어떤 파일이든 MD5, SHA-1, SHA-256을 구하고 VirusTotal, MalwareBazaar 검색 링크를 만듭니다.
신규
파비콘 해시(mmh3)
로컬에서 실행신규
도구 자체는 영어로 되어 있지만, 이 페이지에서는 귀하의 언어로 설명해 드립니다.
파비콘 해시(mmh3)을(를) 사용하세요
기능
파비콘을 끌어다 놓거나 Base64를 붙여 넣으면 Shodan 방식의 mmh3 해시, MD5, SHA-256과 함께 Shodan, FOFA, ZoomEye, Censys용 검색 쿼리를 바로 얻을 수 있습니다. 아이콘은 브라우저 밖으로 나가지 않습니다.
이 서비스는 전적으로 브라우저에서 실행되며, 사용자가 입력한 내용은 전혀 업로드되지 않습니다.
파비콘 해시(mmh3) 사용 방법
- 정확한 아이콘 확보. 격리된 환경에서 서버가 보내는 그대로 사이트의 파비콘(예: /favicon.ico)을 저장합니다. 다시 저장하거나 변환하지 마세요.
- 끌어다 놓거나 Base64 붙여 넣기. 파일을 끌어다 놓거나 선택하거나(최대 10MB), Base64 또는 data: URI를 붙여 넣고 Compute hash(해시 계산)를 누릅니다.
- 해시 확인. mmh3 값은 Shodan과 FOFA용이고, MD5는 ZoomEye와 Censys용입니다. SHA-256은 파일 자체를 식별합니다.
- 검색. 준비된 쿼리를 복사하거나 Search를 눌러 해시만 담아 검색 엔진을 엽니다. ZoomEye는 사이트를 연 뒤 쿼리를 붙여 넣으세요.
- 일치 결과 하나하나 확인. 발견된 서버를 피싱 사이트와 연결하기 전에 모두 검토하세요. 기본 아이콘은 서로 관련 없는 많은 사이트가 공유합니다.
예시
Base64로 된 16 × 16 PNG 아이콘
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.108바이트 PNG로 디코딩됩니다. mmh3 해시는 2033577382이므로 Shodan 쿼리는 http.favicon.hash:2033577382이고, MD5 687bba8c4cd9980ec195986b32ee42cb는 ZoomEye와 Censys 쿼리에 들어갑니다.
검증 대상
| 신호 | 그 의미는 무엇인가 |
|---|---|
| 형식 줄 | 감지된 형식(PNG, ICO, GIF, JPEG, BMP, WebP, SVG 또는 unknown format)과 바이트 단위 크기입니다. |
| 미리 보기 | 이미지 형식은 32픽셀 미리 보기로 표시되므로, 해시하려던 아이콘이 맞는지 확인할 수 있습니다. |
| HTML 페이지 경고 | 바이트가 아이콘이 아니라 웹 페이지입니다. 서버는 없는 /favicon.ico에 오류 페이지로 응답하는 경우가 많으며, 그 해시로는 같은 페이지만 찾을 수 있습니다. |
| Shodan / FOFA 해시 | Base64로 인코딩한 아이콘의 MurmurHash3이며, 부호 있는 32비트 숫자로 표시됩니다. 음수 값도 정상입니다. |
| 파일의 MD5 | ZoomEye와 Censys 쿼리에 사용됩니다. |
| 파일의 SHA-256 | 정확한 파일을 식별하며, 신고서나 수집한 사본을 대조할 때 유용합니다. |
| 검색 쿼리 | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash, 그리고 Censys용 두 가지 형식입니다. 대부분의 엔진은 결과를 보려면 무료 계정이 필요합니다. |
| 바이트 동일 규칙 | 크기를 바꾸거나 다시 압축하거나 변환한 아이콘은 해시가 다르므로, 일치하지 않는다는 것은 바이트가 다르다는 뜻일 뿐일 수 있습니다. |
더 많은 예시
data: URI로 된 작은 SVG 아이콘
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+붙여 넣은 Base64, 108 B, SVG. mmh3 해시는 -1417999905이므로 Shodan 쿼리는 http.favicon.hash:-1417999905, FOFA는 icon_hash="-1417999905"이며, MD5 10a8f1de4d94f66724532d5315194e33은 ZoomEye와 Censys 쿼리에 들어갑니다.
