ZH
ENARDEESFAFRHEHIIDITJAKONLPLPT-BRRORUTHTLTRUKVIZH

文件与页面

X.509 证书解码器

本地运行新增

该工具本身是英文的；本页面将用您的语言对它进行说明。

使用 X.509 证书解码器

功能介绍

粘贴 PEM 证书或证书链，或拖入 .crt、.cer、.der 或 .p7b 文件，即可查看它涵盖的每个名称、颁发者、有效期和指纹，并为每个名称提供 crt.sh 链接。

它完全在您的浏览器中运行：您输入的任何内容都不会被上传。

如何使用X.509 证书解码器

  1. 获取证书. 从该网站的 crt.sh 条目下载，或在隔离环境中运行 openssl s_client -showcerts。你不需要访问可疑页面。
  2. 粘贴或拖入. 粘贴 PEM 文本（如有完整证书链，可整条粘贴）并按 Decode（解码），或拖入 .pem、.crt、.cer、.der 或 .p7b 文件，文件会被立即解码。
  3. 阅读徽标和标记. 每张证书都会显示其状态、验证级别以及过期、自签名或 Punycode 名称等警告。
  4. 检查名称. Subject Alternative Names 列出证书涵盖的每个域名、IP 地址和电子邮件地址，并为每一项提供 crt.sh 搜索链接。
  5. 关联分析. 使用 SHA-256 或公钥指纹链接，在 crt.sh 上查找相同的证书或密钥。Send to（发送到）会把 DNS 名称转交给 IOC Converter（IOC 转换器）、Blocklist Converter（屏蔽列表转换器）、Abuse Report Generator（滥用举报生成器）或 URL Defanger（URL 无害化工具）。

示例

example.com 的测试证书

输入
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
输出（捕获于2026-10-20）
example[.]com

expired
DV: domain validated

Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…

为本页面用 OpenSSL 生成：八个 SAN 条目，包括 *.example.com、www.example.net 和 192.0.2.10，一个 DV 策略，两个嵌入的 SCT，颁发者为 Example Test Root CA。它的有效期为 2026 年 1 月 1 日至 4 月 1 日，因此显示为已过期。

检查内容

信号其含义
状态徽标有效并显示剩余天数、已过期或尚未生效。有效的证书只能说明签发时有人控制着该域名，不能说明网站是正当的。
验证级别DV、OV、IV 或 EV，从证书策略中读取。DV 表示只验证了对域名的控制权。
自签名没有任何公共证书颁发机构为其担保，因此浏览器会显示警告。
免费 DV 颁发者Let's Encrypt、ZeroSSL、Google Trust Services 或 cPanel AutoSSL。仅作背景信息：正规网站和钓鱼网站都会使用它们。
通配符与名称数量通配符名称会被注明；一张证书包含 25 个或更多名称，是 CDN、托管或批量证书的典型特征。
Punycode 名称xn-- 名称会被标记，便于你检查其中是否有形似字母。
弱签名或弱密钥SHA-1 或 MD5 签名以及小于 2048 位的 RSA 密钥会给出警告。
CT 时间戳嵌入的 SCT 显示证书何时被公开记录；最早的一个接近签发时间。
证书链顺序在粘贴的证书链中，每张证书会根据颁发者名称和密钥标识符与下一张匹配。签名不会被验证。
主体和颁发者属性双方的组织、国家和其他名称字段。在公开受信任的证书中，组织名称只出现在 OV 和 EV 证书中；DV 证书只写明域名。

更多示例

自签名的测试证书

输入
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----
结果

标题为 login.example.net（名称以无害化形式显示），带有已过期徽标和三条警告：已过期（2026-09-30T00:00:00Z）、自签名，以及 Punycode 名称 xn--exmple-cua.example。密钥为 EC P-256，有效期 29 天，没有 SCT，有 2 个 SAN 名称并附 crt.sh 链接。

粘贴了域名而非证书

输入
example.com
结果

只显示提示 “No PEM block (-----BEGIN CERTIFICATE-----) found.”（未找到 PEM 块）。

常见问题解答

解码器会从证书中读取什么？

它严格解析 DER 结构，并显示版本、序列号、签名算法、主体和颁发者属性、有效期、公钥类型和长度，以及各项扩展：SAN 名称、密钥用途、策略（DV、OV、EV）、CRL 和 OCSP 地址以及嵌入的 CT 时间戳。SHA-1、SHA-256 和公钥指纹通过 Web Crypto 计算。

它会检查证书是否受信任或已被吊销吗？

不会。它不验证签名，不构建到受信任根证书的路径，也不查询 OCSP 和 CRL；它只比较颁发者和主体名称以及密钥标识符，以判断证书链的顺序是否正确。免费 DV 颁发者或通配符名称之类的标记只是调查的背景信息，而不是结论。

证书会被发送到任何地方吗？

不会。解码和指纹计算在你的浏览器中运行。crt.sh 按钮只是链接，只有在你点击时，才会在新标签页中打开地址中带有指纹或名称的 crt.sh。

为什么要查看钓鱼网站的证书？

它的 SAN 列表可能列出同一活动的其他域名，而它的指纹或公钥可以在 crt.sh 上搜索，以找到相关证书。有效期的开始时间也能提示网站是何时搭建的。

可以粘贴从 JSON 日志中复制的证书吗？

可以。带有字面 \n 序列的 PEM 文本会先被反转义，不带 BEGIN 行的单纯 Base64 或十六进制 DER 也可以接受。

如果我粘贴了私钥或 CSR 会怎样？

两者都不会被解码。私钥会触发警告，提醒不要把密钥粘贴到网页中；证书签名请求（CSR）会被跳过并附上说明。

它能读取 .p7b 证书包吗？

可以。PKCS#7 证书包会被解开，并提示提取了多少张证书，然后按顺序逐一显示。每次运行最多显示 20 张证书。

术语说明

PhishDestroy 研究

下一步: IOC 转换器 — 将 IOC 列表转换为 STIX 2.1、MISP JSON、CSV、Suricata 规则或 YARA 骨架。

  • Favicon 哈希（mmh3）

    计算网站的 mmh3 favicon 哈希，并提供现成的 Shodan、FOFA、ZoomEye 和 Censys 查询。

    新增

  • 文件类型识别

    根据魔数识别文件，并标记与真实格式不符的扩展名。

    新增

  • 同形字符检查器

    识别仿冒域名：Punycode 与 Unicode、混用文字以及 UTS #39 易混淆字符。

    新增

  • 仿冒域名生成器

    生成域名的 dnstwist 风格拼写抢注变体，并检查哪些能在 DNS 中解析。

    联网: DoH新增

  • DNS over HTTPS 查询

    通过 DNS over HTTPS 解析 A、AAAA、MX、TXT、NS、CNAME、CAA 和 SOA 记录。

    联网: DoH

  • IOC 转换器

    将 IOC 列表转换为 STIX 2.1、MISP JSON、CSV、Suricata 规则或 YARA 骨架。

    新增

浏览所有161种工具