TH
ENARDEESFAFRHEHIIDITJAKONLPLPT-BRRORUTHTLTRUKVIZH

ไฟล์และหน้าเว็บ

Favicon Hash (mmh3)

ทำงานในเครื่องใหม่

เครื่องมือนี้ใช้ภาษาอังกฤษ; หน้านี้อธิบายด้วยภาษาของคุณ

ใช้Favicon Hash (mmh3)

หน้าที่ของมันคืออะไร

ลากไอคอน favicon มาวาง หรือวางโค้ด Base64 ของมัน เพื่อรับค่าแฮช mmh3 แบบ Shodan, MD5 และ SHA-256 รวมถึงคำสั่งค้นหาที่พร้อมใช้สำหรับ Shodan, FOFA, ZoomEye และ Censys ไอคอนนี้จะไม่ถูกนำออกจากเบราว์เซอร์ของคุณเลย

ระบบนี้ทำงานทั้งหมดในเบราว์เซอร์ของคุณ: ข้อมูลที่คุณป้อนจะไม่ถูกส่งขึ้นเซิร์ฟเวอร์เลย

วิธีใช้Favicon Hash (mmh3)

  1. ดาวน์โหลดไอคอนที่ตรงกันเป๊ะ. บันทึก favicon ของเว็บไซต์ตามรูปแบบที่เซิร์ฟเวอร์ส่งมา เช่น /favicon.ico ในสภาพแวดล้อมที่แยกต่างหาก อย่าบันทึกใหม่หรือแปลงไฟล์นี้
  2. วางหรือวาง Base64. ลากและวางหรือเลือกไฟล์ (ขนาดสูงสุด 10 MB) หรือวาง Base64 หรือ data: URI ของไฟล์นั้น แล้วกด "คำนวณแฮช"
  3. อ่านค่าแฮช. ค่า mmh3 ใช้สำหรับ Shodan และ FOFA ส่วน MD5 ใช้สำหรับ ZoomEye และ Censys ส่วน SHA-256 ใช้เพื่อระบุตัวไฟล์เอง
  4. ค้นหา. คัดลอกคำสั่งค้นหาที่เตรียมไว้แล้ว หรือกดปุ่ม Search เพื่อเปิดเครื่องมือค้นหาโดยใช้เพียงแฮชเท่านั้น สำหรับ ZoomEye ให้เปิดเว็บไซต์และวางคำสั่งค้นหาลงไป
  5. ตรวจสอบแต่ละคู่. ตรวจสอบทุกเซิร์ฟเวอร์ที่พบก่อนที่จะเชื่อมโยงมันกับเว็บไซต์ฟิชชิ่ง: ไอคอนเริ่มต้นมักถูกใช้ร่วมกันโดยเว็บไซต์หลายแห่งที่ไม่มีความเกี่ยวข้องกัน

ตัวอย่าง

ไอคอน PNG ขนาด 16 × 16 ในรูปแบบ Base64

ข้อมูลเข้า
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCC
ผลลัพธ์ (บันทึกเมื่อวันที่2026-10-20)
Pasted Base64
108 B (108 bytes) · PNG

SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382

MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb

SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7

Search queries
Shodan

Search ↗
http.favicon.hash:2033577382
FOFA

Search ↗
icon_hash="2033577382"
ZoomEye

Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)

Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform

Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"

The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.

A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.

ถอดรหัสเป็นไฟล์ PNG ขนาด 108 ไบต์ ค่าแฮช mmh3 คือ 2033577382 ดังนั้นคำสั่งค้นหาใน Shodan คือ http.favicon.hash:2033577382; ส่วน MD5 687bba8c4cd9980ec195986b32ee42cb จะถูกใช้ในคำสั่งค้นหาของ ZoomEye และ Censys

