Wartości MD5, SHA-1 i SHA-256 dowolnego pliku wraz z gotowymi linkami do wyszukiwania w serwisach VirusTotal i MalwareBazaar.
Nowe
Favicon Hash (mmh3)
Działa lokalnieNowe
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Favicon Hash (mmh3)
Jak to działa
Przeciągnij favikonę lub wklej jej kod Base64, aby uzyskać skrót mmh3 w stylu Shodan, skróty MD5 i SHA-256 oraz gotowe zapytania do serwisów Shodan, FOFA, ZoomEye i Censys. Ikona nigdy nie opuszcza Twojej przeglądarki.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Favicon Hash (mmh3)
- Pobierz dokładnie tę ikonę. Zapisz favikonę witryny w takiej postaci, w jakiej jest wysyłana przez serwer (na przykład /favicon.ico), w odizolowanym środowisku. Nie zapisuj jej ponownie ani nie konwertuj.
- Wpisz to lub wklej kod Base64. Przeciągnij lub wybierz plik (maksymalnie 10 MB) albo wklej jego kod Base64 lub adres URI typu „data:”, a następnie naciśnij przycisk „Oblicz skrót”.
- Przeczytaj skróty. Wartość mmh3 dotyczy serwisów Shodan i FOFA, a MD5 – ZoomEye i Censys. SHA-256 identyfikuje sam plik.
- Wyszukiwanie. Skopiuj gotowe zapytanie lub naciśnij przycisk „Szukaj”, aby otworzyć wyszukiwarkę, wprowadzając jedynie znak #. W przypadku serwisu ZoomEye otwórz stronę i wklej zapytanie.
- Sprawdź każdy mecz. Przed połączeniem z witryną phishingową sprawdź każdy znaleziony serwer: domyślne ikony są wspólne dla wielu niepowiązanych ze sobą witryn.
Przykład
Ikona PNG o wymiarach 16 × 16 w formacie Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Po dekodowaniu otrzymujemy plik PNG o rozmiarze 108 bajtów. Suma kontrolna mmh3 wynosi 2033577382, więc zapytanie w serwisie Shodan ma postać: http.favicon.hash:2033577382; a skrót MD5 687bba8c4cd9980ec195986b32ee42cb jest wykorzystywany w zapytaniach do serwisów ZoomEye i Censys.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Formatuj wiersz | Wykryty format (PNG, ICO, GIF, JPEG, BMP, WebP, SVG lub format nieznany) oraz rozmiar w bajtach. |
| Podgląd | Formaty obrazów są wyświetlane w postaci podglądu o rozmiarze 32 pikseli, dzięki czemu można sprawdzić, czy jest to ikona, którą chcesz zaszyfrować. |
| Ostrzeżenie dotyczące strony HTML | Te bajty to strona internetowa, a nie ikona. Serwery często reagują na brak pliku /favicon.ico wyświetlając stronę błędu, a jej skrót prowadzi tylko do tej samej strony. |
| Shodan / Skrót FOFA | Wartość funkcji MurmurHash3 dla ikony zakodowanej w Base64, przedstawiona jako liczba 32-bitowa ze znakiem. Wartości ujemne są prawidłowe. |
| Suma kontrolna MD5 tego pliku | Wykorzystywane w zapytaniach ZoomEye i Censys. |
| SHA-256 pliku | Pozwala zidentyfikować konkretny plik, co jest przydatne w raportach oraz przy porównywaniu zebranych kopii. |
| Zapytania wyszukiwania | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash oraz dwa formularze Censys. Większość wyszukiwarek wymaga założenia darmowego konta, aby wyświetlić wyniki. |
| Zasada identyczności bajtowej | Ikona, której rozmiar został zmieniony, która została ponownie skompresowana lub przekonwertowana, ma inny skrót, więc niezgodność może oznaczać jedynie różnicę w bajtach. |
Więcej przykładów
Mała ikona SVG jako data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Wklejono kod Base64, 108 bajtów, SVG. Hash mmh3 wynosi -1417999905, więc zapytanie w Shodan brzmi http.favicon.hash:-1417999905, a FOFA zwraca icon_hash="-1417999905"; a wartość MD5 10a8f1de4d94f66724532d5315194e33 trafia do zapytań w serwisach ZoomEye i Censys.
