คำนวณค่าแฮช favicon mmh3 ของเว็บไซต์โดยใช้คำสั่งค้นหา Shodan, FOFA, ZoomEye และ Censys ที่พร้อมใช้งาน
ใหม่
ตัวถอดรหัสใบรับรอง X.509
ทำงานในเครื่องใหม่
เครื่องมือนี้ใช้ภาษาอังกฤษ; หน้านี้อธิบายด้วยภาษาของคุณ
ใช้ตัวถอดรหัสใบรับรอง X.509
หน้าที่ของมันคืออะไร
วางใบรับรอง PEM หรือชุดใบรับรองลง หรือลากไฟล์ .crt, .cer, .der หรือ .p7b มาวาง เพื่อดูชื่อทั้งหมดที่ใบรับรองนั้นครอบคลุม ผู้ออกใบรับรอง ระยะเวลาที่ใบรับรองมีผล และลายนิ้วมือของใบรับรอง พร้อมด้วยลิงก์ crt.sh สำหรับแต่ละชื่อ
ระบบนี้ทำงานทั้งหมดในเบราว์เซอร์ของคุณ: ข้อมูลที่คุณป้อนจะไม่ถูกส่งขึ้นเซิร์ฟเวอร์เลย
วิธีใช้ตัวถอดรหัสใบรับรอง X.509
- รับใบรับรอง. ดาวน์โหลดจากรายการ crt.sh บนเว็บไซต์ หรือรันคำสั่ง openssl s_client -showcerts ในสภาพแวดล้อมที่แยกต่างหาก คุณไม่จำเป็นต้องเข้าชมหน้าเว็บที่น่าสงสัยนั้น
- คัดลอกและวาง หรือลากและวาง. วางข้อความ PEM (หากมีทั้งสายข้อความทั้งหมด) แล้วกด "Decode" หรือลากไฟล์ .pem, .crt, .cer, .der หรือ .p7b มาวาง ซึ่งไฟล์ดังกล่าวจะถูกถอดรหัสทันที
- อ่านสัญลักษณ์และธง. แต่ละใบรับรองจะแสดงสถานะ ระดับการตรวจสอบความถูกต้อง และคำเตือนต่าง ๆ เช่น ใบรับรองหมดอายุ ใบรับรองที่ลงนามเอง หรือชื่อในรูปแบบ punycode
- ตรวจสอบชื่อ. รายการชื่อทางเลือกของหัวข้อ (Subject Alternative Names) แสดงทุกโดเมน ที่อยู่ IP และที่อยู่อีเมลที่ใบรับรองครอบคลุม พร้อมด้วยลิงก์ค้นหา crt.sh สำหรับแต่ละรายการ
- Pivot. ใช้ลิงก์ลายนิ้วมือ SHA-256 หรือลายนิ้วมือกุญแจสาธารณะเพื่อค้นหาใบรับรองหรือกุญแจเดียวกันบน crt.sh คำสั่ง Send to จะส่งชื่อ DNS ไปยัง IOC Converter, Blocklist Converter, Abuse Report Generator หรือ URL Defanger.
