MD5, SHA-1 și SHA-256 pentru orice fișier, cu linkuri gata pregătite pentru căutări pe VirusTotal și MalwareBazaar.
Nou
Favicon Hash (mmh3)
Rulează localNou
Instrumentul în sine este în limba engleză; această pagină îl explică în limba ta.
Folosește Favicon Hash (mmh3)
Ce face
Încărcați o faviconă sau lipiți codul Base64 al acesteia pentru a obține hash-ul mmh3 în stil Shodan, valorile MD5 și SHA-256, precum și interogări de căutare gata de utilizare pentru Shodan, FOFA, ZoomEye și Censys. Pictograma nu părăsește niciodată browserul dumneavoastră.
Aplicația funcționează în întregime în browserul tău: nimic din ce introduci nu este încărcat pe server.
Cum se utilizează Favicon Hash (mmh3)
- Obține pictograma exactă. Salvați faviconul site-ului așa cum îl trimite serverul, de exemplu /favicon.ico, într-un mediu izolat. Nu îl salvați din nou și nu îl convertiți.
- Introdu-l sau lipește codul Base64. Trageți sau selectați fișierul (până la 10 MB) sau lipiți codul Base64 al acestuia sau un URI de tip „data:” și apăsați butonul „Calculează hash-ul”.
- Citește valorile hash. Valoarea mmh3 se referă la Shodan și FOFA, iar cea MD5 la ZoomEye și Censys. SHA-256 identifică fișierul în sine.
- Căutare. Copiați o interogare gata formulată sau apăsați butonul „Căutare” pentru a deschide motorul de căutare folosind doar simbolul #. Pentru ZoomEye, deschideți site-ul și lipiți interogarea.
- Verificați fiecare meci. Verificați fiecare server găsit înainte de a-l conecta la site-ul de phishing: pictogramele implicite sunt utilizate de multe site-uri care nu au nicio legătură între ele.
Exemplu
Pictogramă PNG 16 × 16 în format Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Se decodifică într-un fișier PNG de 108 octeți. Hash-ul mmh3 este 2033577382, așa că interogarea Shodan este http.favicon.hash:2033577382; iar MD5-ul 687bba8c4cd9980ec195986b32ee42cb se introduce în interogările ZoomEye și Censys.
Ce verifică
| Semnal | Ce înseamnă asta |
|---|---|
| Linie de formatare | Formatul detectat (PNG, ICO, GIF, JPEG, BMP, WebP, SVG sau format necunoscut) și dimensiunea în octeți. |
| Previzualizare | Formatele de imagine sunt afișate sub forma unei previzualizări de 32 de pixeli, astfel încât să poți verifica dacă este într-adevăr pictograma pe care dorești să o transformi în hash. |
| Avertisment privind pagina HTML | Acești octeți reprezintă o pagină web, nu o pictogramă. Serverele afișează adesea o pagină de eroare atunci când fișierul /favicon.ico lipsește, iar hash-ul acestuia duce doar la aceeași pagină. |
| Shodan / hash FOFA | MurmurHash3 al pictogramei codificate în Base64, reprezentat ca un număr semnat pe 32 de biți. Valorile negative sunt normale. |
| MD5-ul fișierului | Se utilizează în interogările ZoomEye și Censys. |
| SHA-256 al fișierului | Identifică fișierul exact, ceea ce este util în rapoarte și pentru compararea copiilor pe care le-ați colectat. |
| Căutări | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash și două formulare Censys. Majoritatea motoarelor de căutare necesită un cont gratuit pentru a afișa rezultatele. |
| Regula identității la nivel de octet | O pictogramă redimensionată, recomprimată sau convertită generează un hash diferit, așa că o nepotrivire poate însemna doar că octeții diferă. |
Alte exemple
O pictogramă SVG mică sub formă de URI de tip „data:”
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Base64 copiat, 108 B, SVG. Hash-ul mmh3 este -1417999905, deci interogarea Shodan este http.favicon.hash:-1417999905, iar FOFA obține icon_hash="-1417999905"; MD5-ul 10a8f1de4d94f66724532d5315194e33 este introdus în interogările ZoomEye și Censys.
O pagină de eroare în locul unei pictograme
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, pagină HTML, cu avertismentul că acești octeți reprezintă o pagină HTML, nu o pictogramă. Valoarea sa mmh3, -1700126198, se potrivește doar cu serverele care returnează aceeași pagină.
Un nume de fișier în loc de codificare Base64
favicon.icoNu s-a putut decoda textul lipit: acesta nu este un cod Base64 valid. Lipește codul Base64 al fișierului pictogramei, cu sau fără prefixul „data:”.
Întrebări frecvente
Cum se calculează hash-ul faviconului Shodan?
Shodan preia octeții bruti ai faviconului, îi codifică în format Base64 așa cum o face funcția `base64.encodebytes` din Python (linii de 76 de caractere, fiecare terminându-se cu un caracter de linie nouă) și calculează hash-ul acelui text folosind algoritmul MurmurHash3 pe 32 de biți, cu valoarea inițială 0, afișată ca un întreg cu semn. Funcția icon_hash a FOFA utilizează aceeași valoare, în timp ce interogările ZoomEye și Censys de aici utilizează hash-ul MD5 al fișierului.
De ce un hash nu găsește nimic sau găsește servere greșite?
Se potrivește doar cu serverele care returnează octeți identici pentru favicon, astfel încât o copie redimensionată, salvată din nou sau recodificată va genera o valoare diferită, iar un site al cărui fișier /favicon.ico returnează o pagină de eroare va genera hash-ul acelei pagini. Icoanele implicite ale panourilor de găzduire și ale framework-urilor sunt utilizate în comun de mii de site-uri fără legătură între ele, așa că tratați potrivirile ca indicii de verificat, nu ca dovadă a unei proprietăți comune.
Instrumentul preia faviconul sau îl trimite undeva?
Nu. Acesta generează un hash pentru fișierul sau codul Base64 pe care îl introduci în browser și nu efectuează nicio solicitare de rețea. Linkurile de căutare deschid Shodan, FOFA, ZoomEye sau Censys într-o filă nouă doar atunci când dai clic pe ele, iar acestea conțin doar hash-ul.
De ce este hash-ul un număr negativ?
Shodan raportează MurmurHash3 ca un întreg semnat pe 32 de biți, astfel încât aproximativ jumătate din toate pictogramele primesc o valoare negativă. Păstrați semnul minus; fără acesta, căutarea va identifica o altă pictogramă.
Cum folosesc anchetatorii un hash al faviconului?
Kiturile de phishing folosesc adesea același fișier de pictogramă pe fiecare copie a unui site fals. Căutarea hash-ului acestuia pe Shodan sau FOFA poate dezvălui alte servere care rulează același kit, pe care le poți verifica apoi unul câte unul.
Pot să lipesc o pictogramă din codul HTML al unei pagini?
Da, dacă pagina o încorporează sub formă de URI de tip „data:”, lipiți întreaga valoare, iar prefixul va fi eliminat înainte de decodare. O pictogramă accesibilă printr-un URL trebuie mai întâi salvată ca fișier, deoarece acest instrument nu preia nimic.
De ce același site generează un hash diferit într-o altă zi?
Site-urile își schimbă pictogramele, iar unele servere trimit date diferite către vizitatori diferiți; de exemplu, o pagină inofensivă către programele de scanare. Fiecare versiune are propriul hash, așa că notează data și modul în care ai obținut pictograma.