아이콘 대신 오류 페이지
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML page이며, 이 바이트가 아이콘이 아니라 HTML 페이지라는 경고가 나옵니다. mmh3 값 -1700126198은 같은 페이지를 반환하는 서버와만 일치합니다.
Base64 대신 파일 이름
favicon.ico붙여 넣은 텍스트를 디코딩할 수 없습니다. 유효한 Base64가 아닙니다. data: 접두사 유무와 관계없이 아이콘 파일의 Base64를 붙여 넣으라는 안내가 나옵니다.
자주 묻는 질문
Shodan 파비콘 해시는 어떻게 계산되나요?
Shodan은 파비콘의 원본 바이트를 Python의 base64.encodebytes와 같은 방식(76자 줄, 각 줄 끝에 줄바꿈)으로 Base64 인코딩한 뒤, 그 텍스트를 시드 0의 32비트 MurmurHash3로 해시해 부호 있는 정수로 표시합니다. FOFA의 icon_hash도 같은 값을 쓰며, 여기서 만드는 ZoomEye와 Censys 쿼리는 파일의 MD5를 사용합니다.
해시로 아무것도 찾지 못하거나 엉뚱한 서버가 나오는 이유는 무엇인가요?
바이트 단위로 완전히 같은 파비콘을 반환하는 서버만 일치합니다. 따라서 크기를 바꾸거나 다시 저장하거나 다시 인코딩한 사본은 다른 값이 되며, /favicon.ico가 오류 페이지를 반환하는 사이트는 그 페이지의 해시가 나옵니다. 호스팅 패널과 프레임워크의 기본 아이콘은 서로 관련 없는 수천 개 사이트가 공유하므로, 일치 결과는 소유자가 같다는 증거가 아니라 확인해야 할 단서로 다루세요.
도구가 파비콘을 가져오거나 어딘가로 보내나요?
아니요. 제공한 파일이나 Base64를 브라우저 안에서 해시하며 네트워크 요청을 하지 않습니다. 검색 링크는 클릭할 때만 새 탭에서 Shodan, FOFA, ZoomEye, Censys를 열며, 해시만 담고 있습니다.
해시가 음수인 이유는 무엇인가요?
Shodan은 MurmurHash3를 부호 있는 32비트 정수로 보고하므로, 전체 아이콘의 약 절반은 음수 값을 가집니다. 마이너스 기호를 유지하세요. 빠지면 다른 아이콘을 검색하게 됩니다.
조사자들은 파비콘 해시를 어떻게 활용하나요?
피싱 키트는 가짜 사이트의 모든 사본에 같은 아이콘 파일을 재사용하는 경우가 많습니다. Shodan이나 FOFA에서 그 해시를 검색하면 같은 키트를 운영하는 다른 서버를 찾을 수 있으며, 그 서버들을 하나씩 확인하면 됩니다.
페이지 HTML에 있는 아이콘을 붙여 넣어도 되나요?
페이지가 data: URI로 아이콘을 포함하고 있다면 가능합니다. 값 전체를 붙여 넣으면 디코딩 전에 접두사가 제거됩니다. URL로 연결된 아이콘은 이 도구가 아무것도 가져오지 않으므로 먼저 파일로 저장해야 합니다.
같은 사이트가 다른 날에는 다른 해시가 나오는 이유는 무엇인가요?
사이트는 아이콘을 바꾸기도 하고, 일부 서버는 방문자마다 다른 바이트를 보냅니다. 예를 들어 스캐너에는 무해한 페이지를 보냅니다. 버전마다 해시가 다르므로 날짜와 아이콘을 얻은 방법을 기록해 두세요.