MD5, SHA-1 ו-SHA-256 של כל קובץ, עם קישורים מוכנים לחיפוש ב-VirusTotal וב-MalwareBazaar.
חדש
Favicon Hash (mmh3)
פועל מקומיתחדש
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-Favicon Hash (mmh3)
מה זה עושה
העלו סמל מועדף (favicon) או הדביקו את הקוד Base64 שלו כדי לקבל את ה-hash מסוג mmh3 בסגנון Shodan, את ה-MD5 וה-SHA-256, וכן שאילתות חיפוש מוכנות עבור Shodan, FOFA, ZoomEye ו-Censys. הסמל לעולם לא עוזב את הדפדפן שלכם.
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-Favicon Hash (mmh3)
- קבל את הסמל המדויק. שמור את סמל האתר (favicon) כפי שהשרת שולח אותו, למשל /favicon.ico, בסביבה מבודדת. אל תשמור אותו מחדש ואל תהפוך אותו לפורמט אחר.
- הזן את הטקסט או הדבק את הקוד ב-Base64. גרור או בחר את הקובץ (עד 10 MB), או הדבק את ה-Base64 שלו או את ה-URI מסוג data: ולחץ על "חשב hash".
- קרא את הערכים. הערך mmh3 מיועד ל-Shodan ול-FOFA, והערך MD5 מיועד ל-ZoomEye ול-Censys. הערך SHA-256 מזהה את הקובץ עצמו.
- חיפוש. העתק שאילתה מוכנה או לחץ על "חיפוש" כדי לפתוח את מנוע החיפוש עם ה-hash בלבד. עבור ZoomEye, פתח את האתר והדבק את השאילתה.
- בדוק כל משחק. בדקו כל שרת שנמצא לפני שתקשרו אותו לאתר הדיוג: סמלים ברירת המחדל משותפים לאתרים רבים שאינם קשורים זה לזה.
דוגמה
סמל PNG בגודל 16 × 16 בפורמט Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.מתורגם לקובץ PNG בגודל 108 בתים. ערך ה-hash של mmh3 הוא 2033577382, ולכן שאילתת Shodan היא http.favicon.hash:2033577382; ה-MD5 687bba8c4cd9980ec195986b32ee42cb נכנס לשאילתות ZoomEye ו-Censys.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| עיצוב שורה | הפורמט שזוהה (PNG, ICO, GIF, JPEG, BMP, WebP, SVG או פורמט לא ידוע) והגודל בבytes. |
| תצוגה מקדימה | פורמטי התמונות מוצגים כתצוגה מקדימה בגודל 32 פיקסלים, כך שתוכל לוודא שזו אכן הסמל שרצית לבצע לו האש. |
| אזהרה בדף HTML | הבייטים הם דף אינטרנט, לא סמל. לעתים קרובות, שרתים מגיבים להיעדרות הקובץ /favicon.ico בדף שגיאה, וה-hash שלו מוביל רק לאותו דף. |
| Shodan / FOFA hash | MurmurHash3 של הסמל המקודד ב-Base64, המוצג כמספר חתום בן 32 סיביות. ערכים שליליים הם תופעה נורמלית. |
| MD5 של הקובץ | משמש בשאילתות ZoomEye ו-Censys. |
| SHA-256 של הקובץ | מזהה את הקובץ המדויק, דבר שימושי בדוחות ובהשוואת העותקים שאספת. |
| שאילתות חיפוש | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash ושני טפסים של Censys. ברוב המנועים נדרש חשבון חינמי כדי להציג תוצאות. |
| כלל הזהות הבייטית | סמל ששינו את גודלו, דחוסו מחדש או הומרו, מניב ערך hash שונה, ולכן אי-התאמה עשויה להעיד רק על הבדל בבתים. |
דוגמאות נוספות
סמל SVG קטן כ-data:URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Base64 שהודבק, 108 B, SVG. ה-hash של mmh3 הוא -1417999905, ולכן שאילתת Shodan היא http.favicon.hash:-1417999905 ו-FOFA מקבל icon_hash="-1417999905"; ה-MD5 10a8f1de4d94f66724532d5315194e33 נכנס לשאילתות של ZoomEye ו-Censys.
