بصمات MD5 وSHA-1 وSHA-256 لأي ملف، مع روابط بحث جاهزة في VirusTotal وMalwareBazaar.
جديدة
بصمة الأيقونة المفضلة (mmh3)
تعمل محليًاجديدة
الأداة نفسها باللغة الإنجليزية؛ وهذه الصفحة تشرحها بلغتك.
استخدم بصمة الأيقونة المفضلة (mmh3)
ما الذي يفعله
اسحب أيقونة مفضلة (favicon) أو الصق صيغتها بـ Base64 لتحصل على بصمة mmh3 بأسلوب Shodan، وبصمتي MD5 وSHA-256، واستعلامات بحث جاهزة لـ Shodan وFOFA وZoomEye وCensys. لا تغادر الأيقونة متصفحك أبدًا.
يعمل التطبيق بالكامل داخل متصفحك: ولا يتم تحميل أي شيء تدخله.
كيفية استخدام بصمة الأيقونة المفضلة (mmh3)
- احصل على الأيقونة كما هي. احفظ الأيقونة المفضلة للموقع كما يرسلها الخادم، مثل /favicon.ico، في بيئة معزولة. لا تُعد حفظها ولا تحوّلها.
- اسحبها أو الصق Base64. اسحب الملف أو اختره (حتى 10 ميغابايت)، أو الصق صيغته بـ Base64 أو data: URI واضغط Compute hash (حساب البصمة).
- اقرأ البصمات. قيمة mmh3 مخصصة لـ Shodan وFOFA، وMD5 لـ ZoomEye وCensys. أما SHA-256 فتحدد الملف نفسه.
- ابحث. انسخ استعلامًا جاهزًا أو اضغط Search لفتح محرك البحث مع البصمة فقط. بالنسبة لـ ZoomEye، افتح الموقع والصق الاستعلام.
- افحص كل تطابق. راجع كل خادم يُعثر عليه قبل أن تربطه بموقع التصيد: فالأيقونات الافتراضية تتشاركها مواقع كثيرة غير مترابطة.
مثال
أيقونة PNG بحجم 16 × 16 بصيغة Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.يُفك ترميزها إلى ملف PNG بحجم 108 بايت. بصمة mmh3 هي 2033577382، فيكون استعلام Shodan هو http.favicon.hash:2033577382؛ وتدخل بصمة MD5 687bba8c4cd9980ec195986b32ee42cb في استعلامي ZoomEye وCensys.
ما الذي يتحقق منه
| إشارة | ماذا يعني ذلك |
|---|---|
| سطر الصيغة | الصيغة المكتشفة (PNG أو ICO أو GIF أو JPEG أو BMP أو WebP أو SVG أو unknown format) والحجم بالبايت. |
| المعاينة | تُعرض صيغ الصور كمعاينة بحجم 32 بكسل، كي تتأكد من أنها الأيقونة التي قصدت حساب بصمتها. |
| تحذير صفحة HTML | البايتات صفحة ويب، لا أيقونة. كثيرًا ما تجيب الخوادم عن /favicon.ico المفقود بصفحة خطأ، وبصمتها لا تجد إلا الصفحة نفسها. |
| بصمة Shodan / FOFA | MurmurHash3 للأيقونة المرمَّزة بـ Base64، معروضة كعدد ذي إشارة بطول 32 بت. والقيم السالبة طبيعية. |
| MD5 للملف | تُستخدم في استعلامي ZoomEye وCensys. |
| SHA-256 للملف | تحدد الملف بعينه، وهي مفيدة في البلاغات ولمطابقة النسخ التي جمعتها. |
| استعلامات البحث | http.favicon.hash في Shodan، وicon_hash في FOFA، وiconhash في ZoomEye، وصيغتان لـ Censys. تحتاج معظم المحركات إلى حساب مجاني لعرض النتائج. |
| قاعدة التطابق التام للبايتات | الأيقونة التي غُيّر حجمها أو أُعيد ضغطها أو حُوّلت تعطي بصمة مختلفة، لذا قد يعني عدم التطابق فقط أن البايتات مختلفة. |
المزيد من الأمثلة
أيقونة SVG صغيرة بصيغة data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Pasted Base64، 108 B، SVG. بصمة mmh3 هي -1417999905، فيكون استعلام Shodan هو http.favicon.hash:-1417999905 ويحصل FOFA على icon_hash="-1417999905"؛ وتدخل بصمة MD5 10a8f1de4d94f66724532d5315194e33 في استعلامي ZoomEye وCensys.
