09\x04\x06\x00\x00\x00\x10\x00        Microsoft Excel Worksheet
317 #
318 0       belong  0x00001a00      Lotus 1-2-3
319 >4      belong  0x00100400      wk3 document data
320 >4      belong  0x02100400      wk4 document data
321 >4      belong  0x07800100      fm3 or fmb document data
322 >4      belong  0x07800000      fm3 or fmb document data
323 #
324 0       belong  0x00000200      Lotus 1-2-3
325 >4      belong  0x06040600      wk1 document data
326 >4      belong  0x06800200      fmt document data
327
328 # Help files
329 0       string  ?_\3\0          MS Windows Help Data
330
331 #  DeIsL1.isu what this is I don't know
332 0       string  \161\250\000\000\001\002        DeIsL1.isu whatever that is
333
334 # Winamp .avs
335 #0      string  Nullsoft\ AVS\ Preset\ \060\056\061\032 A plug in for Winamp ms-windows Freeware media player
336 0       string  Nullsoft\ AVS\ Preset\  Winamp plug in
337
338 # Hyper terminal:
339 0       string  HyperTerminal\  hyperterm
340 >15     string  1.0\ --\ HyperTerminal\ data\ file      MS-windows Hyperterminal
341
342 # Windows Metafont .WMF
343 0       string  \327\315\306\232\000\000\000\000\000\000        ms-windows metafont .wmf
344
345 #tz3 files whatever that is (MS Works files)
346 0       string  \003\001\001\004\070\001\000\000        tz3 ms-works file
347 0       string  \003\002\001\004\070\001\000\000        tz3 ms-works file
348 0       string  \003\003\001\004\070\001\000\000        tz3 ms-works file
349
350 # PGP sig files .sig
351 #0 string \211\000\077\003\005\000\063\237\127 065 to  \027\266\151\064\005\045\101\233\021\002 PGP sig
352 0 string \211\000\077\003\005\000\063\237\127\065\027\266\151\064\005\045\101\233\021\002 PGP sig
353 0 string \211\000\077\003\005\000\063\237\127\066\027\266\151\064\005\045\101\233\021\002 PGP sig
354 0 string \211\000\077\003\005\000\063\237\127\067\027\266\151\064\005\045\101\233\021\002 PGP sig
355 0 string \211\000\077\003\005\000\063\237\127\070\027\266\151\064\005\045\101\233\021\002 PGP sig
356 0 string \211\000\077\003\005\000\063\237\127\071\027\266\151\064\005\045\101\233\021\002 PGP sig
357 0 string \211\000\225\003\005\000\062\122\207\304\100\345\042 PGP sig
358
359 # windows zips files .dmf
360 0       string  MDIF\032\000\010\000\000\000\372\046\100\175\001\000\001\036\001\000 MS Windows special zipped file
361
362
363 # Windows help file FTG FTS
364 0       string  \164\146\115\122\012\000\000\000\001\000\000\000        MS Windows help cache
365
366 # grp old windows 3.1 group files
367 0 string  \120\115\103\103      MS Windows 3.1 group files
368
369
370 # lnk files windows symlinks
371 0       string  \114\000\000\000\001\024\002\000\000\000\000\000\300\000\000\000\000\000\000\106        MS Windows shortcut
372
373 #ico files
374 0       string  \102\101\050\000\000\000\056\000\000\000\000\000\000\000        Icon for MS Windows
375
376 # Windows icons (Ian Springer <ips@fpk.hp.com>)
377 0       string  \000\000\001\000        MS Windows icon resource
378 >4      byte    1                       - 1 icon
379 >4      byte    >1                      - %d icons
380 >>6     byte    >0                      \b, %dx
381 >>>7    byte    >0                      \b%d
382 >>8     byte    0                       \b, 256-colors
383 >>8     byte    >0                      \b, %d-colors
384
385
386 # .chr files
387 0       string  PK\010\010BGI   Borland font 
388 >4      string  >\0     %s
389 # then there is a copyright notice
390
391
392 # .bgi files
393 0       string  pk\010\010BGI   Borland device 
394 >4      string  >\0     %s
395 # then there is a copyright notice
396
397
398 # recycled/info the windows trash bin index
399 9       string  \000\000\000\030\001\000\000\000 MS Windows recycled bin info
400
401
402 ##### put in Either Magic/font or Magic/news
403 # Acroread or something  files wrongly identified as G3  .pfm
404 # these have the form \000 \001 any? \002 \000 \000
405 # or \000 \001 any? \022 \000 \000
406 #0      string  \000\001 pfm?
407 #>3     string  \022\000\000Copyright\  yes
408 #>3     string  \002\000\000Copyright\  yes
409 #>3     string  >\0     oops, not a font file. Cancel that.
410 #it clashes with ttf files so put it lower down.
