MD5, SHA-1 e SHA-256 de qualquer arquivo, com links prontos de pesquisa no VirusTotal e no MalwareBazaar.
Nova
Hash de favicon (mmh3)
Execução localNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Hash de favicon (mmh3)
O que ele faz
Solte um favicon ou cole o Base64 dele para obter o hash mmh3 no estilo do Shodan, o MD5 e o SHA-256, além de consultas prontas para Shodan, FOFA, ZoomEye e Censys. O ícone nunca sai do seu navegador.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Hash de favicon (mmh3)
- Obtenha o ícone exato. Salve o favicon do site como o servidor o envia, por exemplo /favicon.ico, em um ambiente isolado. Não o salve de novo nem o converta.
- Solte o arquivo ou cole o Base64. Solte ou escolha o arquivo (até 10 MB), ou cole o Base64 dele ou uma data: URI e clique em Compute hash (calcular hash).
- Leia os hashes. O valor mmh3 é para o Shodan e o FOFA, o MD5 para o ZoomEye e o Censys. O SHA-256 identifica o próprio arquivo.
- Pesquise. Copie uma consulta pronta ou clique em Search para abrir o mecanismo só com o hash. Para o ZoomEye, abra o site e cole a consulta.
- Verifique cada resultado. Analise cada servidor encontrado antes de ligá-lo ao site de phishing: ícones padrão são compartilhados por muitos sites sem relação entre si.
Exemplo
Ícone PNG de 16 × 16 em Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Decodifica para um PNG de 108 bytes. O hash mmh3 é 2033577382, então a consulta do Shodan é http.favicon.hash:2033577382; o MD5 687bba8c4cd9980ec195986b32ee42cb vai para as consultas do ZoomEye e do Censys.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| Linha de formato | O formato detectado (PNG, ICO, GIF, JPEG, BMP, WebP, SVG ou unknown format) e o tamanho em bytes. |
| Pré-visualização | Formatos de imagem aparecem em uma pré-visualização de 32 pixels, para você confirmar que é o ícone que queria processar. |
| Aviso de página HTML | Os bytes são uma página da web, não um ícone. Os servidores costumam responder a um /favicon.ico inexistente com uma página de erro, e o hash dela só encontra a mesma página. |
| Hash Shodan / FOFA | MurmurHash3 do ícone codificado em Base64, exibido como número de 32 bits com sinal. Valores negativos são normais. |
| MD5 do arquivo | Usado nas consultas do ZoomEye e do Censys. |
| SHA-256 do arquivo | Identifica o arquivo exato, útil em denúncias e para comparar cópias que você coletou. |
| Consultas de pesquisa | http.favicon.hash do Shodan, icon_hash do FOFA, iconhash do ZoomEye e duas formas do Censys. A maioria dos mecanismos exige uma conta gratuita para mostrar resultados. |
| Regra de identidade byte a byte | Um ícone redimensionado, recomprimido ou convertido gera outro hash, então não encontrar nada pode significar apenas que os bytes são diferentes. |
Mais exemplos
Um pequeno ícone SVG como data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Pasted Base64, 108 B, SVG. O hash mmh3 é -1417999905, então a consulta do Shodan é http.favicon.hash:-1417999905 e o FOFA recebe icon_hash="-1417999905"; o MD5 10a8f1de4d94f66724532d5315194e33 vai para as consultas do ZoomEye e do Censys.
Uma página de erro no lugar de um ícone
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML page, com o aviso de que esses bytes são uma página HTML, não um ícone. O valor mmh3 dela, -1700126198, só encontra servidores que retornam a mesma página.
Um nome de arquivo no lugar do Base64
favicon.icoCould not decode the pasted text: this is not valid Base64. Cole o Base64 do arquivo do ícone, com ou sem o prefixo data:.
Perguntas frequentes
Como o hash de favicon do Shodan é calculado?
O Shodan pega os bytes brutos do favicon, codifica-os em Base64 do jeito que o base64.encodebytes do Python faz (linhas de 76 caracteres, cada uma terminando com uma quebra de linha) e calcula o hash desse texto com o MurmurHash3 de 32 bits, seed 0, exibido como inteiro com sinal. O icon_hash do FOFA usa o mesmo valor, enquanto as consultas do ZoomEye e do Censys aqui usam o MD5 do arquivo.
Por que um hash não encontra nada, ou encontra os servidores errados?
Ele só encontra servidores que retornam um favicon idêntico byte a byte, então uma cópia redimensionada, salva de novo ou recodificada gera outro valor, e um site cujo /favicon.ico retorna uma página de erro gera o hash dessa página. Ícones padrão de painéis de hospedagem e de frameworks são compartilhados por milhares de sites sem relação entre si, então trate as correspondências como pistas a verificar, não como prova de um dono em comum.
A ferramenta baixa o favicon ou o envia a algum lugar?
Não. Ela calcula o hash do arquivo ou do Base64 que você fornece dentro do seu navegador e não faz nenhuma requisição de rede. Os links de pesquisa abrem o Shodan, o FOFA, o ZoomEye ou o Censys em uma nova aba só quando você clica neles, e levam apenas o hash.
Por que o hash é um número negativo?
O Shodan informa o MurmurHash3 como inteiro de 32 bits com sinal, então cerca de metade dos ícones recebe um valor negativo. Mantenha o sinal de menos; sem ele, a pesquisa procura outro ícone.
Como os investigadores usam um hash de favicon?
Kits de phishing costumam reutilizar o mesmo arquivo de ícone em todas as cópias de um site falso. Pesquisar o hash dele no Shodan ou no FOFA pode revelar outros servidores que rodam o mesmo kit, que você então verifica um por um.
Posso colar um ícone do HTML de uma página?
Sim, se a página o embute como data: URI: cole o valor inteiro e o prefixo é removido antes da decodificação. Um ícone vinculado por URL precisa ser salvo antes como arquivo, porque esta ferramenta não baixa nada.
Por que o mesmo site gera um hash diferente em outro dia?
Os sites mudam de ícone, e alguns servidores enviam bytes diferentes para visitantes diferentes, por exemplo uma página inofensiva para scanners. Cada versão tem seu próprio hash, então anote a data e como você obteve o ícone.