MD5، SHA-1 و SHA-256 هر فایل، همراه با لینکهای جستجوی آماده در VirusTotal و MalwareBazaar.
جدید
هَشِ فاوایکون (mmh3)
اجرای محلیجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح میدهد.
از هَشِ فاوایکون (mmh3) استفاده کنید
کارکرد
یک favicon را آپلود کنید یا کد Base64 آن را چسبانده تا هش mmh3 به سبک Shodan، MD5 و SHA-256 و عبارت‌های آماده‌ی جستجو برای Shodan، FOFA، ZoomEye و Censys را دریافت کنید. این آیکون هرگز مرورگر شما را ترک نمیکند.
این کاملاً در مرورگر شما اجرا میشود: هیچ‌یک از اطلاعاتی که وارد میکنید بارگذاری نمی‌شود.
چگونه از هَشِ فاوایکون (mmh3) استفاده کنیم
- آیکون دقیق را دریافت کنید. فاویکون سایت را همانطور که سرور ارسال میکند، برای مثال /favicon.ico، در یک محیط ایزوله ذخیره کنید. آن را دوباره ذخیره یا تبدیل نکنید.
- آن را رها کن یا Base64 را الصاق کن. فایل را رها کنید یا انتخاب کنید (تا ۱۰ مگابایت)، یا Base64 آن یا یک URI داده‌ای را چسبانده و دکمهٔ «محاسبهٔ هَش» را فشار دهید.
- هش‌ها را بخوانید. مقدار mmh3 برای Shodan و FOFA است، MD5 برای ZoomEye و Censys. SHA-256 خود فایل را شناسایی میکند.
- جستجو. یک پرس‌وجوی آماده را کپی کنید یا دکمهٔ جستجو را فشار دهید تا موتور تنها با هَش باز شود. برای ZoomEye، سایت را باز کرده و پرس‌وجو را الصاق کنید.
- هر مسابقه را بررسی کنید. هر سرور یافت‌شده را قبل از لینک‌دادن آن به سایت فیشینگ بررسی کنید: آیکونهای پیشفرض در بسیاری از سایت‌های نامرتبط مشترک هستند.
مثال
آیکون PNG با ابعاد 16×16 به صورت Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.به یک تصویر PNG با اندازهٔ ۱۰۸ بایت رمزگشایی میشود. هَش mmh3 برابر با 2033577382 است، بنابراین پرس‌وجوی Shodan به صورت http.favicon.hash:2033577382; است. هَش MD5 با مقدار 687bba8c4cd9980ec195986b32ee42cb در پرس‌وجوهای ZoomEye و Censys استفاده میشود.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| فرمت خط | فرمت شناسایی‌شده (PNG، ICO، GIF، JPEG، BMP، WebP، SVG یا فرمت ناشناخته) و اندازه به بایت. |
| پیش‌نمایش | فرمت‌های تصویر به‌صورت پیش‌نمایش ۳۲ پیکسلی نمایش داده میشوند تا بتوانید تأیید کنید که همان آیکونی است که قصد داشتید هش کنید. |
| هشدار صفحهٔ HTML | بایت‌ها یک صفحهٔ وب هستند، نه یک آیکون. سرورها اغلب در صورت عدم وجود /favicon.ico صفحه‌ای خطا نمایش میدهند و هَش آن تنها همان صفحه را پیدا میکند. |
| شودان / هش FOFA | MurmurHash3 آیکون رمزگذاری‌شده با Base64، نمایش‌داده‌شده بهعنوان یک عدد ۳۲ بیتی با علامت. مقادیر منفی طبیعی هستند. |
| MD5 فایل | در پرس‌وجوهای ZoomEye و Censys استفاده میشود. |
| SHA-256 فایل | فایل دقیق را شناسایی میکند، که در گزارش‌ها و تطبیق نسخه‌های جمع‌آوری‌شده مفید است. |
| پرس‌وجوهای جستجو | Shodan http.favicon.hash، FOFA icon_hash، ZoomEye iconhash و دو فرم Censys. اکثر موتورهای جستجو برای نمایش نتایج به یک حساب رایگان نیاز دارند. |
| قانون بایت-یکسان | یک آیکون تغییر اندازه داده شده، دوباره فشرده شده یا تبدیل شده هش متفاوتی تولید میکند، بنابراین یک عدم تطابق ممکن است صرفاً به این معنی باشد که بایت‌ها متفاوت هستند. |
نمونه‌های بیشتر
یک آیکون SVG کوچک به صورت URI داده
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+پیست‌شده Base64، 108 بایت، SVG. هَش mmh3 برابر با -1417999905 است، بنابراین پرس‌وجوی Shodan به شکل http.favicon.hash:-1417999905 است و FOFA مقدار icon_hash="-1417999905" را دریافت میکند؛ هش MD5 با مقدار 10a8f1de4d94f66724532d5315194e33 در کوئریهای ZoomEye و Censys استفاده میشود.
