Herhangi bir dosyanın MD5, SHA-1 ve SHA-256 değeri; hazır VirusTotal ve MalwareBazaar arama bağlantılarıyla.
Yeni
Favicon Hash Hesaplayıcı (mmh3)
Yerelde çalışırYeni
Araç İngilizce dilindedir; bu sayfada ise araç, sizin dilinizde açıklanmaktadır.
Favicon Hash Hesaplayıcı (mmh3)'i kullanın
Ne işe yarar?
Shodan tarzı mmh3 hash'ini, MD5 ve SHA-256 değerlerini ve Shodan, FOFA, ZoomEye ile Censys için hazır arama sorgularını almak üzere bir favicon bırakın veya Base64'ünü yapıştırın. Simge tarayıcınızdan hiç çıkmaz.
Tamamen tarayıcınızda çalışır: girdiğiniz hiçbir bilgi yukarıya yüklenmez.
Favicon Hash Hesaplayıcı (mmh3) nasıl kullanılır?
- Simgenin birebir aynısını alın. Sitenin favicon'unu sunucunun gönderdiği hâliyle, örneğin /favicon.ico, yalıtılmış bir ortamda kaydedin. Yeniden kaydetmeyin veya dönüştürmeyin.
- Bırakın veya Base64 yapıştırın. Dosyayı bırakın veya seçin (en fazla 10 MB) ya da Base64'ünü veya bir data: URI'sini yapıştırıp Compute hash (Hash hesapla) düğmesine basın.
- Hash'leri okuyun. mmh3 değeri Shodan ve FOFA, MD5 ise ZoomEye ve Censys içindir. SHA-256 dosyanın kendisini tanımlar.
- Arayın. Hazır bir sorguyu kopyalayın veya motoru yalnızca hash ile açmak için Search düğmesine basın. ZoomEye için siteyi açıp sorguyu yapıştırın.
- Her eşleşmeyi kontrol edin. Bulunan her sunucuyu kimlik avı sitesiyle ilişkilendirmeden önce inceleyin: varsayılan simgeler birçok ilgisiz site tarafından paylaşılır.
Örnek
Base64 olarak 16 × 16 PNG simgesi
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.108 baytlık bir PNG'ye çözülür. mmh3 hash'i 2033577382'dir; bu nedenle Shodan sorgusu http.favicon.hash:2033577382 olur; MD5 687bba8c4cd9980ec195986b32ee42cb ise ZoomEye ve Censys sorgularına girer.
Neyi kontrol eder?
| Sinyal | Bunun anlamı nedir? |
|---|---|
| Biçim satırı | Tespit edilen biçim (PNG, ICO, GIF, JPEG, BMP, WebP, SVG veya unknown format) ve bayt cinsinden boyut. |
| Önizleme | Görsel biçimleri 32 piksellik bir önizleme olarak gösterilir; böylece hash'lemek istediğiniz simge olduğunu doğrulayabilirsiniz. |
| HTML sayfası uyarısı | Baytlar bir simge değil, bir web sayfasıdır. Sunucular eksik bir /favicon.ico isteğine çoğu zaman bir hata sayfasıyla yanıt verir ve onun hash'i yalnızca aynı sayfayı bulur. |
| Shodan / FOFA hash | Base64 ile kodlanmış simgenin MurmurHash3 değeri; işaretli 32 bit bir sayı olarak gösterilir. Negatif değerler normaldir. |
| Dosyanın MD5 değeri | ZoomEye ve Censys sorgularında kullanılır. |
| Dosyanın SHA-256 değeri | Dosyanın birebir kendisini tanımlar; bildirimlerde ve topladığınız kopyaları eşleştirmede yararlıdır. |
| Arama sorguları | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash ve iki Censys biçimi. Çoğu motor sonuçları göstermek için ücretsiz bir hesap gerektirir. |
| Bayt bayt aynılık kuralı | Yeniden boyutlandırılmış, yeniden sıkıştırılmış veya dönüştürülmüş bir simge farklı bir hash verir; bu nedenle sonuç çıkmaması yalnızca baytların farklı olduğu anlamına gelebilir. |
Diğer örnekler
data: URI olarak küçük bir SVG simgesi
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Pasted Base64, 108 B, SVG. mmh3 hash'i -1417999905'tir; bu nedenle Shodan sorgusu http.favicon.hash:-1417999905 olur ve FOFA icon_hash="-1417999905" alır; MD5 10a8f1de4d94f66724532d5315194e33 ise ZoomEye ve Censys sorgularına girer.