דף שגיאה במקום סמל
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, דף HTML, עם אזהרה כי ביטים אלה מהווים דף HTML, ולא סמל. ערכו ב-mmh3, -1700126198, תואם רק לשרתים המחזירים את אותו הדף.
שם קובץ במקום Base64
favicon.icoלא ניתן לפענח את הטקסט שהודבק: זהו קוד Base64 לא תקין. הדבק את קוד ה-Base64 של קובץ הסמל, עם או בלי הקידומת "data:".
שאלות נפוצות
כיצד מחושב ה-hash של סמל האתר של Shodan?
Shodan לוקח את הבתים הגולמיים של סמל האתר (favicon), מקודד אותם ב-Base64 כפי שעושה הפונקציה base64.encodebytes ב-Python (שורות בנות 76 תווים, שכל אחת מהן מסתיימת בתו מעבר שורה) ומחשב את ה-hash של הטקסט באמצעות MurmurHash3 בן 32 סיביות, עם זרע 0, המוצג כמספר שלם חתום. הפונקציה icon_hash של FOFA משתמשת באותו ערך, בעוד שהשאילתות של ZoomEye ו-Censys כאן משתמשות ב-MD5 של הקובץ.
מדוע החיפוש לפי האש לא מוצא דבר, או מוצא שרתים לא נכונים?
הכלי מזהה רק שרתים שמחזירים ביטים זהים לחלוטין של ה-favicon; לפיכך, עותק שגודלו שונה, שנשמר מחדש או שנקודד מחדש יניב ערך שונה, ואילו אתר ש- /favicon.ico שלו מחזיר דף שגיאה יניב את ה-hash של אותו דף. סמלי ברירת המחדל של לוחות בקרה ומסגרות פיתוח משותפים לאלפי אתרים שאינם קשורים זה לזה, ולכן יש להתייחס להתאמות כאל רמזים שיש לבדוק, ולא כהוכחה לבעלות משותפת.
האם הכלי מוריד את סמל האתר או שולח אותו למקום כלשהו?
לא. הוא מבצע חישוב hash לקובץ או ל-Base64 שאתה מספק בתוך הדפדפן שלך, ואינו מבצע שום בקשת רשת. קישורי החיפוש פותחים את Shodan, FOFA, ZoomEye או Censys בלשונית חדשה רק כאשר אתה לוחץ עליהם, והם מכילים רק את ה-hash.
מדוע הערך של ה-hash הוא מספר שלילי?
Shodan מדווח על MurmurHash3 כמספר שלם חתום בן 32 סיביות, ולכן כמחצית מכלל הסמלים מקבלים ערך שלילי. יש לשמור על סימן המינוס; בלעדיו החיפוש יאתר סמל אחר.
כיצד חוקרים משתמשים בהאש של סמל אתר?
ערכות פישינג נוטות להשתמש באותו קובץ סמל בכל עותק של אתר מזויף. חיפוש לפי ה-hash שלו ב-Shodan או ב-FOFA עשוי לחשוף שרתים נוספים שמריצים את אותה הערכה, אותם תוכלו לבדוק אחד אחד.
האם אפשר להדביק סמל מקוד ה-HTML של דף?
כן, אם הדף משלב אותו כ-URI מסוג data:, הדבק את הערך במלואו והקידומת תוסר לפני הפענוח. סמל המקושר באמצעות כתובת URL חייב להישמר תחילה כקובץ, מכיוון שכלי זה אינו מוריד דבר.
מדוע אותו אתר מספק חתימה שונה ביום אחר?
אתרים משנים את הסמלים שלהם, וישנם שרתים ששולחים ביטים שונים למבקרים שונים — למשל, דף תמים לסורקים. לכל גרסה יש חתימה משלה, לכן יש לרשום את התאריך ואת האופן שבו השגת את הסמל.