ZIP文件会含有病毒吗？如何安全解压缩文件
在国内，下载软件安装包、游戏资源、破解补丁时，压缩包几乎是默认格式。大多数人收到ZIP或RAR文件后不假思索地直接解压——这恰恰是攻击者所依赖的习惯。ZIP、RAR、7z和TAR不只是容器，它们是投递载体，其中可以装着勒索病毒、键盘记录器，甚至静默修改系统配置的脚本。
本文将说明压缩文件中潜藏的威胁类型、为什么本地杀毒软件并不总够用，以及如何通过沙盒化的在线解压工具在文件接触你的设备之前消除大部分风险。
ZIP文件里可能藏着什么
压缩包是一个容器，可以装任何东西，包括：
- 可执行文件 —
.exe、.bat、.cmd、.vbs、.ps1等，打开即运行代码。 - 带宏的Office文档 — 打开时触发宏，在后台下载第二阶段载荷的
.docx或.xlsm。 - JavaScript载荷 — Windows脚本宿主可以直接从桌面运行的
.js文件。 - 混淆脚本 — 故意写成难以阅读的代码，使静态扫描器无法识别恶意特征。
- 双重扩展名欺骗 —
软件安装包.exe在Windows隐藏扩展名时（默认设置）显示为可信文件名，图标伪装成正常软件，实体却是可执行文件。
这些威胁都不需要解压软件本身存在漏洞。只要解压并打开文件就足够了。
恶意软件如何通过压缩包传播
在国内，压缩包是最常见的恶意软件投递方式之一，主要渠道包括：
软件安装包 — 搜索某款付费软件的"破解版"或"绿色版"，往往会下载到带有木马的压缩包。软件本身可能可以运行，但同时悄悄安装了挖矿程序或远程控制工具。
游戏资源与MOD包 — 游戏外挂、存档修改器、MOD包等通过ZIP分发时，经常混入恶意组件。
钓鱼邮件附件 — 伪装成快递通知、发票或合同的邮件会附带ZIP文件。恶意可执行文件在解压前不可见，能绕过部分邮件网关检测。
嵌套压缩包 — ZIP套ZIP套ZIP。每层都需要手动解压，会耗尽只检测一层深度的自动扫描器。
有密码的压缩包 — 攻击者将密码写在邮件正文中发送。由于文件加密，杀毒软件无法扫描内容，用户自己输入密码，相当于绕过了扫描器。
Zip炸弹：小文件引发的系统崩溃
Zip炸弹是专门设计成解压时膨胀到灾难性大小的压缩文件。最著名的案例是 42.zip：磁盘上仅42KB，完全解压后约4.5PB——足以填满数千个硬盘，让任何没有防护的系统崩溃或卡死。
原理是将重复数据分层压缩。压缩状态下，十亿个相同字节几乎不占空间。解压时，系统试图同时为所有数据分配内存和磁盘空间。
如果解压器在写入数据之前不检查未压缩大小，它就会一直运行，直到磁盘或内存耗尽。
路径穿越攻击
路径穿越攻击将恶意文件名直接嵌入压缩包中。不是 document.txt，而是 ../../Windows/System32/drivers/etc/hosts 或 ../../../.bashrc。存在漏洞的解压器会按照路径字面意思将文件写入——写到预定解压目录之外。
简单说：攻击者控制文件在你系统上的落脚点。他可以覆盖系统文件、替换配置文件，或把可执行文件放在开机自启动的位置。压缩包看起来完全正常，损害在解压过程中悄然发生。
本地解压的风险
在本地解压压缩包时，你同时暴露了系统的三个层面：
- 文件系统 — 路径穿越或自动运行脚本可以在你的用户账户有权限的任何地方写入文件。
- 杀毒软件 — 它只能识别已知威胁。混淆、新型或加密的载荷经常绕过本地杀毒。
- 解压软件 — WinRAR、7-Zip或Windows内置解压器中未修补的漏洞已在实际攻击中被利用。打开一个被篡改的压缩文件本身就可能触发漏洞。
双击压缩包内的一个文件，可能在杀毒软件反应之前就已经运行了脚本。
沙盒化方案：在远程处理文件
通过在线工具解压文件时，解压过程发生在远程服务器上——而非你的设备。你的操作系统、文件系统和本地应用程序完全不受影响。如果压缩包里有zip炸弹，它击中的是服务器上的容器。如果里面有可执行文件，它只会存在于下载完成后自动删除的临时目录中，从不在本地运行。
这不是变通方法——这是将不可信内容与本地环境正确隔离的架构设计。
FileCrank具体做了什么来保护你的安全
FileCrank的解压工具在设计上针对了这些具体威胁：
- Zip炸弹检测 — 解压开始前先检查未压缩大小。超过安全限制的文件会在任何数据写入之前立即被拒绝。
- 路径穿越防护 — 所有输出路径在写入前都经过净化处理。穿越序列（
../、..\\）被规范化，确保解压文件始终落在预定目录中。 - MIME类型验证 — 检查文件头（魔术字节）而非仅检查扩展名。名为
photo.jpg的Windows可执行文件会在文件头层面被识别。 - 自动清理 — 上传的压缩包和解压文件在你下载完成后从服务器删除，不做任何保留。
- 无需安装 — 你的设备上没有任何东西运行。无浏览器扩展、无桌面应用、无软件安装带来的供应链风险。
你也可以重新打包压缩文件来在分享前移除不需要的文件，或压缩文件来创建干净的压缩包。
打开任何压缩文件前的检查清单
解压收到的压缩文件之前，请逐项确认：
- 你是否主动请求了这个文件，还是它意外出现？
- 发件人的身份是否已经核实——不只是熟悉的名字，而是经过验证的邮件域名？
- 文件名是否与你预期的一致？
- 压缩包中是否包含可执行文件、脚本或带宏的Office文件？
- 是否有密码保护，且密码在同一条消息中发来？
- 在解压全部内容之前，是否查看了文件列表？
如果有任何疑虑，请先使用在线解压工具在沙盒环境中检查内容，再在本地处理该文件。
常见问题
仅仅下载ZIP文件就会让电脑被感染吗？ 通常仅下载不够——恶意内容需要被解压并执行。但某些浏览器会自动解压文件，且解压软件的漏洞可能在打开文件时触发。
什么是zip炸弹，怎么防范？ Zip炸弹是专门设计成解压时膨胀到巨大体积、耗尽磁盘或内存直至系统崩溃的压缩文件。防范方法是使用在写入数据之前先检查未压缩大小的解压器——FileCrank在所有处理开始前都会执行这项检查。
收到邮件里的ZIP文件，打开安全吗？
只有当你对发件人和背景情况有把握时才安全。未预期的ZIP、密码写在同一邮件中的ZIP、包含 .exe 或 .vbs 文件的ZIP都应视为可疑。
杀毒软件能检测ZIP中的恶意软件吗？ 大多数现代杀毒软件可以扫描未加密压缩包的内容。但受密码保护的压缩包、深度嵌套的压缩包，以及新型或混淆的恶意软件经常逃过检测。
为什么在线解压工具比本地软件更安全？ 解压过程在远程服务器上进行，你的本地文件系统和应用程序完全不暴露。Zip炸弹击中服务器沙盒。路径穿越攻击写入临时容器。你的设备从不直接接触未经处理的解压文件。