Como Usar o ExifTool: Ler e Remover Metadados (2026)

O Que É o ExifTool?

O ExifTool é um aplicativo de linha de comando e uma biblioteca Perl, livres e gratuitos, para ler, escrever e editar metadados em praticamente qualquer tipo de arquivo. Foi escrito e continua sendo mantido por Phil Harvey, e a versão 13.59 saiu em 27 de maio de 2026. Ele lê EXIF, GPS, IPTC, XMP, JFIF, GeoTIFF, ICC Profile, Photoshop IRB, FlashPix, ID3 e mais, além dos blocos proprietários que Apple, Canon, DJI, GoPro, Nikon, Sony e outras duas dezenas de fabricantes enterram nos próprios arquivos.

É essa última parte que o separa de qualquer visualizador de EXIF online. Esses serviços interpretam as tags padrão e param ali. O ExifTool sabe que um drone DJI grava altitude de voo e ângulo do gimbal em um bloco privado, e que um iPhone guarda um identificador de sequência que liga fotos tiradas com segundos de diferença.

O nome não faz justiça à ferramenta. EXIF é apenas um padrão de metadados entre vários, e a maior parte do que o ExifTool encontra em um PDF ou um DOCX não é EXIF nenhum. Trate-o como um leitor universal de metadados que por acaso leva o nome da sua primeira função.

Minha opinião sincera: não perca tempo com as interfaces gráficas. Elas expõem uma fração dos recursos, e a linha de comando exige no máximo quatro opções para tudo o que vem a seguir.

Instalando o ExifTool

No Kali, no Parrot e em qualquer sistema derivado do Debian, o pacote leva o nome da biblioteca Perl e não do binário, o que confunde muita gente:

sudo apt update && sudo apt install libimage-exiftool-perl

O Kali distribui atualmente a 13.55, próxima o bastante da versão upstream para tudo o que você vai fazer. O binário instalado é o exiftool, não libimage-exiftool-perl, então se apt search exiftool devolver um nome de pacote que parece errado, é o esperado.

No macOS, o Homebrew resolve em uma linha, e existe um instalador .pkg oficial no site do projeto, se você preferir:

brew install exiftool

Quem usa Windows baixa um executável autônomo em exiftool.org que não exige instalação de Perl. Baixe o zip de 64 bits, extraia e renomeie exiftool(-k).exe para exiftool.exe para que rode a partir do terminal em vez de pausar esperando uma tecla. Esse passo está no readme e todo mundo deixa passar.

Confirme a instalação e veja o que você realmente tem:

exiftool -ver

Lendo Metadados: Os Comandos Que Vale a Pena Memorizar

O comando puro despeja todas as tags que o ExifTool consegue encontrar, formatadas para leitura humana:

exiftool foto.jpg

Em uma foto de smartphone atual isso dá 150 linhas ou mais, ou seja, ilegível. Três opções resolvem. -G prefixa cada tag com o grupo dela, -s passa para nomes curtos de tag que você pode copiar direto para outro comando, e -a mostra tags duplicadas em vez de escondê-las:

exiftool -G -s -a foto.jpg

A saída fica assim, com o grupo entre colchetes:

[File]          FileType                        : JPEG
[EXIF]          Make                            : Apple
[EXIF]          Model                           : iPhone 14 Pro
[EXIF]          DateTimeOriginal                : 2026:03:14 09:22:41
[GPS]           GPSLatitude                     : 38 deg 43' 15.62" N
[GPS]           GPSLongitude                    : 9 deg 8' 22.10" W

Para extrair uma tag em vez de todas, nomeie-a com um hífen na frente. Nomes de tag não diferenciam maiúsculas de minúsculas, o que poupa muita tentativa e erro:

exiftool -GPSPosition -Model -DateTimeOriginal foto.jpg

Outras duas opções merecem lugar. -u extrai tags desconhecidas, isto é, campos cuja estrutura o ExifTool reconhece, mas para os quais não tem nome, e -ee puxa metadados de arquivos embutidos dentro de outros arquivos. Juntas, são como você encontra aquilo que alguém presumiu que ninguém iria procurar:

exiftool -a -u -g1 suspeito.jpg

Na prática, esse é o comando que eu rodo em qualquer arquivo que pareça interessante. O agrupamento -g1 junta as tags relacionadas, então uma anomalia em um bloco privado de fabricante salta aos olhos em vez de passar batida em um muro alfabético.

GPS, Números de Série e o Que os Metadados Entregam

Vazamentos de metadados não são teóricos, e o caso clássico vale conhecer porque se desenrolou em minutos, não em meses. Em dezembro de 2012, a Vice publicou uma foto do fugitivo John McAfee tirada com um iPhone 4S. As coordenadas de GPS nos dados EXIF o colocavam em uma marina na Guatemala, e ele admitiu no dia seguinte que a localização era verdadeira. Ninguém invadiu nada. Alguém baixou a imagem e leu as tags.