یک صفحهٔ خطا به جای یک آیکون
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B، صفحهٔ HTML، با هشدار اینکه این بایت‌ها یک صفحهٔ HTML هستند، نه یک آیکون. مقدار mmh3 آن، -1700126198، تنها با سرورهایی مطابقت دارد که همان صفحه را بازگردانند.
نام فایل به جای Base64
favicon.icoنمی‌توان متن چسبانده‌شده را رمزگشایی کرد: این Base64 معتبر نیست. Base64 فایل آیکون را با یا بدون پیشوند داده بچسبانید.
سوالات متداول
هَشِ فاوآیکان شودان چگونه محاسبه میشود؟
Shodan بایتهای خام favicon را میگیرد، آنها را همانطور که تابع base64.encodebytes در پایتون انجام میدهد (خطوط ۷۶ کاراکتری که هر کدام با یک خط جدید پایان مییابند) به Base64 رمزگذاری میکند و آن متن را با MurmurHash3 ۳۲ بیتی با بذر ۰ هش میکند که به صورت یک عدد صحیح نشانهگذاریشده نمایش داده میشود. آیکون_هَش FOFA از همان مقدار استفاده میکند، در حالی که کوئریهای ZoomEye و Censys در اینجا از MD5 فایل استفاده میکنند.
چرا هش هیچ چیزی پیدا نمیکند یا سرورهای اشتباه را پیدا میکند؟
این تنها سرورهایی را تطبیق میدهد که بایتبهبايت با favicon یکسان را بازگردانند، بنابراین یک نسخه تغییر اندازه داده شده، دوباره ذخیره شده یا دوباره رمزگذاری شده مقدار متفاوتی خواهد داشت، و سایتی که /favicon.ico آن صفحه خطا بازمیگرداند، هش همان صفحه را ارائه میدهد. آیکونهای پیشفرض پنلهای میزبانی و فریمورکها توسط هزاران سایت بیارتباط به اشتراک گذاشته میشوند، بنابراین تطابقها را بهعنوان سرنخهایی برای بررسی در نظر بگیرید، نه مدرکی بر مالکیت مشترک.
آیا این ابزار فاویکون را دریافت میکند یا آن را به جایی ارسال میکند؟
خیر. این فایل یا Base64 ارائهشده در مرورگر شما را هش میکند و هیچ درخواست شبکهای انجام نمیدهد. لینکهای جستجو تنها زمانی که روی آنها کلیک کنید، Shodan، FOFA، ZoomEye یا Censys را در یک زبانهٔ جدید باز میکنند و فقط هش را منتقل میکنند.
چرا هش عدد منفی است؟
Shodan گزارش میدهد که MurmurHash3 یک عدد صحیح ۳۲ بیتی با علامت است، بنابراین تقریباً نیمی از همه آیکونها مقدار منفی دریافت میکنند. علامت منفی را حفظ کنید؛ بدون آن جستجو به دنبال آیکون متفاوتی میگردد.
تحقیقکنندگان چگونه از هش فاوآیکون استفاده میکنند؟
کیتهای فیشینگ اغلب از یک فایل آیکون یکسان در هر نسخه از یک سایت جعلی استفاده میکنند. جستجوی هَش آن در Shodan یا FOFA میتواند سرورهای دیگری را که همین کیت را اجرا میکنند آشکار کند، که سپس آنها را یکییکی بررسی میکنید.
آیا میتوانم یک آیکون را از HTML یک صفحه بچسبانم؟
بله، اگر صفحه آن را بهعنوان یک URI داده جاسازی کند: کل مقدار را الصاق کنید و پیشوند قبل از رمزگشایی حذف میشود. آیکونی که از طریق URL لینک شده باید ابتدا بهعنوان یک فایل ذخیره شود، زیرا این ابزار هیچچیز دریافت نمیکند.
چرا همان سایت در روز دیگری هش متفاوتی ارائه میدهد؟
سایتها آیکونهای خود را تغییر میدهند و برخی سرورها برای بازدیدکنندگان مختلف بایتهای متفاوتی ارسال میکنند، برای مثال یک صفحه بیضرر برای اسکنرها. هر نسخه هش مخصوص به خود را دارد، پس تاریخ و نحوه دریافت آیکون را یادداشت کنید.