MSIファイルを開く・解凍する方法とインストールとの違い

目的を「インストール」と「内容確認」に分ける

MicrosoftはMSIを、Windows Installerが製品のインストールやアンインストールに必要な情報を持つインストールパッケージとして説明しています。通常の導入ではWindows Installerがデータベースを読み、機能、コンポーネント、保存先、レジストリ、サービス等を順序に沿って処理します。ファイルをフォルダーへ取り出すだけの解凍とは目的が違います。

MSIの中身はZIPではなくインストーラーデータベース

MSIにはインストールデータベース、サマリー情報、各種データストリームが入ります。製品ファイルはMSI内のCabinetへ埋め込まれる場合も、外部CABや別ファイルとして配布される場合もあります。そのため、MSI単体を解凍して見える項目が、導入時に必要な全ファイルとは限りません。

拡張子を.zipへ変更しても、MSIの内部構造はZIPになりません。MSI対応の読み取り機能で開き、表示された形式、項目名、外部CABの有無を確認します。

MSIを開く前に確認する7項目

• 元MSIを上書きせず、確認が終わるまで残す
• 配布元の公式ページ、製品名、版、対象Windowsを確認する
• 配布元が示すファイルサイズとSHA-256があれば照合する
• デジタル署名の発行元と状態をWindowsのプロパティで確認する
• 同梱CAB、MST、README、ライセンス等が欠けていないか確認する
• 社用PCでは導入権限と管理者の配布手順を先に確認する
• 不明なMSIは本番端末でダブルクリックせず、隔離した確認環境を使う

署名がないMSIが直ちに危険とは限らず、署名が有効なMSIが業務上の導入許可を持つとも限りません。配布元、ハッシュ、署名、対象端末、組織ポリシーを別々に確認します。

KaruzipでMSIを実行せず確認・解凍する4ステップ

1. 1

   MSIをKaruzipで開く

   .msiファイルをKaruzipの「中身を見る」から選びます。ダブルクリックによるインストールは行わず、元の拡張子とファイル名を保ちます。

2. 2

   テーブルと埋め込み項目を一覧する

   Property、SummaryInformation、Binary、Cabinet等に関係する項目を見ます。ファイル数と合計サイズだけで、完全なインストール内容だと判断しません。

3. 3

   書庫テスト後に対象を選ぶ

   書庫テストで内部データを最後まで読めるか確認します。必要なデータが特定できる場合は一項目だけ選び、空の保存先へ解凍します。

4. 4

   出力サイズとSHA-256を照合する

   出力件数、ファイル名、サイズを確認します。重要なデータは元ストリームまたは配布元の値とSHA-256を照合し、取り出した実行ファイルは安易に起動しません。

実測：自作MSIのテーブルと3ストリームを確認

第三者のインストーラーや実行コードを使わず、Windows Installer APIで構造確認用MSIを作成しました。Propertyと検証用テーブルに加え、日本語README、JSON設定、SVG画像をBinaryテーブルへ格納しています。製品の導入に必要な実行シーケンスやカスタムアクションは作らず、インストールも行っていません。

20,480 bytesという書庫サイズと、一覧の合計1,689 bytesが一致しないのは異常ではありません。MSIはデータ本体のほか、複合ファイルの管理領域、セクター、テーブル索引等を持つためです。

Binary.ConfigJson一件だけを取り出して照合する

一覧からBinary.ConfigJsonだけを指定して解凍しました。出力先には126 bytesの同名データが一件だけ作られ、元のsample-config.jsonとSHA-256が一致しました。これはストリームの取り出しを確認する試験であり、MSIのインストール成否を確かめる試験ではありません。

MSIとEXEは同じインストーラーではない

MSIはWindows Installerが解釈する決められたデータベース形式です。一方のEXEは実行ファイルの形式で、製品本体、独自インストーラー、MSIを展開して起動するブートストラッパー等、役割が一定ではありません。同じ製品がMSI版とEXE版を配布していても、片方をもう片方へ拡張子変更して置き換えることはできません。

msiexecのインストール・管理用展開・修復を混同しない

管理用インストールは、単なる『中身を見るための解凍』ではありません。Microsoftはネットワーク上のソースイメージを作り、そこから利用者が製品をインストールする運用として説明しています。また管理用インストールはパッケージを変更するため、元のデジタル署名が失われる場合があります。目的が調査だけなら元MSIを変更せず一覧します。

書庫テスト、ハッシュ、署名、インストール許可は別の確認

Karuzipの書庫テストは、MSI内部のストリームを最後まで読めるかを確認します。Windows Installerのデータベース整合性検証、発行元のデジタル署名、含まれるカスタムアクションの安全性、対象PCへの導入許可までは判定しません。

MSIを開けない・インストールできない時の確認順

• 元MSIを削除・上書きせずに再検証する
• 拡張子を.zipや.exeへ変えて解決したことにしない
• 書庫テスト成功だけでインストール可能・安全と判断しない
• 外部CABやMST等の同梱物を無断で分離しない
• 社用PCの管理者権限やポリシーを回避しない
• 入手元不明のMSIや抽出した実行項目を起動しない

MSIの開き方・解凍・インストールでよくある質問

あわせて確認したいガイド

Karuzipで確認した条件

根拠と更新方針

Windowsの操作、ZIP形式の仕様、Karuzipの機能を混同しないよう、判断ごとに根拠を分けています。

• Installation Package | Microsoft Learn learn.microsoft.com MSIがインストールデータベース、サマリー情報、データストリームを持ち、内部・外部ソースやCabinetを含み得ること。
• Database Tables | Microsoft Learn learn.microsoft.com Property、Binary、File、Media、_Streams、_Tables等のWindows Installerデータベース表と役割。
• File Table | Microsoft Learn learn.microsoft.com Fileテーブルが導入元ファイルの識別子、名前、サイズ、版、言語、順序を持ち、ファイルが個別またはCabinet内に置かれること。
• Media Table | Microsoft Learn learn.microsoft.com MSIが内部Cabinetと外部Cabinetの両方を参照でき、先頭の#がデータベース内ストリームを表すこと。
• msiexec | Microsoft Learn learn.microsoft.com /iが通常インストール、/aが管理用インストール、/xがアンインストール、/fが修復であること。
• Administrative Installation | Microsoft Learn learn.microsoft.com 管理用インストールがワークグループ向けネットワークソースイメージを作る運用で、単純解凍とは異なること。
• Digital Signatures and Windows Installer | Microsoft Learn learn.microsoft.com MSI、変換、パッチ、外部Cabinet等のデジタル署名と、管理用インストールが元パッケージの署名を失わせる場合があること。
• MSIファイルとは | Karuzip karuzip.com Karuzip v1.3.0でのMSI一覧、書庫情報、書庫テスト、全体・選択解凍と、インストール非対応の範囲。