สิ่งที่ระบบตรวจสอบ

สัญญาณความหมายของคำนี้คืออะไร
จัดรูปแบบบรรทัดรูปแบบไฟล์ที่ตรวจพบ (PNG, ICO, GIF, JPEG, BMP, WebP, SVG หรือรูปแบบที่ไม่รู้จัก) และขนาดในไบต์
ดูตัวอย่างรูปแบบภาพจะแสดงเป็นภาพตัวอย่างขนาด 32 พิกเซล เพื่อให้คุณสามารถตรวจสอบว่านี่คือไอคอนที่คุณต้องการแฮช
คำเตือนหน้า HTMLไบต์เหล่านี้คือหน้าเว็บ ไม่ใช่ไอคอน เซิร์ฟเวอร์มักแสดงหน้าข้อผิดพลาดเมื่อไฟล์ /favicon.ico ไม่พบ และแฮชของมันจะค้นหาได้เพียงหน้าเดียวกันเท่านั้น
Shodan / FOFA hashMurmurHash3 ของไอคอนที่เข้ารหัสด้วย Base64 ซึ่งแสดงเป็นจำนวน 32 บิตที่มีเครื่องหมาย ค่าลบถือเป็นเรื่องปกติ
MD5 ของไฟล์ใช้ในคำสั่งค้นหาของ ZoomEye และ Censys
SHA-256 ของไฟล์ระบุไฟล์ที่ถูกต้อง ซึ่งมีความสำคัญในการจัดทำรายงานและในการตรวจสอบความตรงกันของสำเนาที่คุณเก็บรวบรวมมา
คำค้นหาShodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash และแบบฟอร์ม Censys สองแบบ เครื่องมือส่วนใหญ่ต้องการบัญชีฟรีเพื่อแสดงผลลัพธ์
กฎความเท่ากันของไบต์ไอคอนที่ปรับขนาด เปลี่ยนการบีบอัด หรือแปลงรูปแบบแล้ว จะให้ค่าแฮชที่ต่างกัน ดังนั้นการไม่ตรงกันอาจหมายความว่าเพียงแต่จำนวนไบต์เท่านั้นที่ต่างกัน

ตัวอย่างเพิ่มเติม

ไอคอน SVG ขนาดเล็กในรูปแบบ data: URI

ข้อมูลเข้า
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+
ผล

Base64 ที่ถูกคัดลอกมา, 108 B, SVG. ค่าแฮช mmh3 คือ -1417999905 ดังนั้นคำสั่งค้นหา Shodan คือ http.favicon.hash:-1417999905 และ FOFA จะได้รับ icon_hash="-1417999905"; ส่วน MD5 10a8f1de4d94f66724532d5315194e33 จะถูกใช้ในคำสั่งค้นหาของ ZoomEye และ Censys

หน้าข้อผิดพลาดแทนไอคอน

ข้อมูลเข้า
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+
ผล

48 B, หน้า HTML, พร้อมคำเตือนว่าไบต์เหล่านี้เป็นหน้า HTML ไม่ใช่ไอคอน ค่า mmh3 ของมัน คือ -1700126198 ซึ่งตรงกับเซิร์ฟเวอร์ที่ส่งหน้าเดียวกันเท่านั้น

ชื่อไฟล์แทน Base64

ข้อมูลเข้า
favicon.ico
ผล

ไม่สามารถถอดรหัสข้อความที่คัดลอกมาได้: นี่ไม่ใช่ Base64 ที่ถูกต้อง โปรดคัดลอก Base64 ของไฟล์ไอคอนมา โดยสามารถใส่หรือไม่ใส่คำนำหน้า "data:" ได้

คำถามที่พบบ่อย

วิธีคำนวณค่าแฮชของ favicon Shodan เป็นอย่างไร?

Shodan นำไบต์ดิบของ favicon มาเข้ารหัสเป็น Base64 ตามวิธีที่ฟังก์ชัน base64.encodebytes ของ Python ใช้ (บรรทัดละ 76 ตัวอักษร โดยแต่ละบรรทัดจบด้วยตัวขึ้นบรรทัดใหม่) แล้วคำนวณค่าแฮชของข้อความนั้นด้วย MurmurHash3 32 บิต (seed 0) ซึ่งแสดงเป็นจำนวนเต็มมีเครื่องหมาย ฟังก์ชัน icon_hash ของ FOFA ใช้ค่าเดียวกัน ส่วนการค้นหาของ ZoomEye และ Censys ที่นี่ใช้ค่า MD5 ของไฟล์

ทำไมการค้นหาด้วยแฮชถึงไม่พบอะไรเลย หรือพบเซิร์ฟเวอร์ที่ผิด?