Estes são os campos que pesam em uma investigação:

• GPSLatitude, GPSLongitude, GPSPosition. Coordenadas compostas, muitas vezes precisas o suficiente para apontar um prédio. -c "%.6f" as reformata em graus decimais que você cola em um mapa.
• SerialNumber e LensSerialNumber. Esses campos ligam fotos separadas a um mesmo corpo físico de câmera, e é assim que conjuntos de imagens anônimas acabam conectados entre si.
• DateTimeOriginal contra FileModifyDate. O primeiro é quando o obturador disparou, o segundo quando o arquivo foi gravado por último. Uma diferença entre eles indica uma edição normal. Um DateTimeOriginal posterior à data do arquivo é sinal de manipulação.
• Author, Creator e Producer. Em PDFs e documentos do Office, esses campos costumam guardar um nome de usuário interno que segue o formato de contas da empresa, o que alimenta direto um palpite de e-mail.
• Software. O aplicativo exato e a versão que gravou o arquivo. Em um documento de uma organização alvo, é uma olhada gratuita no parque de software dela.

Documentos são o alvo subestimado aqui. Um PDF exportado de uma estação de trabalho registra com frequência o caminho local completo de onde foi salvo, o que entrega um nome de usuário, uma estrutura de diretórios e às vezes o nome de um compartilhamento de rede em uma única linha. Nossa seleção de ferramentas OSINT gratuitas encaixa essa etapa na sequência de reconhecimento mais ampla.

exiftool -Author -Creator -Producer -Company -Title relatorio.pdf

Um alerta sobre precisão de GPS: as coordenadas são gravadas pelo aparelho, não verificadas por ele. Um celular com sinal fraco em ambiente fechado pode errar por cem metros ou gravar coordenadas de um local anterior. Trate metadado de GPS como uma pista forte, nunca como prova isolada.

Extração em Lote em um Diretório

Um arquivo é só o aquecimento. O valor real aparece quando você aponta o ExifTool para uma pasta com algumas centenas de imagens baixadas de um site alvo e faz uma pergunta ao conjunto todo.

Percorra os subdiretórios com -r e exporte em CSV para ordenar e filtrar em uma planilha:

exiftool -r -csv -GPSPosition -Model -DateTimeOriginal -Author ./downloads > metadata.csv

O atalho -common pega um conjunto padrão razoável de tags quando você ainda não sabe o que procura:

exiftool -common -csv ./downloads > visao-geral.csv

A saída em JSON funciona do mesmo jeito e é mais fácil de mandar para um script:

exiftool -r -json ./downloads > metadata.json

A opção que transforma esse despejo em investigação de verdade é -if, que filtra arquivos por condição antes de processá-los. Mostre só as imagens que carregam dados de GPS:

exiftool -r -if '$GPSLatitude' -GPSPosition -FileName ./downloads

Em um conjunto de 400 imagens de imprensa do site de uma empresa, esse comando devolve normalmente três ou quatro arquivos, e são esses que valem análise. Todo o resto passou por um CMS que apagou as tags no upload. No sentido inverso, filtrar por modelo de câmera ou por intervalo de datas reduz um conjunto grande às fotos tiradas em um único aparelho ou durante uma única semana.

Restrinja o processamento por tipo de arquivo com -ext quando a pasta tiver formatos misturados:

exiftool -r -ext jpg -ext png -GPSPosition ./downloads

Apagando Metadados Antes de Publicar

A metade defensiva desta ferramenta importa tanto quanto a outra, e é aqui que estão as arestas afiadas. Remover todos os metadados leva uma opção só:

exiftool -all= documento.pdf

Leia com atenção. A sintaxe é uma atribuição de tag sem nada do lado direito, então -all= significa "defina todas as tags como vazias". Esqueça o sinal de igual e você pediu para ler as tags em vez de apagá-las, o que falha em silêncio em vez de dar erro.

Três detalhes decidem se a operação funcionou de fato:

• O ExifTool guarda o seu original. Por padrão ele renomeia o arquivo intocado para documento.pdf_original e grava a versão limpa no lugar. Publique o errado dos dois e você distribuiu justamente o arquivo que queria higienizar. Adicione -overwrite_original quando confiar no comando, ou limpe depois com -delete_original.
• A data do arquivo também é uma tag. Adicionar -P preserva a data de modificação do sistema de arquivos, o que você pode querer ou não. Sem isso, a escrita atualiza o horário.
• Verifique, não presuma. Rode o comando de leitura novamente no arquivo gerado. Um arquivo ainda pode carregar um perfil ICC ou um pacote XMP que uma remoção parcial deixou para trás.