Simge yerine bir hata sayfası
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML page; bu baytların bir simge değil, HTML sayfası olduğu uyarısıyla birlikte. mmh3 değeri olan -1700126198 yalnızca aynı sayfayı döndüren sunucularla eşleşir.
Base64 yerine bir dosya adı
favicon.icoCould not decode the pasted text: this is not valid Base64 (yapıştırılan metin çözülemedi: geçerli Base64 değil). Simge dosyasının Base64'ünü data: önekiyle veya öneksiz yapıştırın.
Sık Sorulan Sorular
Shodan favicon hash'i nasıl hesaplanır?
Shodan favicon'un ham baytlarını alır, Python'un base64.encodebytes işlevinin yaptığı gibi Base64 olarak kodlar (her biri yeni satırla biten 76 karakterlik satırlar) ve bu metni seed 0 ile 32 bit MurmurHash3 kullanarak hash'ler; sonuç işaretli bir tam sayı olarak gösterilir. FOFA'nın icon_hash'i aynı değeri kullanır; buradaki ZoomEye ve Censys sorguları ise dosyanın MD5'ini kullanır.
Bir hash neden hiçbir şey bulmuyor ya da yanlış sunucuları buluyor?
Yalnızca bayt bayt aynı favicon döndüren sunucularla eşleşir; bu nedenle yeniden boyutlandırılmış, yeniden kaydedilmiş veya yeniden kodlanmış bir kopya farklı bir değer verir; /favicon.ico adresi bir hata sayfası döndüren bir site de o sayfanın hash'ini verir. Barındırma panellerinin ve çatıların (framework) varsayılan simgeleri binlerce ilgisiz site tarafından paylaşılır; bu nedenle eşleşmeleri ortak sahipliğin kanıtı olarak değil, kontrol edilecek ipuçları olarak değerlendirin.
Araç favicon'u indiriyor veya bir yere gönderiyor mu?
Hayır. Sağladığınız dosyayı veya Base64'ü tarayıcınızın içinde hash'ler ve hiçbir ağ isteği yapmaz. Arama bağlantıları Shodan, FOFA, ZoomEye veya Censys'i yalnızca siz tıkladığınızda yeni bir sekmede açar ve yalnızca hash'i taşır.
Hash neden negatif bir sayı?
Shodan MurmurHash3'ü işaretli 32 bit bir tam sayı olarak bildirir; bu nedenle simgelerin yaklaşık yarısı negatif bir değer alır. Eksi işaretini koruyun; o olmadan arama farklı bir simgeyi arar.
Araştırmacılar favicon hash'ini nasıl kullanır?
Kimlik avı kitleri çoğu zaman aynı simge dosyasını sahte sitenin her kopyasında yeniden kullanır. Hash'ini Shodan'da veya FOFA'da aramak, aynı kiti çalıştıran başka sunucuları ortaya çıkarabilir; bunları ardından tek tek kontrol edersiniz.
Bir sayfanın HTML'indeki simgeyi yapıştırabilir miyim?
Evet, sayfa onu data: URI olarak gömüyorsa: değerin tamamını yapıştırın; önek çözmeden önce kaldırılır. URL ile bağlanan bir simgenin önce dosya olarak kaydedilmesi gerekir, çünkü bu araç hiçbir şey indirmez.
Aynı site neden başka bir gün farklı bir hash veriyor?
Siteler simgelerini değiştirir ve bazı sunucular farklı ziyaretçilere farklı baytlar gönderir; örneğin tarama araçlarına zararsız bir sayfa. Her sürümün kendi hash'i vardır; bu nedenle tarihi ve simgeyi nasıl elde ettiğinizi not edin.