MD5, SHA-1 і SHA-256 будь-якого файлу з готовими посиланнями для пошуку у VirusTotal і MalwareBazaar.
Новий
Хеш favicon (mmh3)
Працює локальноНовий
Сам інструмент доступний англійською мовою; на цій сторінці наведено пояснення вашою мовою.
Використовуйте Хеш favicon (mmh3)
Як це працює
Перетягніть favicon або вставте його Base64, щоб отримати mmh3-хеш у стилі Shodan, MD5 і SHA-256 та готові пошукові запити для Shodan, FOFA, ZoomEye і Censys. Іконка не залишає вашого браузера.
Програма працює повністю у вашому браузері: жодні введені вами дані не завантажуються.
Як користуватися Хеш favicon (mmh3)
- Отримайте точну іконку. Збережіть favicon сайту саме такою, якою її надсилає сервер, наприклад /favicon.ico, в ізольованому середовищі. Не зберігайте її повторно й не конвертуйте.
- Перетягніть файл або вставте Base64. Перетягніть або виберіть файл (до 10 МБ) чи вставте його Base64 або data: URI і натисніть Compute hash (обчислити хеш).
- Прочитайте хеші. Значення mmh3 призначене для Shodan і FOFA, MD5 — для ZoomEye і Censys. SHA-256 ідентифікує сам файл.
- Шукайте. Скопіюйте готовий запит або натисніть Search (шукати), щоб відкрити пошуковик лише з хешем. Для ZoomEye відкрийте сайт і вставте запит.
- Перевірте кожен збіг. Перегляньте кожен знайдений сервер, перш ніж пов'язувати його з фішинговим сайтом: стандартні іконки спільні для багатьох не пов'язаних сайтів.
Приклад
PNG-іконка 16 × 16 у Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Декодується в PNG розміром 108 байтів. mmh3-хеш дорівнює 2033577382, тож запит для Shodan — http.favicon.hash:2033577382; MD5 687bba8c4cd9980ec195986b32ee42cb потрапляє в запити для ZoomEye і Censys.
Що перевіряється
| Сигнал | Що це означає |
|---|---|
| Рядок формату | Визначений формат (PNG, ICO, GIF, JPEG, BMP, WebP, SVG або unknown format — невідомий формат) і розмір у байтах. |
| Попередній перегляд | Графічні формати показано як прев'ю розміром 32 пікселі, щоб ви могли переконатися, що хешуєте саме ту іконку. |
| Попередження про HTML-сторінку | Байти є вебсторінкою, а не іконкою. Сервери часто відповідають на відсутній /favicon.ico сторінкою помилки, і її хеш знаходить лише ту саму сторінку. |
| Хеш для Shodan / FOFA | MurmurHash3 іконки, закодованої в Base64, показаний як 32-бітне число зі знаком. Від'ємні значення — це нормально. |
| MD5 файлу | Використовується в запитах для ZoomEye і Censys. |
| SHA-256 файлу | Ідентифікує саме цей файл; корисний у звітах і для зіставлення зібраних вами копій. |
| Пошукові запити | http.favicon.hash для Shodan, icon_hash для FOFA, iconhash для ZoomEye і дві форми для Censys. Більшості пошуковиків для показу результатів потрібен безкоштовний обліковий запис. |
| Правило байтової ідентичності | Іконка зі зміненим розміром, повторно стиснута чи конвертована дає інший хеш, тож відсутність збігів може означати лише те, що байти відрізняються. |
Ще кілька прикладів
Маленька SVG-іконка як data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Вставлений Base64, 108 B, SVG. mmh3-хеш дорівнює -1417999905, тож запит для Shodan — http.favicon.hash:-1417999905, а для FOFA — icon_hash="-1417999905"; MD5 10a8f1de4d94f66724532d5315194e33 потрапляє в запити для ZoomEye і Censys.
Сторінка помилки замість іконки
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, HTML-сторінка, з попередженням, що ці байти — HTML-сторінка, а не іконка. Її значення mmh3, -1700126198, збігається лише із серверами, що повертають ту саму сторінку.
Назва файлу замість Base64
favicon.icoНе вдалося декодувати вставлений текст: це некоректний Base64. Вставте Base64 файлу іконки з префіксом data: або без нього.
Часті запитання
Як обчислюється хеш favicon для Shodan?
Shodan бере сирі байти favicon, кодує їх у Base64 так, як це робить base64.encodebytes у Python (рядки по 76 символів, кожен закінчується символом нового рядка), і хешує цей текст 32-бітним MurmurHash3 із seed 0, показуючи результат як ціле число зі знаком. icon_hash у FOFA використовує те саме значення, а запити для ZoomEye і Censys тут використовують MD5 файлу.
Чому за хешем нічого не знаходиться або знаходяться не ті сервери?
Хеш збігається лише із серверами, що повертають байт у байт ідентичну favicon, тож копія зі зміненим розміром, повторно збережена чи перекодована дає інше значення, а сайт, чий /favicon.ico повертає сторінку помилки, дає хеш цієї сторінки. Стандартні іконки панелей хостингу та фреймворків спільні для тисяч не пов'язаних між собою сайтів, тож сприймайте збіги як зачіпки для перевірки, а не як доказ спільного власника.
Чи завантажує інструмент favicon або надсилає її кудись?
Ні. Він хешує наданий вами файл або Base64 у вашому браузері й не робить мережевих запитів. Пошукові посилання відкривають Shodan, FOFA, ZoomEye чи Censys у новій вкладці лише тоді, коли ви на них натискаєте, і передають тільки хеш.
Чому хеш — від'ємне число?
Shodan подає MurmurHash3 як 32-бітне ціле число зі знаком, тож приблизно половина всіх іконок отримує від'ємне значення. Зберігайте знак мінус; без нього пошук шукатиме іншу іконку.
Як дослідники використовують хеш favicon?
Фішинг-кити часто використовують той самий файл іконки в кожній копії фейкового сайту. Пошук її хеша в Shodan чи FOFA може виявити інші сервери з тим самим китом, які потім слід перевірити один за одним.
Чи можна вставити іконку з HTML-коду сторінки?
Так, якщо сторінка вбудовує її як data: URI: вставте все значення, і префікс буде видалено перед декодуванням. Іконку, підключену за URL, спершу треба зберегти як файл, бо цей інструмент нічого не завантажує.
Чому той самий сайт іншого дня дає інший хеш?
Сайти змінюють іконки, а деякі сервери надсилають різні байти різним відвідувачам, наприклад нешкідливу сторінку сканерам. Кожна версія має власний хеш, тож записуйте дату і спосіб, у який ви отримали іконку.