Kalkulahin ang mmh3 favicon hash ng isang site gamit ang handang Shodan, FOFA, ZoomEye at Censys na mga query.
Bago
X.509 Dekoder ng Sertipiko
Tumatakbo nang lokalBago
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angX.509 Dekoder ng Sertipiko
Ano ang ginagawa nito
I-paste ang isang PEM certificate o chain, o i-drop ang isang .crt, .cer, .der, o .p7b na file, upang makita ang bawat pangalang sakop nito, kung sino ang nag-isyu nito, gaano ito katagal balido, at ang mga fingerprint nito, kasama ang mga link ng crt.sh para sa bawat pangalan.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang X.509 Dekoder ng Sertipiko
- Kunin ang sertipiko. I-download ito mula sa crt.sh na entry ng site, o patakbuhin ang openssl s_client -showcerts sa isang hiwalay na kapaligiran. Hindi mo kailangang bisitahin ang kahina-hinalang pahina.
- Idikit o ihulog ito. I-paste ang teksto ng PEM, pati na ang buong kadena kung mayroon ka nito, at pindutin ang Decode, o i-drop ang isang .pem, .crt, .cer, .der o .p7b na file, na agad na na-decode.
- Basahin ang mga badge at bandila.. Bawat sertipiko ay nagpapakita ng katayuan nito, antas ng pagpapatunay, at mga babala gaya ng lipas na, sariling pirmado, o mga punycode na pangalan.
- Suriin ang mga pangalan. Ang Subject Alternative Names ay naglilista ng bawat domain, IP address, at email address na sakop ng sertipiko, na may crt.sh search link para sa bawat isa.
- Pivot. Gamitin ang SHA-256 o mga link ng fingerprint ng pampublikong susi upang hanapin ang parehong sertipiko o susi sa crt.sh. Ang Send to ay nagpapasa ng mga DNS name sa IOC Converter, Blocklist Converter, Abuse Report Generator o URL Defanger.
Halimbawa
Sertipiko ng pagsusulit para sa example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Ginawa gamit ang OpenSSL para sa pahinang ito: walong SAN entry kabilang ang *.example.com, www.example.net, at 192.0.2.10, isang DV na polisiya, dalawang naka-embed na SCT, at ang nag-isyu na Example Test Root CA. Ito ay balido mula 1 Enero hanggang 1 Abril 2026, kaya ipinapakita itong lipas na.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| Badge ng katayuan | Balido habang may natitirang araw, lipas na o hindi pa balido. Ang isang balidong sertipiko ay nagpapakita lamang na kontrolado ng isang tao ang domain noong ito ay inilabas, hindi na ang site ay mapagkakatiwalaan. |
| Antas ng pagpapatunay | DV, OV, IV o EV, basahin mula sa mga patakaran ng sertipiko. Ang DV ay nangangahulugang kontrol lamang sa domain ang sinuri. |
| Sariling pinirmahan | Walang pampublikong awtoridad sa sertipiko ang nagpapatunay rito, kaya nagpapakita ng babala ang mga browser. |
| Libreng tagapag-isyu ng DV | Let's Encrypt, ZeroSSL, Google Trust Services o cPanel AutoSSL. Sa konteksto lamang: pareho silang ginagamit ng mga lehitimong site at ng mga phishing na site. |
| Mga wildcard at bilang ng pangalan | Napansin ang mga wildcard na pangalan; karaniwan sa CDN, hosting, o maramihang sertipiko ang pagkakaroon ng 25 o higit pang mga pangalan sa isang sertipiko. |
| Mga pangalan ng Punycode | Ang mga xn-- na pangalan ay minarkahan upang masuri mo ang mga ito para sa magkakaparehong titik. |
| Mahina ang pirma o susi | Ang mga SHA-1 o MD5 na pirma at mga RSA na susi na mas mababa sa 2048 bits ay mga babala. |
| Mga timestamp ng CT | Ipinapakita ng mga naka-embed na SCT kung kailan naitala nang pampubliko ang sertipiko; ang pinakamaaga ay malapit sa oras ng pag-isyu. |
| Sunod-sunod na utos | Sa isang pinagdugtong na kadena, ang bawat sertipiko ay itinatugma sa susunod gamit ang pangalan ng nag-isyu at tagapagkilalang susi. Hindi pinapatotohanan ang mga pirma. |
| Mga katangian ng paksa at tagapag-isyu | Lugar para sa pangalan ng organisasyon, bansa, at iba pang pangalan para sa parehong partido. Sa mga sertipikong pinagkakatiwalaan ng publiko, lumalabas lamang ang pangalan ng organisasyon sa mga OV at EV na sertipiko; sa mga DV na sertipiko, ang domain lamang ang nakalagay. |
Karagdagang mga halimbawa
Isang test certificate na nilagdaan ng sarili
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Papunta sa login.example.net (ang mga pangalan ay ipinapakita nang walang mga ekstrang karakter) na may expired na badge at tatlong babala: expired (2026-09-30T00:00:00Z), self-signed, at ang punycode na pangalan na xn--exmple-cua.example. Key EC P-256, habang-buhay 29 araw, walang SCTs, 2 SAN names na may mga link sa crt.sh.
