MD5, SHA-1 e SHA-256 di qualsiasi file, con link di ricerca pronti per VirusTotal e MalwareBazaar.
Nuovo
Hash della favicon (mmh3)
Funziona in localeNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Hash della favicon (mmh3)
Cosa fa
Trascina una favicon o incollane il Base64 per ottenere l'hash mmh3 in stile Shodan, l'MD5 e lo SHA-256, e query di ricerca pronte per Shodan, FOFA, ZoomEye e Censys. L'icona non lascia mai il tuo browser.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Hash della favicon (mmh3)
- Ottieni l'icona esatta. Salva la favicon del sito così come la invia il server, ad esempio /favicon.ico, in un ambiente isolato. Non salvarla di nuovo e non convertirla.
- Trascinala o incolla il Base64. Trascina o scegli il file (fino a 10 MB), oppure incolla il suo Base64 o un data: URI e premi Compute hash.
- Leggi gli hash. Il valore mmh3 è per Shodan e FOFA, l'MD5 per ZoomEye e Censys. Lo SHA-256 identifica il file stesso.
- Cerca. Copia una query pronta o premi Search per aprire il motore con il solo hash. Per ZoomEye, apri il sito e incolla la query.
- Verifica ogni corrispondenza. Esamina ogni server trovato prima di collegarlo al sito di phishing: le icone predefinite sono condivise da molti siti senza alcun legame.
Esempio
Icona PNG 16 × 16 in Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Si decodifica in un PNG da 108 byte. L'hash mmh3 è 2033577382, quindi la query Shodan è http.favicon.hash:2033577382; l'MD5 687bba8c4cd9980ec195986b32ee42cb va nelle query di ZoomEye e Censys.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Riga del formato | Il formato rilevato (PNG, ICO, GIF, JPEG, BMP, WebP, SVG o formato sconosciuto) e la dimensione in byte. |
| Anteprima | I formati immagine vengono mostrati come anteprima da 32 pixel, così puoi confermare che sia l'icona di cui volevi calcolare l'hash. |
| Avviso di pagina HTML | I byte sono una pagina web, non un'icona. I server rispondono spesso a un /favicon.ico mancante con una pagina di errore, e il suo hash trova solo la stessa pagina. |
| Hash Shodan / FOFA | MurmurHash3 dell'icona codificata in Base64, mostrato come numero a 32 bit con segno. I valori negativi sono normali. |
| MD5 del file | Usato nelle query di ZoomEye e Censys. |
| SHA-256 del file | Identifica il file esatto, utile nelle segnalazioni e per confrontare le copie raccolte. |
| Query di ricerca | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash e due forme per Censys. La maggior parte dei motori richiede un account gratuito per mostrare i risultati. |
| Regola dei byte identici | Un'icona ridimensionata, ricompressa o convertita dà un hash diverso, quindi un mancato riscontro può significare solo che i byte sono diversi. |
Altri esempi
Una piccola icona SVG come data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Pasted Base64, 108 B, SVG. L'hash mmh3 è -1417999905, quindi la query Shodan è http.favicon.hash:-1417999905 e FOFA riceve icon_hash="-1417999905"; l'MD5 10a8f1de4d94f66724532d5315194e33 va nelle query di ZoomEye e Censys.
Una pagina di errore al posto di un'icona
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML page, con l'avviso che questi byte sono una pagina HTML, non un'icona. Il suo valore mmh3, -1700126198, corrisponde solo ai server che restituiscono la stessa pagina.
Un nome di file al posto del Base64
favicon.icoImpossibile decodificare il testo incollato: non è un Base64 valido. Incolla il Base64 del file dell'icona, con o senza il prefisso data:.
Domande frequenti
Come viene calcolato l'hash della favicon di Shodan?
Shodan prende i byte grezzi della favicon, li codifica in Base64 come fa base64.encodebytes di Python (righe di 76 caratteri, ognuna terminata da un a capo) e calcola l'hash di quel testo con MurmurHash3 a 32 bit, seed 0, mostrato come intero con segno. icon_hash di FOFA usa lo stesso valore, mentre le query ZoomEye e Censys di questa pagina usano l'MD5 del file.
Perché un hash non trova nulla, o trova i server sbagliati?
Corrisponde solo ai server che restituiscono byte della favicon identici, quindi una copia ridimensionata, salvata di nuovo o ricodificata dà un valore diverso, e un sito il cui /favicon.ico restituisce una pagina di errore dà l'hash di quella pagina. Le icone predefinite di pannelli di hosting e framework sono condivise da migliaia di siti senza alcun legame, quindi considera le corrispondenze come piste da verificare, non come prova di una proprietà comune.
Lo strumento scarica la favicon o la invia da qualche parte?
No. Calcola l'hash del file o del Base64 che fornisci all'interno del tuo browser e non effettua richieste di rete. I link di ricerca aprono Shodan, FOFA, ZoomEye o Censys in una nuova scheda solo quando li clicchi, e contengono solo l'hash.
Perché l'hash è un numero negativo?
Shodan riporta MurmurHash3 come intero a 32 bit con segno, quindi circa metà delle icone ottiene un valore negativo. Mantieni il segno meno; senza di esso la ricerca cerca un'icona diversa.
Come usano gli investigatori l'hash di una favicon?
I kit di phishing riutilizzano spesso lo stesso file di icona in ogni copia di un sito falso. Cercare il suo hash su Shodan o FOFA può rivelare altri server che eseguono lo stesso kit, da verificare poi uno per uno.
Posso incollare un'icona dall'HTML di una pagina?
Sì, se la pagina la incorpora come data: URI: incolla l'intero valore e il prefisso viene rimosso prima della decodifica. Un'icona collegata tramite URL va prima salvata come file, perché questo strumento non scarica nulla.
Perché lo stesso sito dà un hash diverso in un altro giorno?
I siti cambiano le loro icone, e alcuni server inviano byte diversi a visitatori diversi, ad esempio una pagina innocua agli scanner. Ogni versione ha il proprio hash, quindi annota la data e il modo in cui hai ottenuto l'icona.