MD5, SHA-1 et SHA-256 de n'importe quel fichier, avec des liens de recherche VirusTotal et MalwareBazaar prêts.
Nouveau
Hash de favicon (mmh3)
Exécution localeNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Hash de favicon (mmh3)
Fonctionnalités
Déposez un favicon ou collez son Base64 pour obtenir le hash mmh3 au format Shodan, le MD5 et le SHA-256, ainsi que des requêtes de recherche prêtes pour Shodan, FOFA, ZoomEye et Censys. L'icône ne quitte jamais votre navigateur.
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Hash de favicon (mmh3)
- Récupérez l'icône exacte. Enregistrez le favicon du site tel que le serveur l'envoie, par exemple /favicon.ico, dans un environnement isolé. Ne le réenregistrez pas et ne le convertissez pas.
- Déposez-le ou collez le Base64. Déposez ou choisissez le fichier (jusqu'à 10 Mo), ou collez son Base64 ou une data URI et appuyez sur Compute hash (calculer le hash).
- Lisez les empreintes. La valeur mmh3 sert pour Shodan et FOFA, le MD5 pour ZoomEye et Censys. Le SHA-256 identifie le fichier lui-même.
- Recherchez. Copiez une requête prête ou appuyez sur Search pour ouvrir le moteur avec uniquement le hash. Pour ZoomEye, ouvrez le site et collez la requête.
- Vérifiez chaque correspondance. Examinez chaque serveur trouvé avant de le relier au site de phishing : les icônes par défaut sont partagées par de nombreux sites sans rapport.
Exemple
Icône PNG 16 × 16 en Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Se décode en un PNG de 108 octets. Le hash mmh3 est 2033577382, la requête Shodan est donc http.favicon.hash:2033577382 ; le MD5 687bba8c4cd9980ec195986b32ee42cb est utilisé dans les requêtes ZoomEye et Censys.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| Ligne de format | Le format détecté (PNG, ICO, GIF, JPEG, BMP, WebP, SVG ou unknown format) et la taille en octets. |
| Aperçu | Les formats d'image sont affichés en aperçu de 32 pixels, pour que vous puissiez confirmer qu'il s'agit bien de l'icône à hacher. |
| Avertissement de page HTML | Les octets sont une page web, pas une icône. Les serveurs répondent souvent à un /favicon.ico manquant par une page d'erreur, et son hash ne trouve que la même page. |
| Hash Shodan / FOFA | MurmurHash3 de l'icône encodée en Base64, affiché comme nombre signé de 32 bits. Les valeurs négatives sont normales. |
| MD5 du fichier | Utilisé dans les requêtes ZoomEye et Censys. |
| SHA-256 du fichier | Identifie le fichier exact, utile dans les signalements et pour rapprocher les copies que vous avez collectées. |
| Requêtes de recherche | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash et deux formes pour Censys. La plupart des moteurs exigent un compte gratuit pour afficher les résultats. |
| Règle de l'identité à l'octet près | Une icône redimensionnée, recompressée ou convertie donne un hash différent : une absence de résultat peut donc simplement signifier que les octets diffèrent. |
D'autres exemples
Une petite icône SVG en data URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Pasted Base64, 108 B, SVG. Le hash mmh3 est -1417999905 : la requête Shodan est donc http.favicon.hash:-1417999905 et FOFA reçoit icon_hash="-1417999905" ; le MD5 10a8f1de4d94f66724532d5315194e33 est utilisé dans les requêtes ZoomEye et Censys.
Une page d'erreur au lieu d'une icône
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML page, avec l'avertissement que ces octets sont une page HTML et non une icône. Sa valeur mmh3, -1700126198, ne correspond qu'aux serveurs qui renvoient la même page.
Un nom de fichier au lieu de Base64
favicon.icoCould not decode the pasted text: this is not valid Base64 (le texte collé n'est pas du Base64 valide), avec l'invite à coller le Base64 du fichier de l'icône, avec ou sans le préfixe data:.
FAQ
Comment le hash de favicon de Shodan est-il calculé ?
Shodan prend les octets bruts du favicon, les encode en Base64 comme le fait base64.encodebytes de Python (lignes de 76 caractères, chacune terminée par un saut de ligne) et hache ce texte avec MurmurHash3 32 bits, graine 0, affiché comme entier signé. L'icon_hash de FOFA utilise la même valeur, tandis que les requêtes ZoomEye et Censys proposées ici utilisent le MD5 du fichier.
Pourquoi un hash ne trouve-t-il rien, ou trouve-t-il les mauvais serveurs ?
Il ne correspond qu'aux serveurs qui renvoient un favicon identique à l'octet près : une copie redimensionnée, réenregistrée ou réencodée donne une valeur différente, et un site dont /favicon.ico renvoie une page d'erreur donne le hash de cette page. Les icônes par défaut des panneaux d'hébergement et des frameworks sont partagées par des milliers de sites sans rapport : considérez les correspondances comme des pistes à vérifier, pas comme la preuve d'un propriétaire commun.
L'outil récupère-t-il le favicon ou l'envoie-t-il quelque part ?
Non. Il hache dans votre navigateur le fichier ou le Base64 que vous fournissez et n'effectue aucune requête réseau. Les liens de recherche n'ouvrent Shodan, FOFA, ZoomEye ou Censys dans un nouvel onglet que lorsque vous cliquez dessus, et ils ne transmettent que le hash.
Pourquoi le hash est-il un nombre négatif ?
Shodan présente MurmurHash3 comme un entier signé de 32 bits : environ la moitié des icônes obtiennent donc une valeur négative. Gardez le signe moins ; sans lui, la recherche porte sur une autre icône.
Comment les enquêteurs utilisent-ils un hash de favicon ?
Les kits de phishing réutilisent souvent le même fichier d'icône sur chaque copie d'un faux site. Rechercher son hash sur Shodan ou FOFA peut révéler d'autres serveurs qui exécutent le même kit, que vous vérifiez ensuite un par un.
Puis-je coller une icône tirée du HTML d'une page ?
Oui, si la page l'intègre sous forme de data URI : collez la valeur entière, et le préfixe est retiré avant le décodage. Une icône liée par URL doit d'abord être enregistrée dans un fichier, car cet outil ne récupère rien.
Pourquoi le même site donne-t-il un hash différent un autre jour ?
Les sites changent d'icône, et certains serveurs envoient des octets différents selon les visiteurs, par exemple une page inoffensive aux scanners. Chaque version a son propre hash : notez donc la date et la manière dont vous avez obtenu l'icône.