มันจะจับคู่เฉพาะกับเซิร์ฟเวอร์ที่ส่งค่า byte ของ favicon ที่ตรงกันทุกตัวอักษรเท่านั้น ดังนั้น สำเนาที่ถูกปรับขนาด บันทึกใหม่ หรือเข้ารหัสใหม่ จะให้ค่าที่ต่างกัน และเว็บไซต์ที่ไฟล์ /favicon.ico ส่งหน้าข้อผิดพลาดกลับมา จะให้ค่าแฮชของหน้านั้น ไอคอนเริ่มต้นของแผงควบคุมโฮสติ้งและเฟรมเวิร์กถูกใช้ร่วมกันโดยเว็บไซต์นับพันที่ไม่มีความเกี่ยวข้องกัน ดังนั้นควรพิจารณาการจับคู่เป็นเพียงเบาะแสที่ต้องตรวจสอบ ไม่ใช่หลักฐานของการเป็นเจ้าของร่วมกัน

เครื่องมือนี้ดาวน์โหลด favicon หรือส่งมันไปที่ใดบ้างหรือไม่?

ไม่ครับ ระบบจะทำการแฮชไฟล์หรือ Base64 ที่คุณส่งเข้ามาภายในเบราว์เซอร์ และไม่ส่งคำขอไปยังเครือข่าย ลิงก์ค้นหาจะเปิด Shodan, FOFA, ZoomEye หรือ Censys ในแท็บใหม่เฉพาะเมื่อคุณคลิกเท่านั้น และลิงก์เหล่านั้นจะส่งเฉพาะค่าแฮชเท่านั้น

ทำไมค่าแฮชจึงเป็นจำนวนลบ?

Shodan รายงาน MurmurHash3 เป็นจำนวนเต็ม 32 บิตที่มีเครื่องหมาย ดังนั้นประมาณครึ่งหนึ่งของไอคอนทั้งหมดจึงมีค่าเป็นลบ ให้รักษาเครื่องหมายลบไว้ เพราะหากไม่มีเครื่องหมายลบ การค้นหาจะหาไอคอนที่ต่างออกไป

นักสืบใช้แฮชของ favicon อย่างไร?

ชุดเครื่องมือฟิชชิ่งมักใช้ไฟล์ไอคอนเดียวกันซ้ำในทุกสำเนาของเว็บไซต์ปลอม การค้นหาแฮชของไฟล์ดังกล่าวบน Shodan หรือ FOFA สามารถช่วยเปิดเผยเซิร์ฟเวอร์อื่น ๆ ที่กำลังใช้ชุดเครื่องมือเดียวกัน ซึ่งคุณสามารถตรวจสอบได้ทีละเครื่อง

สามารถคัดลอกไอคอนจากโค้ด HTML ของหน้าเว็บได้ไหม?

ใช่ครับ หากหน้าเว็บฝังมันไว้ในรูปแบบ data: URI: ให้คัดลอกค่าทั้งหมดมาวาง และส่วน prefix จะถูกลบออกก่อนการถอดรหัส ส่วนไอคอนที่เชื่อมโยงผ่าน URL ต้องบันทึกเป็นไฟล์ก่อน เพราะเครื่องมือนี้ไม่ดึงข้อมูลอะไรมาเลย

ทำไมเว็บไซต์เดียวกันนี้จึงให้ค่าแฮชที่ต่างกันในวันอื่น?

เว็บไซต์มักเปลี่ยนไอคอน และบางเซิร์ฟเวอร์ส่งข้อมูลที่แตกต่างกันไปยังผู้เยี่ยมชมแต่ละคน เช่น ส่งหน้าเว็บที่ไม่มีอันตรายไปยังโปรแกรมสแกนเนอร์ แต่ละเวอร์ชันมีค่าแฮชของตัวเอง ดังนั้นโปรดบันทึกวันที่และวิธีที่คุณได้รับไอคอนนั้น

คำอธิบายศัพท์

การวิจัยของ PhishDestroy

ดูเครื่องมือทั้งหมด161