ตัวอย่าง
ใบรับรองการทดสอบสำหรับ example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…สร้างด้วย OpenSSL สำหรับหน้านี้: แปดรายการ SAN ซึ่งรวมถึง *.example.com, www.example.net และ 192.0.2.10, นโยบาย DV, SCT ที่ฝังไว้สองรายการ และผู้ออกใบรับรอง Example Test Root CA ใบรับรองนี้มีอายุการใช้งานตั้งแต่วันที่ 1 มกราคม ถึง 1 เมษายน 2026 ดังนั้นจึงแสดงว่าหมดอายุแล้ว
สิ่งที่ระบบตรวจสอบ
| สัญญาณ | ความหมายของคำนี้คืออะไร |
|---|---|
| สัญลักษณ์สถานะ | ยังมีอายุเหลืออยู่, หมดอายุ หรือยังไม่เริ่มมีผล ใบรับรองที่ยังมีอายุใช้อยู่แสดงเพียงว่าผู้ถือใบรับรองนั้นเป็นผู้ควบคุมโดเมน ณ เวลาที่ใบรับรองถูกออกเท่านั้น ไม่ใช่ว่าเว็บไซต์นั้นน่าเชื่อถือ |
| ระดับการตรวจสอบความถูกต้อง | DV, OV, IV หรือ EV, อ่านจากนโยบายของใบรับรอง DV หมายถึงมีการตรวจสอบเพียงการควบคุมโดเมนเท่านั้น |
| ลงนามด้วยตนเอง | ไม่มีหน่วยงานออกใบรับรองสาธารณะใดรับรองสิ่งนี้ จึงทำให้เบราว์เซอร์แสดงคำเตือน |
| ผู้ออก DV ฟรี | Let's Encrypt, ZeroSSL, Google Trust Services หรือ cPanel AutoSSL. ในบริบทนี้: ทั้งเว็บไซต์ที่ถูกต้องและเว็บไซต์ฟิชชิ่งต่างก็ใช้บริการเหล่านี้ |
| ตัวแทนและจำนวนชื่อ | ชื่อที่ใช้สัญลักษณ์ไวลด์การ์ดได้รับการระบุไว้แล้ว; การมีชื่อ 25 ชื่อขึ้นไปในใบรับรองหนึ่งใบเป็นลักษณะทั่วไปของใบรับรอง CDN, ใบรับรองสำหรับบริการโฮสติ้ง หรือใบรับรองแบบกลุ่ม |
| ชื่อ Punycode | ชื่อที่ขึ้นต้นด้วย xn-- จะถูกทำเครื่องหมายไว้ เพื่อให้คุณสามารถตรวจสอบว่ามีตัวอักษรที่คล้ายกันได้หรือไม่ |
| ลายเซ็นหรือกุญแจที่อ่อนแอ | ลายเซ็น SHA-1 หรือ MD5 และกุญแจ RSA ที่มีขนาดน้อยกว่า 2048 บิต จะถูกแสดงเป็นคำเตือน |
| CT timestamps | SCT ที่ฝังอยู่จะแสดงวันที่ใบรับรองถูกบันทึกไว้อย่างสาธารณะ โดยวันที่ที่เก่าที่สุดจะอยู่ใกล้กับเวลาที่ออกใบรับรอง |
| ลำดับการสั่งซื้อแบบต่อเนื่อง | ในโซ่ที่ถูกรวมกัน แต่ละใบรับรองจะถูกจับคู่กับใบรับรองถัดไปโดยใช้ชื่อผู้ออกและตัวระบุกุญแจ การตรวจสอบลายเซ็นไม่ถูกดำเนินการ |
| คุณสมบัติของหัวข้อและผู้ออก | ช่องข้อมูลชื่อองค์กร ประเทศ และชื่ออื่น ๆ สำหรับทั้งสองฝ่าย ในใบรับรองที่ได้รับการยอมรับอย่างกว้างขวาง ชื่อองค์กรจะปรากฏเฉพาะในใบรับรอง OV และ EV เท่านั้น ส่วนใบรับรอง DV จะระบุเพียงชื่อโดเมนเท่านั้น |
ตัวอย่างเพิ่มเติม
ใบรับรองการทดสอบที่ลงนามด้วยตนเอง
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----เข้าถึงเว็บไซต์ login.example.net (ชื่อถูกแสดงในแบบที่ลบส่วนที่อาจก่อให้เกิดปัญหา) ด้วยใบรับรองที่หมดอายุและคำเตือนสามข้อ: หมดอายุ (2026-09-30T00:00:00Z), ลงนามเอง และชื่อ punycode xn--exmple-cua.example. กุญแจ EC P-256, อายุการใช้งาน 29 วัน, ไม่มี SCT, มีชื่อ SAN 2 ชื่อพร้อมลิงก์ crt.sh.
ได้วางชื่อโดเมนแทนใบรับรอง
example.comมีเพียงข้อความ "ไม่พบบล็อก PEM (-----BEGIN CERTIFICATE-----)" เท่านั้น
คำถามที่พบบ่อย
ตัวถอดรหัสอ่านข้อมูลอะไรจากใบรับรอง?
