MD5, SHA-1 và SHA-256 của bất kỳ tệp nào, kèm theo các liên kết tìm kiếm sẵn có trên VirusTotal và MalwareBazaar.
Mới
Favicon Hash (mmh3)
Chạy cục bộMới
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Favicon Hash (mmh3)
Chức năng của nó là gì?
Tải lên một favicon hoặc dán mã Base64 của nó để nhận được mã băm mmh3 theo phong cách Shodan, mã băm MD5 và SHA-256, cùng các truy vấn tìm kiếm đã được chuẩn bị sẵn cho Shodan, FOFA, ZoomEye và Censys. Biểu tượng này sẽ không bao giờ rời khỏi trình duyệt của bạn.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Favicon Hash (mmh3)
- Tải xuống biểu tượng chính xác. Hãy lưu biểu tượng favicon của trang web theo đúng định dạng mà máy chủ gửi đến, ví dụ như /favicon.ico, trong một môi trường cách ly. Không được lưu lại hoặc chuyển đổi tệp này.
- Hãy tải lên hoặc dán mã Base64. Kéo và thả hoặc chọn tệp (tối đa 10 MB), hoặc dán mã Base64 hoặc URI dạng “data:” của tệp đó, rồi nhấn “Tính băm”.
- Đọc các giá trị băm. Giá trị mmh3 dành cho Shodan và FOFA, còn MD5 dành cho ZoomEye và Censys. SHA-256 dùng để xác định chính tệp đó.
- Tìm kiếm. Sao chép một truy vấn đã có sẵn hoặc nhấn Tìm kiếm để mở công cụ tìm kiếm chỉ với ký hiệu thăng (#). Đối với ZoomEye, hãy mở trang web và dán truy vấn vào.
- Kiểm tra từng trận đấu. Hãy kiểm tra kỹ từng máy chủ được tìm thấy trước khi liên kết nó với trang web lừa đảo: các biểu tượng mặc định thường được nhiều trang web không liên quan đến nhau sử dụng chung.
Ví dụ
Biểu tượng PNG 16 × 16 dưới dạng Base64
iVBORw0KGgoAAAANSUhEUgAAABAAAAAQCAYAAAAf8/9hAAAAM0lEQVR42mPgFhT/TwlmABF2z7aShWljwMevX/Biog1At20IGkD1MCA5FkayAQOTFyjBAJ3am11k6YHEAAAAAElFTkSuQmCCPasted Base64
108 B (108 bytes) · PNG
SHODAN / FOFA HASH (MMH3, SIGNED 32-BIT)
2033577382
MD5 OF THE FILE
687bba8c4cd9980ec195986b32ee42cb
SHA-256 OF THE FILE
989e1ac28e0a5bf7ffcf0eed14a30126aabb5761daa360596619280b485e8ad7
Search queries
Shodan
Search ↗
http.favicon.hash:2033577382
FOFA
Search ↗
icon_hash="2033577382"
ZoomEye
Open ZoomEye ↗
iconhash:"687bba8c4cd9980ec195986b32ee42cb"
Censys Search (legacy)
Search ↗
services.http.response.favicons.md5_hash: 687bba8c4cd9980ec195986b32ee42cb
Censys Platform
Search ↗
host.services.endpoints.http.favicons.hash_md5 = "687bba8c4cd9980ec195986b32ee42cb"
The Search links open the engine in a new tab and send only the hash in the address; most engines need a free account to show results. ZoomEye’s link opens its site: paste the copied query there. The ZoomEye and Censys queries use the MD5 of the file, Shodan and FOFA the mmh3 value.
A favicon hash only finds servers that return byte-identical icon bytes. A resized, re-saved or re-compressed icon, or the same picture as PNG instead of ICO, gives a different hash. Hash the file exactly as the server sends it (for example saved with curl -o favicon.ico in an isolated environment), not a copy exported by an image editor or a screenshot.Giải mã thành tệp PNG có kích thước 108 byte. Giá trị băm mmh3 là 2033577382, do đó truy vấn Shodan là http.favicon.hash:2033577382; giá trị MD5 687bba8c4cd9980ec195986b32ee42cb được sử dụng trong các truy vấn ZoomEye và Censys.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Định dạng dòng | Định dạng được phát hiện (PNG, ICO, GIF, JPEG, BMP, WebP, SVG hoặc định dạng không xác định) và kích thước tính bằng byte. |
| Xem trước | Các định dạng hình ảnh được hiển thị dưới dạng bản xem trước 32 pixel, để bạn có thể xác nhận đó có phải là biểu tượng mà bạn muốn tạo mã băm hay không. |
| Cảnh báo về trang HTML | Các byte này là một trang web, không phải biểu tượng. Các máy chủ thường trả về trang lỗi khi không tìm thấy tệp /favicon.ico, và giá trị băm của nó chỉ dẫn đến chính trang đó. |
| Shodan / Băm FOFA | Giá trị MurmurHash3 của biểu tượng được mã hóa Base64, được biểu diễn dưới dạng số 32-bit có dấu. Các giá trị âm là bình thường. |
| Giá trị MD5 của tệp | Được sử dụng trong các truy vấn ZoomEye và Censys. |
| Giá trị SHA-256 của tệp | Xác định chính xác tệp tin, rất hữu ích trong các báo cáo và để đối chiếu với các bản sao mà bạn đã thu thập. |
| Các truy vấn tìm kiếm | Shodan http.favicon.hash, FOFA icon_hash, ZoomEye iconhash và hai biểu mẫu của Censys. Hầu hết các công cụ tìm kiếm này đều yêu cầu tài khoản miễn phí để hiển thị kết quả. |
| Quy tắc "bytes giống hệt" | Một biểu tượng đã được thay đổi kích thước, nén lại hoặc chuyển đổi sẽ tạo ra một giá trị băm khác, do đó việc không khớp có thể chỉ đơn thuần là do các byte khác nhau. |
Các ví dụ khác
Một biểu tượng SVG nhỏ dưới dạng data: URI
data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciIHZpZXdCb3g9IjAgMCAxNiAxNiI+PHJlY3Qgd2lkdGg9IjE2IiBoZWlnaHQ9IjE2IiBmaWxsPSIjMGEwIi8+PC9zdmc+Dữ liệu Base64 đã dán, 108 B, SVG. Giá trị băm mmh3 là -1417999905, do đó truy vấn Shodan là http.favicon.hash:-1417999905 và FOFA trả về icon_hash="-1417999905"; giá trị MD5 10a8f1de4d94f66724532d5315194e33 được sử dụng trong các truy vấn ZoomEye và Censys.
