MD5, SHA-1 und SHA-256 jeder Datei, mit fertigen Suchlinks für VirusTotal und MalwareBazaar.
Neu
Favicon-Hash (mmh3)
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
Favicon-Hash (mmh3) verwenden
Was es bewirkt
Ziehen Sie ein Favicon hierher oder fügen Sie sein Base64 ein, um den mmh3-Hash im Shodan-Stil, MD5 und SHA-256 sowie fertige Suchabfragen für Shodan, FOFA, ZoomEye und Censys zu erhalten. Das Icon verlässt nie Ihren Browser.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie Favicon-Hash (mmh3)
- Das exakte Icon beschaffen. Speichern Sie das Favicon der Website so, wie der Server es sendet, zum Beispiel /favicon.ico, in einer isolierten Umgebung. Speichern Sie es nicht neu, und konvertieren Sie es nicht.
- Ablegen oder Base64 einfügen. Ziehen Sie die Datei hierher oder wählen Sie sie aus (bis 10 MB), oder fügen Sie ihr Base64 oder eine data:-URI ein und drücken Sie Compute hash (Hash berechnen).
- Hashes ablesen. Der mmh3-Wert ist für Shodan und FOFA, der MD5 für ZoomEye und Censys. Der SHA-256 identifiziert die Datei selbst.
- Suchen. Kopieren Sie eine fertige Abfrage, oder drücken Sie Search, um die Suchmaschine nur mit dem Hash zu öffnen. Bei ZoomEye öffnen Sie die Website und fügen die Abfrage ein.
- Jeden Treffer prüfen. Prüfen Sie jeden gefundenen Server, bevor Sie ihn mit der Phishing-Seite in Verbindung bringen: Standard-Icons werden von vielen voneinander unabhängigen Websites geteilt.
Beispiel
16 × 16 PNG-Icon als Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Ergibt dekodiert ein PNG mit 108 Bytes. Der mmh3-Hash ist 2033577382, die Shodan-Abfrage lautet also http.favicon.hash:2033577382; der MD5 687bba8c4cd9980ec195986b32ee42cb geht in die Abfragen für ZoomEye und Censys.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Formatzeile | Das erkannte Format (PNG, ICO, GIF, JPEG, BMP, WebP, SVG oder unknown format) und die Größe in Bytes. |
| Vorschau | Bildformate werden als Vorschau mit 32 Pixeln angezeigt, damit Sie bestätigen können, dass es das Icon ist, das Sie hashen wollten. |
| Warnung vor HTML-Seite | Die Bytes sind eine Webseite, kein Icon. Server beantworten ein fehlendes /favicon.ico oft mit einer Fehlerseite, und deren Hash findet nur dieselbe Seite. |
| Shodan / FOFA hash | MurmurHash3 des Base64-kodierten Icons, dargestellt als vorzeichenbehaftete 32-Bit-Zahl. Negative Werte sind normal. |
| MD5 der Datei | Wird in den Abfragen für ZoomEye und Censys verwendet. |
| SHA-256 der Datei | Identifiziert die exakte Datei, nützlich in Meldungen und zum Abgleich gesammelter Kopien. |
| Suchabfragen | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash und zwei Censys-Varianten. Die meisten Suchmaschinen brauchen ein kostenloses Konto, um Ergebnisse anzuzeigen. |
| Regel der Byte-Identität | Ein skaliertes, neu komprimiertes oder konvertiertes Icon ergibt einen anderen Hash; ein Fehltreffer kann also nur bedeuten, dass die Bytes abweichen. |
Weitere Beispiele
Ein kleines SVG-Icon als data:-URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Pasted Base64, 108 B, SVG. Der mmh3-Hash ist -1417999905, die Shodan-Abfrage lautet also http.favicon.hash:-1417999905, und FOFA erhält icon_hash="-1417999905"; der MD5 10a8f1de4d94f66724532d5315194e33 geht in die Abfragen für ZoomEye und Censys.
Eine Fehlerseite statt eines Icons
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML page, mit der Warnung, dass diese Bytes eine HTML-Seite sind, kein Icon. Ihr mmh3-Wert, -1700126198, trifft nur Server, die dieselbe Seite liefern.
Ein Dateiname statt Base64
favicon.icoCould not decode the pasted text: this is not valid Base64. Fügen Sie das Base64 der Icon-Datei ein, mit oder ohne das Präfix data:.
Häufig gestellte Fragen
Wie wird der Shodan-Favicon-Hash berechnet?
Shodan nimmt die Rohbytes des Favicons, kodiert sie so als Base64, wie es Pythons base64.encodebytes tut (Zeilen mit 76 Zeichen, jede mit einem Zeilenumbruch am Ende), und hasht diesen Text mit 32-Bit-MurmurHash3, Seed 0, dargestellt als vorzeichenbehaftete Ganzzahl. FOFAs icon_hash verwendet denselben Wert, während die Abfragen für ZoomEye und Censys hier den MD5 der Datei verwenden.
Warum findet ein Hash nichts oder die falschen Server?
Er trifft nur Server, die byteidentische Favicon-Bytes liefern; eine skalierte, neu gespeicherte oder neu kodierte Kopie ergibt daher einen anderen Wert, und eine Website, deren /favicon.ico eine Fehlerseite liefert, ergibt den Hash dieser Seite. Standard-Icons von Hosting-Panels und Frameworks werden von Tausenden voneinander unabhängigen Websites geteilt; behandeln Sie Treffer daher als zu prüfende Spuren, nicht als Beweis für gemeinsame Betreiber.
Lädt das Tool das Favicon herunter oder sendet es irgendwohin?
Nein. Es hasht die Datei oder das Base64, das Sie angeben, in Ihrem Browser und stellt keine Netzwerkanfrage. Die Suchlinks öffnen Shodan, FOFA, ZoomEye oder Censys nur dann in einem neuen Tab, wenn Sie darauf klicken, und sie enthalten nur den Hash.
Warum ist der Hash eine negative Zahl?
Shodan gibt MurmurHash3 als vorzeichenbehaftete 32-Bit-Ganzzahl aus, daher erhält etwa die Hälfte aller Icons einen negativen Wert. Behalten Sie das Minuszeichen; ohne es sucht die Abfrage nach einem anderen Icon.
Wie nutzen Ermittler einen Favicon-Hash?
Phishing-Kits verwenden oft dieselbe Icon-Datei auf jeder Kopie einer gefälschten Website. Eine Suche nach ihrem Hash bei Shodan oder FOFA kann weitere Server aufdecken, auf denen dasselbe Kit läuft und die Sie dann einzeln prüfen.
Kann ich ein Icon aus dem HTML einer Seite einfügen?
Ja, wenn die Seite es als data:-URI einbettet: Fügen Sie den ganzen Wert ein, das Präfix wird vor dem Dekodieren entfernt. Ein per URL verlinktes Icon muss zuerst als Datei gespeichert werden, weil dieses Tool nichts abruft.
Warum ergibt dieselbe Website an einem anderen Tag einen anderen Hash?
Websites ändern ihre Icons, und manche Server senden verschiedenen Besuchern unterschiedliche Bytes, zum Beispiel Scannern eine harmlose Seite. Jede Version hat ihren eigenen Hash; notieren Sie daher das Datum und wie Sie das Icon erhalten haben.