มันวิเคราะห์โครงสร้าง DER อย่างเคร่งครัด และแสดงเวอร์ชัน หมายเลขซีเรียล อัลกอริทึมการลงนาม คุณสมบัติของผู้รับและผู้ออกใบรับรอง ระยะเวลาความถูกต้อง ประเภทและขนาดของกุญแจสาธารณะ รวมถึงส่วนขยายต่าง ๆ ได้แก่ ชื่อ SAN การใช้งานกุญแจ นโยบาย (DV, OV, EV) ที่อยู่ CRL และ OCSP รวมถึงเวลาประทับ CT ที่ฝังอยู่ ลายนิ้วมือ SHA-1, SHA-256 และลายนิ้วมือกุญแจสาธารณะถูกคำนวณด้วย Web Crypto.
มันตรวจสอบว่าใบรับรองนั้นเป็นใบรับรองที่เชื่อถือได้หรือถูกเพิกถอนแล้วหรือไม่?
ไม่ มันไม่ตรวจสอบลายเซ็น ไม่สร้างเส้นทางไปยังรากที่เชื่อถือได้ และไม่สอบถาม OCSP และ CRL; มันเพียงเปรียบเทียบชื่อผู้ออกและชื่อผู้รับ รวมถึงตัวระบุกุญแจ เพื่อตรวจสอบว่าห่วงโซ่ใบรับรองอยู่ในลำดับที่ถูกต้องหรือไม่ สัญญาณเตือน เช่น ผู้ออก DV ที่ไม่เสียค่าใช้จ่าย หรือชื่อแบบไวลด์การ์ด เป็นข้อมูลบริบทสำหรับการตรวจสอบ ไม่ใช่คำตัดสิน
ใบรับรองนี้ถูกส่งไปที่ใดบ้างครับ?
ไม่ครับ การถอดรหัสและการระบุลายนิ้วมือเกิดขึ้นในเบราว์เซอร์ของคุณเอง ปุ่ม crt.sh เป็นลิงก์ที่เปิด crt.sh ในแท็บใหม่ โดยแสดงลายนิ้วมือหรือชื่อในส่วนที่อยู่ของเบราว์เซอร์ และจะทำงานเฉพาะเมื่อคุณคลิกปุ่มเหล่านั้นเท่านั้น
ทำไมต้องตรวจสอบใบรับรองของเว็บไซต์ฟิชชิ่งด้วยล่ะ?
รายชื่อ SAN ของมันสามารถระบุโดเมนอื่น ๆ ในแคมเปญเดียวกันได้ และสามารถค้นหาลายนิ้วมือหรือกุญแจสาธารณะของมันบน crt.sh เพื่อค้นหาใบรับรองที่เกี่ยวข้องได้ นอกจากนี้ วันที่เริ่มต้นความมีผลยังบ่งชี้ว่าเว็บไซต์นั้นถูกตั้งขึ้นเมื่อใด
สามารถวางใบรับรองที่คัดลอกจากไฟล์บันทึก JSON ได้หรือไม่?
ใช่ครับ ข้อความ PEM ที่มีลำดับ \n แบบตรงๆ จะถูกถอดการหลบหลีกออกก่อน และ Base64 หรือ DER แบบฐานสิบหกที่ไม่มีบรรทัด BEGIN ก็ถูกรับได้เช่นกัน
ถ้าฉันวางคีย์ส่วนตัวหรือ CSR ลงไปจะเกิดอะไรขึ้น?
ทั้งสองอย่างนี้ยังไม่ได้รับการถอดรหัส กุญแจส่วนตัวจะแสดงคำเตือนให้ไม่คัดลอกกุญแจไปวางในหน้าเว็บ ส่วนคำขอลงนามใบรับรองจะถูกข้ามไปพร้อมคำอธิบาย
มันสามารถอ่านไฟล์ .p7b ได้หรือไม่?
ใช่ครับ ไฟล์ PKCS#7 bundle จะถูกแตกออก และจะมีข้อความแจ้งจำนวนใบรับรองที่ถูกสกัดออกมา โดยแต่ละใบรับรองจะแสดงตามลำดับ โดยแต่ละครั้งจะแสดงได้สูงสุด 20 ใบรับรอง