ZIP Entpacken

ZIP-Extraktion öffnet ein Archiv und stellt die darin gespeicherten Dateien wieder her. Sie ist nützlich, wenn ein komprimiertes Paket ankommt, der Inhalt vor dem Herunterladen geprüft werden soll, nur eine Datei benötigt wird oder Dateinamen und Größen vor dem Vertrauen in ein Archiv kontrolliert werden sollen. Für normale Dateien ist ZIP verlustfrei, der Inhalt sollte nach dem Entpacken identisch sein. Entpacken macht unbekannte Inhalte jedoch nicht sicher. Archive können irreführende Dateinamen, unerwartete Ordner, sehr große entpackte Daten oder ausführbare Dateien enthalten, die nicht ungeprüft geöffnet werden sollten. Dieses Browser-Werkzeug liest das Archiv lokal und erlaubt das Herunterladen ausgewählter Dateien, eignet sich aber eher für kleine Prüfungen. Es ersetzt keine Sicherheitsprüfung verdächtiger Archive.

Das Lesen eines ZIP-Archivs erfolgt in umgekehrter Reihenfolge zum Schreiben. Der Browser empfängt die Datei als `ArrayBuffer` über die File API (`file.arrayBuffer()`) und der Leser scannt rückwärts vom Dateiende nach der End-of-Central-Directory-Signatur `0x06054b50` (PK\x05\x06). EOCD ist höchstens 22 Bytes plus ein optionaler Kommentar von bis zu 65.535 Bytes, sodass das Scanfenster begrenzt ist. EOCD verweist auf Offset und Größe des Zentralverzeichnisses, das einen Datei-Header (`0x02014b50`) pro Eintrag enthält. Jeder Datei-Header trägt die komprimierten und unkomprimierten Größen, CRC-32, Komprimierungsmethode, Dateinamen und den Offset des zugehörigen Lokalen Datei-Headers (`0x04034b50`). Der Leser kann dann direkt zu jedem einzelnen Eintrag seeken, ohne die vorherigen Einträge parsen zu müssen – daher ist die Einzeldatei-Extraktion aus einem mehrere GB großen Backup schnell. Die Dekomprimierung hängt vom Methoden-Byte ab: `0x00` ist gespeichert (keine Komprimierung, nur memcpy), `0x08` ist DEFLATE gemäß RFC 1951 (~99 % der Archive in der Praxis), `0x0C` ist BZIP2, `0x0E` ist LZMA und `0x5D` ist das ältere PPMd. Dieses Werkzeug verwendet JSZip (oder fflate für höheren Durchsatz – fflates `unzipSync` dekodiert ein typisches 10-MB-DEFLATE-Archiv in Zehntelsekunden, mehrfach schneller als JSZip). Nach der Dekomprimierung wird der CRC-32 der rohen Bytes neu berechnet und mit dem Wert im Zentralverzeichnis verglichen; eine Nichtübereinstimmung zeigt Korruption oder Manipulation an. Zwei Sicherheitsaspekte sind für jeden Extraktionscodepfad relevant. Der erste ist die Zip-Slip-Schwachstelle (Snyk, 2018): Ein bösartiges Archiv kann Einträge mit Pfadaversalsequenzen wie `../../etc/passwd` enthalten, und ein naiver Extraktor, der den Eintragsnamen mit einem Zielverzeichnis zusammenfügt, schreibt außerhalb der vorgesehenen Sandbox. Die Lösung besteht darin, den zusammengefügten Pfad mit `path.resolve()` zu normalisieren und zu verifizieren, dass er noch mit dem Zielverzeichnis beginnt, bevor geschrieben wird. Dieses Werkzeug bietet jeden Eintrag als individuellen Browser-Download über `URL.createObjectURL(new Blob([bytes]))` an, und der Browser sandkastet das Ziel, sodass Verzeichnistrawersal nicht aus dem Downloads-Ordner des Benutzers ausbrechen kann, aber dasselbe Archiv wäre bei einem serverseitigen Extraktor ausnutzbar. Zweitens werden verschlüsselte Archive nicht behandelt: Das traditionelle ZipCrypto ist eine 32-Bit-Stromchiffre, die mit einem Known-Plaintext-Angriff von drei Bytes trivial gebrochen werden kann, und das moderne WinZip AES-256 (PKWARE APPNOTE 7.0) erfordert das AE-2-Extra-Feld mit HMAC-SHA1-Authentifizierung – keiner der beiden Pfade ist hier implementiert. Archive über 4 GiB basieren auf den Extra-Feldern der ZIP64-Erweiterung für 64-Bit-Größen und -Offsets, die der Parser lesen muss, anstatt die 32-Bit-Zentralverzeichnis-Felder zu verwenden.

• Parse-Reihenfolge: Rückwärts vom Dateiende nach EOCD-Signatur `0x06054b50` scannen (maximal 22 + 65535 Bytes vom Ende) → zum Zentralverzeichnis seeken → zu jedem Lokalen Datei-Header seeken.
• Komprimierungsmethoden: `0x00` gespeichert, `0x08` DEFLATE (RFC 1951, ~99 % der Archive), `0x0C` BZIP2, `0x0E` LZMA, `0x5D` PPMd.
• Integrität: CRC-32 mit Polynom `0xEDB88320` (umgekehrtes IEEE 802.3) wird für extrahierte Bytes neu berechnet und mit dem Wert im Zentralverzeichnis verglichen.
• Zip Slip (Snyk 2018): Einträge mit `../`-Pfadaversal können außerhalb des Extraktionsverzeichnisses schreiben; Lösung durch Normalisierung und Validierung des aufgelösten Pfads vor dem Schreiben.
• Browser-Implementierung: `File.arrayBuffer()` → JSZip / fflate `unzipSync()` → pro Eintrag `URL.createObjectURL(new Blob([bytes]))` für Downloads, kein Server-Roundtrip.
• Verschlüsselung wird nicht behandelt: ZipCrypto ist in 3 Known-Plaintext-Bytes gebrochen; WinZip AES-256 (APPNOTE 7.0, AE-2-Extra-Feld mit HMAC-SHA1) ist hier nicht implementiert.
• ZIP64 (APPNOTE 4.5+) erweitert 32-Bit-Größen-/Offset-Felder auf 64-Bit über Extra-Felder; erforderlich für Archive oder einzelne Einträge über 4 GiB (2³² − 1 Bytes).