Extraer un archivo ZIP

Cómo extraer archivos

1. 1

   Suelta el archivo ZIP

   Primero se lee el índice del archivo. Así ves qué contiene antes de extraer nada.

2. 2

   Escribe la contraseña si el archivo la tiene

   Se admiten ZipCrypto y AES-128/192/256, y una contraseña incorrecta se indica como tal en vez de generar datos basura.

3. 3

   Extrae y descarga

   Los archivos extraídos vuelven con su estructura de carpetas intacta, o como un único archivo suelto si solo había uno.

Dos tipos de cifrado ZIP, ambos soportados

La opción de contraseña del Explorador de Windows y de archivadores antiguos genera ZipCrypto, un cifrado en flujo del PKZIP original cuyo control de contraseña es un solo byte. Eso implica que aproximadamente una contraseña de cada 256 erróneas pasa ese control. Por eso aquí también se verifica la suma de comprobación de cada entrada extraída, para que una contraseña que se cuele por la prueba de un byte se detecte antes de que descargues basura. Los archivadores modernos generan en cambio WinZip AES, que deriva la clave con PBKDF2 y cifra en modo contador. Ese formato también se lee aquí, incluida su verificación de dos bytes, así que una contraseña incorrecta se reconoce al momento, sin descifrar toda la entrada.

Rutas que intentan salir del archivo

Una entrada ZIP puede llamarse ../../etc/passwd o C:\Windows\system32\x.dll. El formato no lo prohíbe, y un extractor que escriba esa ruta al pie de la letra sobreescribe archivos fuera de la carpeta elegida por el usuario, la vulnerabilidad conocida como zip slip. Aquí se revisa cada ruta antes de usarla: los segmentos de carpeta padre, las rutas absolutas y las letras de unidad se recortan hasta el nombre simple del archivo, y se informa del número de entradas que hubo que limpiar, para que un archivo malicioso no pase desapercibido. Las rutas anidadas normales no se tocan, y un punto dentro de un nombre de archivo no se considera sospechoso.

Una entrada mala no detiene al resto

Los archivos se dañan en tránsito, y algunos antiguos usan métodos de compresión que casi no se adoptaron. En vez de rechazar el archivo completo, aquí cada entrada se trata por separado: si la suma de comprobación no coincide, se omite y se indica cuál es, y si está comprimida con un método que no sea store o deflate también se omite e identifica. Todo lo demás se extrae con normalidad, y los recuentos aparecen en el resultado, porque lo útil son diecinueve archivos recuperados más una lista con el que se perdió, no un único mensaje de error sobre el archivo entero.

Preguntas frecuentes