Remoção seletiva costuma ser a melhor escolha. Apagar todas as tags de uma foto profissional destrói as informações de copyright e de perfil de cor que o fotógrafo quer manter. Apague apenas os dados de localização:

exiftool -gps:all= foto.jpg

Ou apague tudo menos um grupo que você quer preservar, com a sintaxe de exclusão de hífen duplo:

exiftool -all= --icc_profile:all foto.jpg

Para limpar uma árvore de diretórios inteira em uma passada, sem backups e preservando as datas:

exiftool -r -all= -overwrite_original -P ./para-publicar

Um aviso para levar a sério: rode esse comando em um diretório que você não pretendia mexer e não existe desfazer, porque -overwrite_original faz exatamente o que diz. Teste primeiro em uma cópia. Toda vez.

ExifTool em Forense de CTF

Em desafios de forense de CTF, o ExifTool é o segundo comando que você digita depois de file. Flags ficam guardadas em um campo Comment, em um UserComment, em uma tag Artist ou em uma propriedade XMP personalizada com frequência suficiente para que pular essa etapa custe uma hora.

O fluxo que resolve a maioria dos desafios com imagem é curto:

1. Identifique o tipo real do arquivo. file challenge.png compara os bytes mágicos com a extensão. Uma divergência já é um achado por si só.
2. Leia todas as tags, inclusive as estranhas. exiftool -a -u -g1 challenge.png traz à superfície duplicatas e campos desconhecidos que o exiftool simples esconde.
3. Extraia qualquer conteúdo binário encontrado. exiftool -b -ThumbnailImage challenge.jpg > thumb.jpg retira a miniatura embutida. Fotos editadas às vezes mantêm uma miniatura anterior à edição, o que é uma categoria de vazamento por si mesma.
4. Passe para a estrutura do arquivo. Se os metadados estiverem limpos, binwalk e strings vêm em seguida, depois a análise de planos de bits.

O passo três merece mais atenção do que recebe. Uma miniatura JPEG é gerada uma vez e nem sempre regenerada após uma edição, então o pequeno preview pode mostrar aquilo que o recorte ou o desfoque da imagem completa deveria esconder. Isso já queimou pessoas reais, não só jogadores de CTF.

Quando os metadados voltam limpos, esse silêncio também é informação. Significa que a carga está em outro lugar do arquivo, e nosso guia de detecção em esteganografia retoma a trilha a partir dali.

Quando o ExifTool Foi a Vulnerabilidade

Interpretar arquivos não confiáveis é trabalho perigoso, e o ExifTool já pagou o preço. A CVE-2021-22204 era uma falha no tratamento do formato DjVu que permitia execução de código arbitrário quando a ferramenta interpretava uma imagem forjada. Afetava as versões 7.44 a 12.23, foi corrigida na 12.24, e o NIST atribuiu a ela nota 7,8 (alta). Ela consta do catálogo de vulnerabilidades exploradas conhecidas da CISA, o que significa que foi usada em ataques reais e não apenas demonstrada em laboratório.

Duas consequências práticas decorrem disso.

Mantenha sua instalação atualizada, especialmente se o ExifTool roda automaticamente em arquivos enviados por usuários. Muitas aplicações web o chamam no servidor para gerar miniaturas ou ler dimensões de imagem, e uma versão de cinco anos atrás dentro de uma imagem de contêiner é uma exposição real.

Analise arquivos genuinamente suspeitos em uma máquina virtual isolada e sem acesso à rede. Isso vale para qualquer interpretador, não só para este. O reflexo de rodar uma ferramenta sobre uma amostra no instante em que ela chega é justamente o reflexo que vale perder.

As notas de segurança no site do projeto listam também os problemas anteriores. Phil Harvey tratou deles de forma rápida e pública, o que não se pode dizer de boa parte das ferramentas dessa área.

Considerações Legais e Éticas

A análise de metadados ocupa uma posição jurídica mais suave do que a maioria das técnicas ofensivas, porque ler um arquivo que você já possui não toca o sistema de ninguém. O risco migra da lei de crimes informáticos para a legislação de privacidade e proteção de dados, e essa mudança pega muita gente de surpresa.

Onde Isso É Legítimo

• Arquivos dos seus próprios dispositivos e arquivos que um cliente forneceu como parte de um contrato assinado
• Documentos publicados no próprio site de um alvo, quando um escopo de OSINT os cobre por escrito
• Desafios de CTF e ambientes de treino feitos para isso
• Higienizar a sua própria produção antes de publicar, que é a aplicação mais útil aqui

O limite que importa: geolocalizar uma pessoa privada a partir de uma foto que ela publicou, e agir com base nessa localização, é perseguição, por mais pública que a foto fosse. Um trabalho de OSINT autorizado documenta seus alvos e seus limites antes do primeiro comando. Se o seu escopo não menciona, então não está no escopo.

Perguntas Frequentes