Một trang lỗi thay vì một biểu tượng
PGh0bWw+PGJvZHk+PGgxPjQwNCBOb3QgRm91bmQ8L2gxPjwvYm9keT48L2h0bWw+48 B, trang HTML, kèm theo cảnh báo rằng các byte này là một trang HTML, không phải biểu tượng. Giá trị mmh3 của nó, -1700126198, chỉ khớp với các máy chủ trả về cùng một trang.
Tên tệp thay vì mã Base64
favicon.icoKhông thể giải mã văn bản vừa dán: đây không phải là mã Base64 hợp lệ. Vui lòng dán mã Base64 của tệp biểu tượng, có hoặc không kèm tiền tố “data:”.
Câu hỏi thường gặp
Hàm băm của biểu tượng trang web Shodan được tính toán như thế nào?
Shodan lấy các byte thô của favicon, mã hóa chúng thành Base64 theo cách mà hàm `base64.encodebytes` của Python thực hiện (các dòng gồm 76 ký tự, mỗi dòng kết thúc bằng ký tự xuống dòng) và tính băm cho văn bản đó bằng thuật toán MurmurHash3 32-bit, hạt giống 0, kết quả được hiển thị dưới dạng số nguyên có dấu. Hàm icon_hash của FOFA sử dụng cùng giá trị này, trong khi các truy vấn của ZoomEye và Censys ở đây sử dụng giá trị MD5 của tệp.
Tại sao lệnh hash lại không tìm thấy gì, hoặc lại tìm thấy các máy chủ sai?
Nó chỉ so khớp với các máy chủ trả về các byte favicon hoàn toàn giống nhau, do đó một bản sao đã được thay đổi kích thước, lưu lại hoặc mã hóa lại sẽ cho ra giá trị khác, và một trang web có đường dẫn /favicon.ico trả về trang lỗi sẽ cho ra giá trị băm của trang đó. Các biểu tượng mặc định của các bảng điều khiển lưu trữ và khung công tác được chia sẻ bởi hàng nghìn trang web không liên quan đến nhau, do đó hãy coi các kết quả khớp là manh mối cần kiểm tra, chứ không phải bằng chứng về quyền sở hữu chung.
Công cụ này có tải favicon về hay gửi nó đi đâu không?
Không. Ứng dụng này sẽ tạo mã băm cho tệp hoặc chuỗi Base64 mà bạn cung cấp ngay trong trình duyệt và không thực hiện bất kỳ yêu cầu mạng nào. Các liên kết tìm kiếm chỉ mở Shodan, FOFA, ZoomEye hoặc Censys trong một tab mới khi bạn nhấp vào chúng, và các liên kết này chỉ chứa mã băm.
Tại sao giá trị băm lại là một số âm?
Shodan báo cáo rằng MurmurHash3 là một số nguyên 32-bit có dấu, do đó khoảng một nửa số biểu tượng sẽ có giá trị âm. Hãy giữ lại dấu trừ; nếu không có dấu trừ này, quá trình tìm kiếm sẽ tìm đến một biểu tượng khác.
Các nhà điều tra sử dụng mã băm favicon như thế nào?
Các bộ công cụ lừa đảo (phishing kits) thường tái sử dụng cùng một tệp biểu tượng trên mọi bản sao của một trang web giả mạo. Việc tìm kiếm giá trị băm (hash) của tệp đó trên Shodan hoặc FOFA có thể giúp phát hiện các máy chủ khác đang chạy cùng bộ công cụ đó, và sau đó bạn có thể kiểm tra từng máy chủ một.
Tôi có thể chèn một biểu tượng từ mã HTML của một trang web không?
Đúng vậy, nếu trang web nhúng biểu tượng dưới dạng URI “data:”, hãy dán toàn bộ giá trị đó vào; tiền tố sẽ được loại bỏ trước khi giải mã. Còn biểu tượng được liên kết qua URL thì phải được lưu thành tệp trước, vì công cụ này không tải về bất kỳ nội dung nào.
Tại sao cùng một trang web lại cho ra một giá trị băm khác vào một ngày khác?
Các trang web thay đổi biểu tượng của mình, và một số máy chủ gửi các byte khác nhau cho các người truy cập khác nhau, ví dụ như gửi một trang web vô hại cho các công cụ quét. Mỗi phiên bản đều có mã băm riêng, vì vậy hãy ghi lại ngày tháng và cách bạn lấy được biểu tượng đó.