هَش favicon سایت mmh3 را با کوئری‌های آماده Shodan، FOFA، ZoomEye و Censys محاسبه کنید.
جدید
رمزگشای گواهی X.509
اجرای محلیجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح میدهد.
از رمزگشای گواهی X.509 استفاده کنید
کارکرد
یک گواهی PEM یا زنجیره را الصاق کنید یا یک فایل .crt، .cer، .der یا .p7b را رها کنید تا همه نام‌هایی را که پوشش میدهد، صادرکننده آن، مدت اعتبار و اثرانگشت‌هایش را ببینید، همراه با لینک‌های crt.sh برای هر نام.
این کاملاً در مرورگر شما اجرا میشود: هیچیک از اطلاعاتی که وارد می‌کنید بارگذاری نمی‌شود.
چگونه از رمزگشای گواهی X.509 استفاده کنیم
- گواهی را دریافت کنید. آن را از بخش crt.sh سایت دانلود کنید یا در یک محیط ایزوله دستور openssl s_client -showcerts را اجرا کنید. نیازی نیست از صفحه مشکوک بازدید کنید.
- آن را بچسبانید یا رها کنید. متن PEM را (در صورت داشتن یک زنجیره کامل) چسبانده و دکمهٔ «رمزگشایی» را فشار دهید، یا یک فایل .pem، .crt، .cer، .der یا .p7b را رها کنید تا بلافاصله رمزگشایی شود.
- نشان‌ها و پرچم‌ها را بخوانید. هر گواهی‌نامه وضعیت، سطح اعتبارسنجی و هشدارهایی مانند منقضی‌شده، خودامضا یا نامهای پونی‌کد را نشان میدهد.
- اسامی را بررسی کنید. موضوع «نامهای جایگزین» هر دامنه، آدرس IP و آدرس ایمیل را که گواهی پوشش میدهد، همراه با لینک جستجوی crt.sh برای هر یک فهرست میکند.
- محور چرخش. از لینک‌های اثرانگشت SHA-256 یا کلید عمومی برای یافتن همان گواهی یا کلید در crt.sh استفاده کنید. Send to نامهای DNS را به IOC Converter، Blocklist Converter، Abuse Report Generator یا URL Defanger ارسال میکند.
مثال
گواهی آزمایش برای example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…تولید شده با OpenSSL برای این صفحه: هشت ورودی SAN شامل *.example.com، www.example.net و 192.0.2.10، یک سیاست DV، دو SCT جاسازیشده و صادرکننده Example Test Root CA. اعتبار آن از ۱ ژانویه تا ۱ آوریل ۲۰۲۶ بود، بنابراین به‌عنوان منقضی‌شده نمایش داده میشود.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| نشان وضعیت | اعتبار دارد با روزهای باقی‌مانده، منقضی شده یا هنوز معتبر نیست. یک گواهی معتبر تنها نشان میدهد که هنگام صدور، کسی دامنه را کنترل می‌کرده است، نه اینکه سایت قابل‌اعتماد باشد. |
| سطح اعتبارسنجی | DV، OV، IV یا EV را از سیاست‌های گواهی‌نامه بخوانید. DV به این معنی است که تنها کنترل دامنه بررسی شده است. |
| امضای خود | هیچ مرجع صدور گواهی عمومی آن را تأیید نمیکند، بنابراین مرورگرها هشداری نمایش می‌دهند. |
| صادرکننده DV رایگان | Let's Encrypt، ZeroSSL، Google Trust Services یا cPanel AutoSSL. فقط در زمینه: سایت‌های معتبر و فیشینگ هر دو از آنها استفاده میکنند. |
| جای‌گزین‌های وحشی و شمارش نام‌ها | نامهای وایلدکارد مشخص شدهاند؛ ۲۵ یا بیشتر نام در یک گواهی‌نامه معمولاً نشانهٔ CDN، میزبانی یا گواهی‌نامه‌های دسته‌ای است. |
| نامهای پونی‌کد | نامهای xn-- علامت‌گذاری میشوند تا بتوانید آنها را برای حروف مشابه بررسی کنید. |
| امضا یا کلید ضعیف | امضاهای SHA-1 یا MD5 و کلیدهای RSA کمتر از 2048 بیت هشدار هستند. |
| برچسب‌های زمانی CT | SCTهای جاسازیشده نشان می‌دهند که گواهی‌نامه چه زمانی بهطور عمومی ثبت شده است؛ قدیمی‌ترین آنها نزدیک به زمان صدور است. |
| سفارش زنجیره‌ای | در یک زنجیرهٔ چسبانده‌شده، هر گواهی‌نامه با گواهی‌نامهٔ بعدی بر اساس نام صادرکننده و شناسه‌ی کلید مطابقت داده میشود. امضاها تأیید نمیشوند. |
| ویژگیهای موضوع و صادرکننده | میدان‌های نام سازمان، کشور و سایر نام‌ها برای هر دو طرف. در گواهیهای مورد اعتماد عمومی، نام سازمان تنها در گواهیهای OV و EV نمایش داده میشود؛ در گواهیهای DV فقط نام دامنه درج میشود. |
نمونه‌های بیشتر
یک گواهی آزمایش خودامضا
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----سرور login.example.net (اسامی به‌صورت مخفف نمایش داده شدهاند) با یک نشان منقضی و سه هشدار: منقضی (2026-09-30T00:00:00Z)، خودامضا، و نام punycode xn--exmple-cua.example. کلید EC P-256، مدت اعتبار ۲۹ روز، بدون SCT، دو نام SAN با لینک‌های crt.sh.