Isang domain ang nakadikit sa halip na isang sertipiko
example.comTanging ang tala na "Walang natagpuang PEM block (-----BEGIN CERTIFICATE-----)."
Madalas na tanong
Ano ang binabasa ng dekoder mula sa isang sertipiko?
Ipinoproseso nito nang mahigpit ang istruktura ng DER at ipinapakita ang bersyon, numero ng serye, algoritmo ng lagda, mga katangian ng subject at issuer, bisa, uri at laki ng pampublikong susi, at ang mga extension: mga pangalan ng SAN, mga paggamit ng susi, mga patakaran (DV, OV, EV), mga address ng CRL at OCSP, at mga naka-embed na CT timestamp. Kinakalkula ang SHA-1, SHA-256, at mga fingerprint ng pampublikong susi gamit ang Web Crypto.
Sinusuri ba nito kung ang sertipiko ay pinagkakatiwalaan o binawi?
Hindi. Hindi nito sinusuri ang mga lagda, binubuo ang landas patungo sa pinagkakatiwalaang ugat, o tinatanong ang OCSP at CRL; ikinukumpara lamang nito ang mga pangalan ng nag-isyu at ng paksa pati na ang mga tagapagkilalang susi upang malaman kung maayos ang hanay ng mga sertipiko. Ang mga bandila gaya ng malayang DV na nag-isyu o wildcard na pangalan ay konteksto para sa imbestigasyon, hindi hatol.
Ipinapadala ba ang sertipiko kahit saan?
Hindi. Ang pag-decode at fingerprinting ay tumatakbo sa iyong browser. Ang mga button ng crt.sh ay mga link na nagbubukas ng crt.sh sa isang bagong tab na may fingerprint o pangalan sa address, at tanging kapag na-click mo lamang ang mga ito.
Bakit mo pa titingnan ang sertipiko ng isang phishing na site?
Ang listahan ng SAN nito ay maaaring maglahad ng iba pang mga domain ng parehong kampanya, at ang fingerprint o pampublikong susi nito ay maaaring hanapin sa crt.sh upang matuklasan ang mga kaugnay na sertipiko. Ang simula ng bisa ay nagpapahiwatig din kung kailan itinatag ang site.
Maaari ko bang i-paste ang sertipikatong kinopya mula sa JSON log?
Oo. Ang PEM na teksto na may literal na \n na mga sunud-sunod ay hindi muna ini-escape, at tinatanggap din ang purong Base64 o hex DER na walang linyang BEGIN.
Paano kung i-paste ko ang pribadong susi o ang CSR?
Wala sa dalawa ang na-decode. Ang pribadong susi ay nakatanggap ng babala na huwag idikit ang mga susi sa mga web page, at ang kahilingan para sa pagpirma ng sertipiko ay hindi isinagawa kasama ang isang tala.
Binabasa ba nito ang mga .p7b bundle?
Oo. Ang PKCS#7 bundle ay binubuksan, isang tala ang nagsasabing ilang sertipiko ang na-extract, at isa-isa silang ipinapakita. Hanggang 20 sertipiko ang ipinapakita sa bawat pagpapatakbo.