MD5, SHA-1 at SHA-256 ng anumang file, na may handang mga link para sa paghahanap sa VirusTotal at MalwareBazaar.
Bago
Favicon Hash (mmh3)
Tumatakbo nang lokalBago
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angFavicon Hash (mmh3)
Ano ang ginagawa nito
Mag-upload ng favicon o i-paste ang Base64 nito para makuha ang Shodan-style mmh3 hash, ang MD5 at SHA-256, at mga handang search query para sa Shodan, FOFA, ZoomEye at Censys. Hindi kailanman umaalis sa iyong browser ang icon.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang Favicon Hash (mmh3)
- Kunin ang eksaktong icon.. I-save ang favicon ng site gaya ng ipinapadala ng server, halimbawa /favicon.ico, sa isang hiwalay na kapaligiran. Huwag itong muling i-save o i-convert.
- I-drop o i-paste ang Base64. I-drop o piliin ang file (hanggang 10 MB), o i-paste ang Base64 nito o isang data: URI at pindutin ang Compute hash.
- Basahin ang mga hash. Ang halaga ng mmh3 ay para sa Shodan at FOFA, ang MD5 naman ay para sa ZoomEye at Censys. Ang SHA-256 ay nagkakakilanlan sa mismong file.
- Maghanap. Kopyahin ang handang query o pindutin ang Search para buksan ang engine gamit lamang ang hash. Para sa ZoomEye, buksan ang site at i-paste ang query.
- Suriin ang bawat tugma. Suriin ang bawat server na natagpuan bago mo ito iugnay sa phishing na site: ang mga default na icon ay karaniwang ginagamit ng maraming hindi kaugnay na site.
Halimbawa
16 × 16 na PNG na icon bilang Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Na-decode sa isang 108-byte na PNG. Ang mmh3 hash ay 2033577382, kaya ang Shodan query ay http.favicon.hash:2033577382; ang MD5 na 687bba8c4cd9980ec195986b32ee42cb ay napupunta sa mga query ng ZoomEye at Censys.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| I-format ang linya | Ang natukoy na format (PNG, ICO, GIF, JPEG, BMP, WebP, SVG o hindi kilalang format) at ang laki sa bytes. |
| Paunang tingin | Ang mga format ng imahe ay ipinapakita bilang 32-pixel na paunang sulyap, kaya makumpirma mong ito nga ang icon na nais mong i-hash. |
| Babala sa pahina ng HTML | Ang mga byte ay isang web page, hindi isang icon. Madalas na tinutugunan ng mga server ang nawawalang /favicon.ico sa pamamagitan ng isang pahina ng error, at ang hash nito ay natatagpuan lamang ang parehong pahina. |
| Shodan / FOFA hash | MurmurHash3 ng icon na naka-Base64-encode, ipinapakita bilang isang piradong 32-bit na numero. Normal ang mga negatibong halaga. |
| MD5 ng file | Ginagamit sa mga query ng ZoomEye at Censys. |
| SHA-256 ng file | Tinutukoy ang eksaktong file, na kapaki-pakinabang sa mga ulat at sa pagtutugma ng mga kopyang nakalap mo. |
| Mga tanong sa paghahanap | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash at dalawang Censys form. Karamihan sa mga engine ay nangangailangan ng libreng account upang maipakita ang mga resulta. |
| Panuntunang magkaparehong byte | Ang isang icon na pinalaki, muling kinompres, o kinonbert ay nagbibigay ng ibang hash, kaya ang pagkakamali ay maaaring mangahulugang nagkakaiba lamang ang mga byte. |
Karagdagang mga halimbawa
Isang maliit na SVG na icon bilang data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Idinikit na Base64, 108 B, SVG. Ang mmh3 hash ay -1417999905, kaya ang Shodan query ay http.favicon.hash:-1417999905 at nakukuha ng FOFA ang icon_hash="-1417999905"; Ang MD5 na 10a8f1de4d94f66724532d5315194e33 ay napupunta sa mga query ng ZoomEye at Censys.