411
412 # From Doug Lee via a FreeBSD pr
413 9       string          GERBILDOC       First Choice document
414 9       string          GERBILDB        First Choice database
415 9       string          GERBILCLIP      First Choice database
416 0       string          GERBIL          First Choice device file
417 9       string          RABBITGRAPH     RabbitGraph file
418 0       string          DCU1            Borland Delphi .DCU file
419 0       string          =!<spell>       MKS Spell hash list (old format)
420 0       string          =!<spell2>      MKS Spell hash list
421 # Too simple - MPi
422 #0      string          AH              Halo(TM) bitmapped font file
423 0       lelong          0x08086b70      TurboC BGI file
424 0       lelong          0x08084b50      TurboC Font file
425
426 # WARNING: below line conflicts with Infocom game data Z-machine 3
427 0       byte            0x03            DBase 3 data file
428 >0x04   lelong          0               (no records)
429 >0x04   lelong          >0              (%ld records)
430 0       byte            0x83            DBase 3 data file with memo(s)
431 >0x04   lelong          0               (no records)
432 >0x04   lelong          >0              (%ld records)
433 0       leshort         0x0006          DBase 3 index file
434 0       string          PMCC            Windows 3.x .GRP file
435 1       string          RDC-meg         MegaDots 
436 >8      byte            >0x2F           version %c
437 >9      byte            >0x2F           \b.%c file
438 0       lelong          0x4C
439 >4      lelong          0x00021401      Windows shortcut file
440
441 # DOS EPS Binary File Header
442 # From: Ed Sznyter <ews@Black.Market.NET>
443 0       belong          0xC5D0D3C6      DOS EPS Binary File
444 >4      long            >0              Postscript starts at byte %d
445 >>8     long            >0              length %d
446 >>>12   long            >0              Metafile starts at byte %d
447 >>>>16  long            >0              length %d
448 >>>20   long            >0              TIFF starts at byte %d
449 >>>>24  long            >0              length %d
450
451 # TNEF magic From "Joomy" <joomy@se-ed.net> 
452 0       leshort         0x223e9f78      TNEF
453
454 # HtmlHelp files (.chm)
455 0       string  ITSF\003\000\000\000\x60\000\000\000\001\000\000\000    MS Windows HtmlHelp Data
456
457 # GFA-BASIC (Wolfram Kleff)
458 2       string          GFA-BASIC3      GFA-BASIC 3 data
459
460 #------------------------------------------------------------------------------
461 # From Stuart Caie <kyzer@4u.net> (developer of cabextract)
462 # Microsoft Cabinet files
463 0       string          MSCF\0\0\0\0    Microsoft Cabinet archive data
464 >8      lelong          x               \b, %u bytes
465 >28     leshort         1               \b, 1 file
466 >28     leshort         >1              \b, %u files
467
468 # InstallShield Cabinet files
469 0       string          ISc(            InstallShield Cabinet archive data
470 >5      byte&0xf0       =0x60           version 6,
471 >5      byte&0xf0       !0x60           version 4/5,
472 >(12.l+40)      lelong  x               %u files
473
474 # Windows CE package files
475 0       string          MSCE\0\0\0\0    Microsoft WinCE install header
476 >20     lelong          0               \b, architecture-independent
477 >20     lelong          103             \b, Hitachi SH3
478 >20     lelong          104             \b, Hitachi SH4
479 >20     lelong          0xA11           \b, StrongARM
480 >20     lelong          4000            \b, MIPS R4000
481 >20     lelong          10003           \b, Hitachi SH3
482 >20     lelong          10004           \b, Hitachi SH3E
483 >20     lelong          10005           \b, Hitachi SH4
484 >20     lelong          70001           \b, ARM 7TDMI
485 >52     leshort         1               \b, 1 file
486 >52     leshort         >1              \b, %u files
487 >56     leshort         1               \b, 1 registry entry
488 >56     leshort         >1              \b, %u registry entries
489
490 # Outlook Personal Folders
491 0       lelong  0x4E444221      Microsoft Outlook binary email folder
492
493 # From: Dirk Jagdmann <doj@cubic.org>
494 0       lelong  0x00035f3f      Windows 3.x help file
495
496 # Christophe Monniez
497 0       string  Client\ UrlCache\ MMF   Microsoft Internet Explorer Cache File
498 >20     string  >\0                     Version %s
499 0       string  \xCF\xAD\x12\xFE        Microsoft Outlook Express DBX File
500 >4      byte    =0xC5                   Message database
501 >4      byte    =0xC6                   Folder database
502 >4      byte    =0xC7                   Accounts informations
503 >4      byte    =0x30                   Offline database
504
505
506 # Windows Enhanced Metafile (EMF)
507 # See msdn.microsoft.com/archive/en-us/dnargdi/html/msdn_enhmeta.asp 
508 # for further information. Note that "0 lelong 1" should be true i.e.
509 # the first double word in the file should be 1. With the extended
510 # syntax available by some file commands you could write:
511 # 0 lelong 1
512 # &40 ulelong 0x464D4520 Windows Enhanced Metafile (EMF) image data
513 40      ulelong 0x464D4520      Windows Enhanced Metafile (EMF) image data
514 >44     ulelong x               version 0x%x.
515 # If the description has a length greater than zero, it exists and is 
516 # found at offset (*64).
517 >64     ulelong >0              Description available at offset 0x%x
518 >>60    ulelong >0              (length 0x%x)
519 # Note it would be better to print out the description, which is found 
520 # as below. Unfortunately the following only prints out the first couple
521 # of characters instead of all the "description length"
522 # number of characters -- indicated by the ulelong at offset 60.
523 >>(64.l)  lestring16 >0 Description: %15.15s