MD5, SHA-1 en SHA-256 van elk bestand, met kant-en-klare zoeklinks naar VirusTotal en MalwareBazaar.
Nieuw
Favicon Hash (mmh3)
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Favicon Hash (mmh3)
Wat het doet
Sleep een favicon naar dit veld of plak de Base64-code ervan om de mmh3-hash in Shodan-stijl, de MD5- en SHA-256-hash te krijgen, evenals kant-en-klare zoekopdrachten voor Shodan, FOFA, ZoomEye en Censys. Het pictogram blijft altijd in je browser.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je Favicon Hash (mmh3)
- Download het juiste pictogram. Sla het favicon van de website op zoals de server het verstuurt, bijvoorbeeld /favicon.ico, in een geïsoleerde omgeving. Sla het niet opnieuw op en converteer het niet.
- Voer het in of plak de Base64-code. Sleep het bestand hierheen of selecteer het (maximaal 10 MB), of plak de Base64-code of een data: URI ervan en klik op ‘Hash berekenen’.
- Lees de hashes. De mmh3-waarde geldt voor Shodan en FOFA, de MD5-waarde voor ZoomEye en Censys. De SHA-256-waarde identificeert het bestand zelf.
- Zoeken. Kopieer een kant-en-klare zoekopdracht of klik op ‘Zoeken’ om de zoekmachine te openen met alleen de hash. Voor ZoomEye: open de website en plak de zoekopdracht.
- Controleer elke wedstrijd. Controleer elke gevonden server voordat je deze aan de phishing-site koppelt: standaardpictogrammen worden door veel niet-gerelateerde sites gebruikt.
Voorbeeld
16 × 16 PNG-pictogram als Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Wordt gedecodeerd tot een PNG-bestand van 108 bytes. De mmh3-hash is 2033577382, dus de Shodan-zoekopdracht luidt: http.favicon.hash:2033577382; de MD5-hash 687bba8c4cd9980ec195986b32ee42cb wordt gebruikt in de ZoomEye- en Censys-zoekopdrachten.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Regel opmaken | Het gedetecteerde formaat (PNG, ICO, GIF, JPEG, BMP, WebP, SVG of onbekend formaat) en de grootte in bytes. |
| Voorbeeld | Afbeeldingsformaten worden weergegeven als een voorbeeld van 32 pixels, zodat je kunt controleren of dit inderdaad het pictogram is dat je wilde hashen. |
| Waarschuwing voor HTML-pagina | De bytes vormen een webpagina, geen pictogram. Servers geven bij het ontbreken van een /favicon.ico vaak een foutpagina weer, en de hash daarvan leidt alleen maar naar diezelfde pagina. |
| Shodan / FOFA-hash | MurmurHash3 van het Base64-gecodeerde pictogram, weergegeven als een getal met teken van 32 bits. Negatieve waarden zijn normaal. |
| MD5-waarde van het bestand | Wordt gebruikt in de ZoomEye- en Censys-zoekopdrachten. |
| SHA-256 van het bestand | Geeft het exacte bestand aan, wat handig is voor rapporten en om de door u verzamelde kopieën te vergelijken. |
| Zoekopdrachten | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash en twee Censys-formulieren. Voor de meeste zoekmachines is een gratis account nodig om resultaten te kunnen weergeven. |
| Regel inzake byte-identiteit | Een pictogram waarvan de grootte is aangepast, dat opnieuw is gecomprimeerd of geconverteerd, levert een andere hash op, dus een afwijking hoeft alleen maar te betekenen dat de bytes verschillen. |
Nog meer voorbeelden
Een klein SVG-pictogram als data:URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Base64 geplakt, 108 B, SVG. De mmh3-hash is -1417999905, dus de Shodan-zoekopdracht is http.favicon.hash:-1417999905 en FOFA krijgt icon_hash="-1417999905"; de MD5-waarde 10a8f1de4d94f66724532d5315194e33 wordt gebruikt in de zoekopdrachten van ZoomEye en Censys.
Een foutpagina in plaats van een pictogram
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML-pagina, met de waarschuwing dat deze bytes een HTML-pagina vormen, geen pictogram. De mmh3-waarde, -1700126198, komt alleen overeen met servers die dezelfde pagina retourneren.
Een bestandsnaam in plaats van Base64
favicon.icoDe geplakte tekst kon niet worden gedecodeerd: dit is geen geldige Base64-code. Plak de Base64-code van het pictogrambestand, al dan niet met het voorvoegsel „data:“.
Veelgestelde vragen
Hoe wordt de hash van het Shodan-favicon berekend?
Shodan neemt de ruwe bytes van het favicon, codeert deze als Base64 op dezelfde manier als de Python-functie `base64.encodebytes` dat doet (regels van 76 tekens, die elk eindigen met een nieuwe regel) en berekent de hash van die tekst met een 32-bits MurmurHash3, seed 0, weergegeven als een getal met teken. De `icon_hash` van FOFA gebruikt dezelfde waarde, terwijl de ZoomEye- en Censys-zoekopdrachten hier de MD5-hash van het bestand gebruiken.
Waarom levert een hash geen resultaten op, of juist de verkeerde servers?
Het vergelijkt alleen servers die byte-voor-byte identieke favicon-bytes teruggeven; een kopie waarvan de grootte is aangepast, die opnieuw is opgeslagen of opnieuw is gecodeerd, levert dus een andere waarde op, en een site waarvan /favicon.ico een foutpagina teruggeeft, levert de hash van die pagina op. Standaardpictogrammen van hostingpanelen en frameworks worden door duizenden niet-gerelateerde sites gedeeld; beschouw overeenkomsten daarom als aanwijzingen die moeten worden gecontroleerd, en niet als bewijs van gemeenschappelijk eigendom.
Haal de tool het favicon op of verstuurt het ergens naartoe?
Nee. Het bestand of de Base64-code die je opgeeft, wordt in je browser gehasht en er wordt geen netwerkverzoek verzonden. De zoeklinks openen Shodan, FOFA, ZoomEye of Censys pas in een nieuw tabblad als je erop klikt, en ze bevatten alleen de hash.
Waarom is de hash een negatief getal?
Shodan rapporteert MurmurHash3 als een getekend 32-bits geheel getal, waardoor ongeveer de helft van alle pictogrammen een negatieve waarde krijgt. Laat het minteken staan; zonder dat zoekt het programma naar een ander pictogram.
Hoe maken onderzoekers gebruik van een favicon-hash?
Bij phishing-kits wordt vaak hetzelfde pictogrambestand gebruikt op elke kopie van een valse website. Door de hash ervan te zoeken op Shodan of FOFA kun je andere servers vinden waarop dezelfde kit draait, die je vervolgens één voor één kunt controleren.
Kan ik een pictogram uit de HTML-code van een pagina plakken?
Ja, als de pagina het als een data: URI insluit: plak dan de volledige waarde; het voorvoegsel wordt verwijderd voordat het wordt gedecodeerd. Een pictogram waarnaar via een URL wordt verwezen, moet eerst als bestand worden opgeslagen, omdat deze tool niets ophaalt.
Waarom geeft dezelfde site op een andere dag een andere hash weer?
Websites veranderen hun pictogrammen, en sommige servers sturen verschillende bytes naar verschillende bezoekers, bijvoorbeeld een onschuldige pagina naar scanners. Elke versie heeft zijn eigen hash, dus noteer de datum en hoe je het pictogram hebt verkregen.