Tính toán giá trị băm favicon mmh3 của một trang web bằng các truy vấn sẵn có trên Shodan, FOFA, ZoomEye và Censys.
Mới
Trình giải mã chứng chỉ X.509
Chạy cục bộMới
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Trình giải mã chứng chỉ X.509
Chức năng của nó là gì?
Dán chứng chỉ PEM hoặc chuỗi chứng chỉ, hoặc kéo thả tệp .crt, .cer, .der hoặc .p7b để xem tất cả các tên mà chứng chỉ đó bao phủ, đơn vị cấp phát, thời hạn hiệu lực và các dấu vân tay của chứng chỉ, kèm theo các liên kết crt.sh cho từng tên.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Trình giải mã chứng chỉ X.509
- Nhận chứng chỉ. Hãy tải xuống từ mục crt.sh trên trang web đó, hoặc chạy lệnh `openssl s_client -showcerts` trong một môi trường cách ly. Bạn không cần phải truy cập vào trang web đáng ngờ đó.
- Dán hoặc kéo thả vào đây. Dán nội dung văn bản PEM (nếu có, hãy dán toàn bộ chuỗi) và nhấn “Giải mã”, hoặc kéo thả tệp .pem, .crt, .cer, .der hoặc .p7b để giải mã ngay lập tức.
- Đọc các huy hiệu và lá cờ. Mỗi chứng chỉ đều hiển thị trạng thái, mức độ xác thực và các cảnh báo như đã hết hạn, chứng chỉ tự ký hoặc tên Punycode.
- Kiểm tra các tên. Danh sách Tên thay thế của chủ thể (Subject Alternative Names) liệt kê tất cả các tên miền, địa chỉ IP và địa chỉ email mà chứng chỉ này bao phủ, kèm theo một liên kết tìm kiếm trên crt.sh cho từng mục.
- Trục xoay. Sử dụng các liên kết dấu vân tay SHA-256 hoặc khóa công khai để tìm chứng chỉ hoặc khóa tương ứng trên crt.sh. Chức năng “Gửi đến” sẽ chuyển các tên miền DNS đến Trình chuyển đổi IOC, Trình chuyển đổi danh sách chặn, Trình tạo báo cáo lạm dụng hoặc URL Defanger.
Ví dụ
Giấy chứng nhận kiểm tra cho example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Được tạo bằng OpenSSL cho trang này: tám mục SAN bao gồm *.example.com, www.example.net và 192.0.2.10, một chính sách DV, hai SCT nhúng và cơ quan cấp chứng chỉ gốc Example Test Root CA. Chứng chỉ này có hiệu lực từ ngày 1 tháng 1 đến ngày 1 tháng 4 năm 2026, do đó hiện được hiển thị là đã hết hạn.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Biểu tượng trạng thái | Còn hiệu lực với số ngày còn lại, đã hết hạn hoặc chưa có hiệu lực. Một chứng chỉ hợp lệ chỉ chứng minh rằng ai đó đã kiểm soát tên miền tại thời điểm chứng chỉ được cấp, chứ không chứng minh rằng trang web đó là đáng tin cậy. |
| Mức độ xác thực | DV, OV, IV hoặc EV, được ghi trong các chính sách chứng chỉ. DV có nghĩa là chỉ việc kiểm tra quyền kiểm soát tên miền đã được thực hiện. |
| Tự ký | Không có cơ quan chứng nhận công khai nào xác nhận tính hợp lệ của nó, do đó các trình duyệt sẽ hiển thị cảnh báo. |
| Cơ quan cấp thẻ DV miễn phí | Let's Encrypt, ZeroSSL, Google Trust Services hoặc cPanel AutoSSL. Chỉ xét về bối cảnh: cả các trang web hợp pháp lẫn các trang web lừa đảo đều sử dụng chúng. |
| Ký tự đại diện và số lượng tên | Các tên sử dụng ký tự đại diện được ghi chú; việc có 25 tên trở lên trong một chứng chỉ thường thấy ở các chứng chỉ CDN, chứng chỉ lưu trữ hoặc chứng chỉ số lượng lớn. |
| Tên Punycode | Các tên có dạng "xn--" đã được đánh dấu để bạn có thể kiểm tra xem chúng có chứa các ký tự trông giống nhau hay không. |
| Chữ ký hoặc khóa yếu | Các chữ ký SHA-1 hoặc MD5 và các khóa RSA có độ dài dưới 2048 bit sẽ gây ra cảnh báo. |
| Dấu thời gian CT | Các SCT được nhúng cho biết thời điểm chứng chỉ được ghi lại công khai; thời điểm sớm nhất là gần với thời điểm cấp chứng chỉ. |
| Đơn hàng theo chuỗi | Trong một chuỗi được ghép nối, mỗi chứng chỉ được liên kết với chứng chỉ tiếp theo dựa trên tên tổ chức cấp chứng chỉ và mã định danh khóa. Các chữ ký không được xác minh. |
| Các thuộc tính về chủ thể và tổ chức phát hành | Các trường thông tin về tổ chức, quốc gia và các trường tên khác cho cả hai bên. Trên các chứng chỉ được công chúng tin cậy, tên tổ chức chỉ xuất hiện trong các chứng chỉ OV và EV; còn chứng chỉ DV chỉ ghi tên miền. |
Các ví dụ khác
Chứng chỉ thử nghiệm tự ký
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Truy cập vào trang login.example.net (tên miền đã được ẩn thông tin nhạy cảm) bằng một chứng chỉ đã hết hạn kèm theo ba cảnh báo: đã hết hạn (2026-09-30T00:00:00Z), tự ký, và tên punycode là xn--exmple-cua.example. Khóa EC P-256, thời hạn 29 ngày, không có SCT, 2 tên SAN kèm theo liên kết crt.sh.