Isang pahina ng error sa halip na icon
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, pahina ng HTML, na may babala na ang mga byte na ito ay isang pahina ng HTML, hindi isang icon. Ang halaga nitong mmh3, -1700126198, ay tumutugma lamang sa mga server na nagbabalik ng parehong pahina.
Pangalan ng file sa halip na Base64
favicon.icoHindi ma-decode ang nakadikit na teksto: hindi wastong Base64 ito. Idikit ang Base64 ng icon file, kasama man o wala ang prefix ng data.
Madalas na tanong
Paano kinakalkula ang Shodan favicon hash?
Kinukuha ng Shodan ang hilaw na bytes ng favicon, ini-encode ito bilang Base64 gaya ng ginagawa ng base64.encodebytes ng Python (76-character na mga linya, bawat isa ay nagtatapos sa newline) at hini-hash ang tekstong iyon gamit ang 32-bit na MurmurHash3 na may seed na 0, na ipinapakita bilang isang signed integer. Ginagamit ng icon_hash ng FOFA ang parehong halaga, habang ang mga query ng ZoomEye at Censys dito ay gumagamit ng MD5 ng file.
Bakit walang makita ang hash, o bakit mali ang mga server na natatagpuan nito?
Tinatugma lamang nito ang mga server na nagbabalik ng byte-identical na favicon bytes, kaya ang pinalaki, muling na-save, o muling na-encode na kopya ay nagbibigay ng ibang halaga, at ang isang site na ang /favicon.ico ay nagbabalik ng error page ay nagbibigay ng hash ng pahinang iyon. Ang mga default na icon ng mga hosting panel at framework ay pinaghahatian ng libu-libong hindi magkakaugnay na site, kaya ituring ang mga pagtutugma bilang mga lead na susuriin, hindi bilang patunay ng magkakasamang pagmamay-ari.
Kinukuha ba ng tool ang favicon o ipinapadala ba ito sa kahit saan?
Hindi. Hinahash nito ang file o Base64 na ibinibigay mo sa iyong browser at hindi ito gumagawa ng anumang network request. Ang mga search link ay nagbubukas ng Shodan, FOFA, ZoomEye o Censys sa bagong tab kapag i-click mo lamang ang mga ito, at naglalaman lamang ang mga ito ng hash.
Bakit negatibo ang hash?
Iniulat ng Shodan ang MurmurHash3 bilang isang naka-sign na 32-bit na integer, kaya halos kalahati ng lahat ng mga icon ay nagkakaroon ng negatibong halaga. Panatilihin ang minus sign; kung wala ito, hahanapin ng paghahanap ang ibang icon.
Paano ginagamit ng mga imbestigador ang favicon hash?
Madalas na ginagamit muli ng mga phishing kit ang parehong icon file sa bawat kopya ng pekeng site. Ang paghahanap sa hash nito sa Shodan o FOFA ay maaaring magbunyag ng iba pang mga server na nagpapatakbo ng parehong kit, na susuriin mo nang paisa-isa.
Maaari ko bang i-paste ang isang icon mula sa HTML ng pahina?
Oo, kung ini-embed ng pahina ito bilang data: URI, i-paste ang buong halaga at aalisin ang prefix bago i-decode. Kailangan munang i-save bilang file ang icon na naka-link sa URL, dahil hindi kumukuha ng anuman ang tool na ito.
Bakit nagbibigay ang parehong site ng ibang hash sa ibang araw?
Nagbabago ang mga site ng kanilang mga icon, at ang ilang server ay nagpapadala ng iba't ibang bytes sa iba't ibang bisita, halimbawa isang hindi nakakasakit na pahina para sa mga scanner. Bawat bersyon ay may sariling hash, kaya itala ang petsa at kung paano mo nakuha ang icon.