Strona błędu zamiast ikony
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, strona HTML, z ostrzeżeniem, że te bajty stanowią stronę HTML, a nie ikonę. Jej wartość mmh3, -1700126198, pasuje wyłącznie do serwerów, które zwracają tę samą stronę.
Nazwa pliku zamiast kodu Base64
favicon.icoNie udało się zdekodować wklejonego tekstu: nie jest to prawidłowy kod Base64. Wklej kod Base64 pliku ikony, z prefiksem „data:” lub bez niego.
Najczęściej zadawane pytania
W jaki sposób obliczany jest skrót favikony Shodan?
Shodan pobiera surowe bajty ikony favicon, koduje je w formacie Base64 tak samo, jak robi to funkcja `base64.encodebytes` w języku Python (wiersze o długości 76 znaków, z których każdy kończy się znakiem nowej linii), a następnie oblicza skrót tego tekstu za pomocą 32-bitowego algorytmu MurmurHash3 z wartością początkową 0, przedstawioną jako liczba całkowita ze znakiem. Funkcja `icon_hash` serwisu FOFA wykorzystuje tę samą wartość, natomiast zapytania serwisów ZoomEye i Censys wykorzystują w tym przypadku skrót MD5 pliku.
Dlaczego wyszukiwanie według skrótu nie zwraca żadnych wyników lub zwraca niewłaściwe serwery?
Funkcja ta porównuje wyłącznie serwery, które zwracają identyczne bajty favikony, więc kopia o zmienionych rozmiarach, ponownie zapisana lub przekodowana zwraca inną wartość, a strona, której plik /favicon.ico zwraca stronę błędu, zwraca skrót tej strony. Domyślne ikony paneli hostingowych i frameworków są wykorzystywane przez tysiące niepowiązanych ze sobą stron, dlatego trafienia należy traktować jako wskazówki do sprawdzenia, a nie jako dowód wspólnej własności.
Czy to narzędzie pobiera favikonę, czy też gdzieś ją wysyła?
Nie. Generuje skrót pliku lub kodu Base64 podanego w przeglądarce i nie wysyła żadnego żądania sieciowego. Linki wyszukiwania otwierają serwisy Shodan, FOFA, ZoomEye lub Censys w nowej karcie dopiero po ich kliknięciu, a zawierają wyłącznie skrót.
Dlaczego wartość skrótu jest liczbą ujemną?
Shodan traktuje MurmurHash3 jako 32-bitową liczbę całkowitą ze znakiem, więc około połowa wszystkich ikon otrzymuje wartość ujemną. Należy zachować znak minus; bez niego wyszukiwanie będzie dotyczyło innej ikony.
W jaki sposób śledczy wykorzystują skrót favikony?
Zestawy phishingowe często wykorzystują ten sam plik ikony we wszystkich kopiach fałszywej strony. Wyszukanie jego skrótu w serwisach Shodan lub FOFA może ujawnić inne serwery, na których działa ten sam zestaw, a następnie można je sprawdzić jeden po drugim.
Czy mogę wkleić ikonę z kodu HTML strony?
Tak, jeśli strona osadza ją jako adres URI typu „data:”, należy wkleić całą wartość – przed dekodowaniem prefiks zostanie usunięty. Ikona, do której prowadzi adres URL, musi zostać najpierw zapisana jako plik, ponieważ to narzędzie nie pobiera żadnych danych.
Dlaczego ta sama strona generuje inny skrót w innym dniu?
Witryny zmieniają swoje ikony, a niektóre serwery wysyłają różne dane do różnych użytkowników – na przykład nieszkodliwą stronę do programów skanujących. Każda wersja ma swój własny skrót, więc zanotuj datę oraz sposób, w jaki uzyskałeś ikonę.