MD5, SHA-1 y SHA-256 de cualquier archivo, con enlaces de búsqueda listos para VirusTotal y MalwareBazaar.
Nueva
Hash de favicon (mmh3)
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Hash de favicon (mmh3)
Para qué sirve
Suelta un favicon o pega su Base64 para obtener el hash mmh3 al estilo de Shodan, el MD5 y el SHA-256, y consultas de búsqueda listas para Shodan, FOFA, ZoomEye y Censys. El icono nunca sale de tu navegador.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Hash de favicon (mmh3)
- Consigue el icono exacto. Guarda el favicon del sitio tal como lo envía el servidor, por ejemplo /favicon.ico, en un entorno aislado. No lo vuelvas a guardar ni lo conviertas.
- Suéltalo o pega el Base64. Suelta o elige el archivo (hasta 10 MB), o pega su Base64 o una data: URI y pulsa Compute hash (Calcular hash).
- Lee los hashes. El valor mmh3 es para Shodan y FOFA, y el MD5 para ZoomEye y Censys. El SHA-256 identifica el propio archivo.
- Busca. Copia una consulta lista o pulsa Search (Buscar) para abrir el buscador solo con el hash. En ZoomEye, abre el sitio y pega la consulta.
- Comprueba cada coincidencia. Revisa cada servidor encontrado antes de vincularlo al sitio de phishing: muchos sitios sin relación comparten iconos predeterminados.
Ejemplo
Icono PNG de 16 × 16 en Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Se decodifica en un PNG de 108 bytes. El hash mmh3 es 2033577382, así que la consulta de Shodan es http.favicon.hash:2033577382; el MD5 687bba8c4cd9980ec195986b32ee42cb va en las consultas de ZoomEye y Censys.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Línea de formato | El formato detectado (PNG, ICO, GIF, JPEG, BMP, WebP, SVG o unknown format) y el tamaño en bytes. |
| Vista previa | Los formatos de imagen se muestran como vista previa de 32 píxeles, para que confirmes que es el icono cuyo hash querías calcular. |
| Aviso de página HTML | Los bytes son una página web, no un icono. Los servidores suelen responder a un /favicon.ico inexistente con una página de error, y su hash solo encuentra esa misma página. |
| Hash de Shodan / FOFA | MurmurHash3 del icono codificado en Base64, mostrado como número de 32 bits con signo. Los valores negativos son normales. |
| MD5 del archivo | Se usa en las consultas de ZoomEye y Censys. |
| SHA-256 del archivo | Identifica el archivo exacto; útil en denuncias y para emparejar copias que hayas recopilado. |
| Consultas de búsqueda | http.favicon.hash de Shodan, icon_hash de FOFA, iconhash de ZoomEye y dos formas de Censys. La mayoría de los buscadores necesitan una cuenta gratuita para mostrar resultados. |
| Regla de bytes idénticos | Un icono redimensionado, recomprimido o convertido da otro hash, así que no encontrar nada puede significar solo que los bytes difieren. |
Más ejemplos
Un icono SVG pequeño como data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Pasted Base64, 108 B, SVG. El hash mmh3 es -1417999905, así que la consulta de Shodan es http.favicon.hash:-1417999905 y FOFA recibe icon_hash="-1417999905"; el MD5 10a8f1de4d94f66724532d5315194e33 va en las consultas de ZoomEye y Censys.
Una página de error en lugar de un icono
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML page, con el aviso de que estos bytes son una página HTML y no un icono. Su valor mmh3, -1700126198, solo coincide con servidores que devuelven la misma página.
Un nombre de archivo en lugar de Base64
favicon.icoCould not decode the pasted text: no es Base64 válido. Pega el Base64 del archivo del icono, con o sin el prefijo data:.
Preguntas frecuentes
¿Cómo se calcula el hash de favicon de Shodan?
Shodan toma los bytes sin procesar del favicon, los codifica en Base64 como lo hace base64.encodebytes de Python (líneas de 76 caracteres, cada una terminada en un salto de línea) y calcula el hash de ese texto con MurmurHash3 de 32 bits, semilla 0, mostrado como entero con signo. El icon_hash de FOFA usa el mismo valor, mientras que las consultas de ZoomEye y Censys de esta página usan el MD5 del archivo.
¿Por qué un hash no encuentra nada, o encuentra servidores equivocados?
Solo coincide con servidores que devuelven exactamente los mismos bytes de favicon, así que una copia redimensionada, guardada de nuevo o recodificada da otro valor, y un sitio cuyo /favicon.ico devuelve una página de error da el hash de esa página. Los iconos predeterminados de paneles de hosting y frameworks los comparten miles de sitios sin relación, así que trata las coincidencias como pistas que hay que comprobar, no como prueba de un propietario común.
¿La herramienta descarga el favicon o lo envía a algún sitio?
No. Calcula el hash del archivo o del Base64 que proporcionas dentro de tu navegador y no hace ninguna solicitud de red. Los enlaces de búsqueda abren Shodan, FOFA, ZoomEye o Censys en una pestaña nueva solo cuando los pulsas, y solo llevan el hash.
¿Por qué el hash es un número negativo?
Shodan muestra MurmurHash3 como entero de 32 bits con signo, así que aproximadamente la mitad de los iconos reciben un valor negativo. Conserva el signo menos; sin él, la búsqueda busca otro icono.
¿Cómo usan los investigadores el hash de un favicon?
Los kits de phishing suelen reutilizar el mismo archivo de icono en todas las copias de un sitio falso. Buscar su hash en Shodan o FOFA puede revelar otros servidores con el mismo kit, que después compruebas uno a uno.
¿Puedo pegar un icono desde el HTML de una página?
Sí, si la página lo incrusta como data: URI: pega el valor completo y el prefijo se elimina antes de decodificar. Un icono enlazado por URL hay que guardarlo antes como archivo, porque esta herramienta no descarga nada.
¿Por qué el mismo sitio da otro hash otro día?
Los sitios cambian sus iconos, y algunos servidores envían bytes distintos a visitantes distintos, por ejemplo una página inofensiva a los escáneres. Cada versión tiene su propio hash, así que anota la fecha y cómo obtuviste el icono.