Dán tên miền thay vì chứng chỉ
example.comChỉ có thông báo “Không tìm thấy khối PEM (-----BEGIN CERTIFICATE-----).”
Câu hỏi thường gặp
Bộ giải mã đọc được những thông tin gì từ chứng chỉ?
Nó phân tích cấu trúc DER một cách nghiêm ngặt và hiển thị phiên bản, số sê-ri, thuật toán ký, các thuộc tính chủ thể và nhà phát hành, thời hạn hiệu lực, loại và kích thước khóa công khai, cùng các phần mở rộng: tên SAN, mục đích sử dụng khóa, chính sách (DV, OV, EV), địa chỉ CRL và OCSP, cũng như các dấu thời gian CT được nhúng. Các dấu vân tay SHA-1, SHA-256 và khóa công khai được tính toán bằng Web Crypto.
Nó có kiểm tra xem chứng chỉ đó có đáng tin cậy hay đã bị thu hồi không?
Không. Nó không xác minh chữ ký, không xây dựng đường dẫn đến gốc tin cậy cũng như không truy vấn OCSP và CRL; nó chỉ so sánh tên của đơn vị cấp chứng chỉ và chủ thể cùng các định danh khóa để xác định xem chuỗi chứng chỉ có đúng thứ tự hay không. Các dấu hiệu như đơn vị cấp chứng chỉ DV miễn phí hoặc tên có ký tự đại diện là cơ sở để điều tra, chứ không phải là kết luận cuối cùng.
Giấy chứng nhận có được gửi đi đâu không?
Không. Quá trình giải mã và xác định dấu vân tay được thực hiện ngay trong trình duyệt của bạn. Các nút crt.sh là các liên kết sẽ mở trang crt.sh trong một tab mới với dấu vân tay hoặc tên được hiển thị trong thanh địa chỉ, và chỉ khi bạn nhấp vào chúng.
Tại sao lại phải kiểm tra chứng chỉ của một trang web lừa đảo?
Danh sách SAN của nó có thể liệt kê các tên miền khác thuộc cùng một chiến dịch, và dấu vân tay hoặc khóa công khai của nó có thể được tìm kiếm trên crt.sh để tìm các chứng chỉ liên quan. Ngày bắt đầu hiệu lực cũng cho biết thời điểm trang web được thiết lập.
Tôi có thể dán chứng chỉ đã sao chép từ tệp nhật ký JSON được không?
Đúng vậy. Văn bản PEM chứa các chuỗi \n nguyên văn sẽ được gỡ mã thoát trước tiên, và định dạng Base64 thuần túy hoặc định dạng DER thập lục phân không có dòng BEGIN cũng được chấp nhận.
Nếu tôi dán khóa riêng tư hoặc CSR thì sao?
Cả hai đều không được giải mã. Khi sử dụng khóa riêng, người dùng sẽ nhận được cảnh báo không nên dán khóa vào các trang web, còn yêu cầu ký chứng chỉ thì bị bỏ qua kèm theo một lưu ý.
Nó có đọc được các gói .p7b không?
Đúng vậy. Gói PKCS#7 sẽ được giải nén, một thông báo sẽ cho biết có bao nhiêu chứng chỉ đã được trích xuất, và mỗi chứng chỉ sẽ được hiển thị theo thứ tự. Mỗi lần chạy sẽ hiển thị tối đa 20 chứng chỉ.