صفحة خطأ بدلًا من أيقونة
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B، صفحة HTML، مع تحذير بأن هذه البايتات صفحة HTML لا أيقونة. وقيمة mmh3 الخاصة بها، -1700126198، لا تطابق إلا الخوادم التي تعيد الصفحة نفسها.
اسم ملف بدلًا من Base64
favicon.icoCould not decode the pasted text: this is not valid Base64. الصق صيغة Base64 لملف الأيقونة، مع البادئة data: أو بدونها.
الأسئلة الشائعة
كيف تُحسب بصمة الأيقونة في Shodan؟
يأخذ Shodan البايتات الخام للأيقونة، ويرمّزها بـ Base64 كما تفعل الدالة base64.encodebytes في Python (أسطر من 76 حرفًا، ينتهي كل منها بسطر جديد)، ويحسب بصمة هذا النص باستخدام MurmurHash3 بطول 32 بت وبذرة 0، وتُعرض كعدد صحيح ذي إشارة. ويستخدم icon_hash في FOFA القيمة نفسها، بينما تستخدم استعلامات ZoomEye وCensys هنا بصمة MD5 للملف.
لماذا لا تجد البصمة شيئًا، أو تجد خوادم خاطئة؟
لا تطابق إلا الخوادم التي تعيد بايتات أيقونة مطابقة تمامًا، لذا تعطي النسخة التي غُيّر حجمها أو أُعيد حفظها أو ترميزها قيمة مختلفة، والموقع الذي يعيد فيه /favicon.ico صفحة خطأ يعطي بصمة تلك الصفحة. والأيقونات الافتراضية للوحات الاستضافة وأطر العمل يتشاركها آلاف المواقع غير المترابطة، لذا تعامل مع التطابقات على أنها خيوط تستحق الفحص، لا دليلًا على ملكية مشتركة.
هل تجلب الأداة الأيقونة أو ترسلها إلى أي مكان؟
لا. فهي تحسب بصمة الملف أو نص Base64 الذي تقدّمه داخل متصفحك ولا تُجري أي طلب شبكي. وروابط البحث تفتح Shodan أو FOFA أو ZoomEye أو Censys في علامة تبويب جديدة فقط عندما تنقر عليها، ولا تحمل إلا البصمة.
لماذا تكون البصمة عددًا سالبًا؟
يعرض Shodan قيمة MurmurHash3 كعدد صحيح ذي إشارة بطول 32 بت، لذا يحصل نحو نصف الأيقونات على قيمة سالبة. أبقِ علامة الطرح؛ فبدونها يبحث الاستعلام عن أيقونة مختلفة.
كيف يستخدم المحققون بصمة الأيقونة المفضلة؟
كثيرًا ما تعيد أدوات التصيد الجاهزة (phishing kits) استخدام ملف الأيقونة نفسه في كل نسخة من الموقع المزيف. والبحث عن بصمتها في Shodan أو FOFA قد يكشف خوادم أخرى تشغّل الأداة نفسها، ثم تفحصها واحدًا تلو الآخر.
هل يمكنني لصق أيقونة من شيفرة HTML لصفحة ما؟
نعم، إذا كانت الصفحة تضمّنها بصيغة data: URI: الصق القيمة كاملة وستُزال البادئة قبل فك الترميز. أما الأيقونة المرتبطة برابط URL فيجب حفظها كملف أولًا، لأن هذه الأداة لا تجلب أي شيء.
لماذا يعطي الموقع نفسه بصمة مختلفة في يوم آخر؟
تغيّر المواقع أيقوناتها، وبعض الخوادم ترسل بايتات مختلفة لزوار مختلفين، مثل صفحة غير ضارة لأدوات الفحص. ولكل نسخة بصمتها الخاصة، لذا دوّن التاريخ وكيف حصلت على الأيقونة.