یک دامنه به جای گواهی‌نامه چسبانده شده است
example.comفقط این پیام نمایش داده میشود: «هیچ بلوک PEM (-----BEGIN CERTIFICATE-----) یافت نشد.»
سوالات متداول
دکودر از یک گواهی چه میخواند؟
این ساختار DER را بهطور دقیق تجزیه میکند و نسخه، شماره سریال، الگوریتم امضا، ویژگیهای موضوع و صادرکننده، اعتبار، نوع و اندازه کلید عمومی و افزونهها را نمایش میدهد: نامهای SAN، کاربردهای کلید، سیاستها (DV، OV، EV)، آدرسهای CRL و OCSP و مهرهای زمانی CT جاسازیشده. اثرانگشتهای SHA-1، SHA-256 و اثرانگشت کلید عمومی با Web Crypto محاسبه میشوند.
آیا بررسی میکند که گواهی معتبر است یا لغو شده؟
خیر. این امضاها را تأیید نمیکند، مسیری به ریشهٔ مورد اعتماد ایجاد نمیکند و OCSP و CRLها را استعلام نمیکند؛ تنها نام صادرکننده و موضوع و شناسههای کلید را مقایسه میکند تا مشخص کند آیا زنجیره مرتب است یا خیر. پرچمهایی مانند صادرکنندهٔ DV آزاد یا نام وایلدکارد زمینهٔ یک بررسی هستند، نه حکم نهایی.
آیا گواهی به جایی ارسال میشود؟
خیر. رمزگشایی و اثرانگشتیگیری در مرورگر شما اجرا میشوند. دکمههای crt.sh لینکهایی هستند که crt.sh را در یک زبانهٔ جدید با اثرانگشتی یا نام در نشانی باز میکنند و تنها وقتی روی آنها کلیک کنید.
اصلاً چرا باید گواهی یک سایت فیشینگ را بررسی کرد؟
فهرست SAN آن میتواند دامنههای دیگر همان کمپین را نامگذاری کند و اثر انگشت یا کلید عمومی آن را میتوان در crt.sh جستجو کرد تا گواهیهای مرتبط را بیابید. شروع اعتبار نیز نشان میدهد که سایت چه زمانی راهاندازی شده است.
آیا میتوانم گواهیای را که از یک لاگ JSON کپی کردهام، الصاق کنم؟
بله. متن PEM با توالیهای literal \n ابتدا بدون فرارسازی میشود و Base64 یا DER هگزادسیم بدون خط BEGIN نیز پذیرفته میشود.
اگر من یک کلید خصوصی یا CSR را پیست کنم چه میشود؟
هیچیک رمزگشایی نمیشوند. کلید خصوصی هشداری دریافت میکند مبنی بر اینکه کلیدها را در صفحات وب پیست نکند، و درخواست امضای گواهی با یادداشتی رد میشود.
آیا بستههای .p7b را میخواند؟
بله. یک بسته PKCS#7 باز میشود، یادداشتی تعداد گواهیهایی را که استخراج شدهاند نشان میدهد و هر یک به ترتیب نمایش داده میشوند. در هر اجرا تا ۲۰ گواهی نمایش داده میشوند.