उपयोग कैसे करें
- एक हैश पेस्ट करें। 0x, sha256= या sha384- जैसे लेबल हटा दें, लेकिन पासवर्ड हैश को पूरा रखें, शुरुआती $, { या * समेत।
- परिणाम पढ़ें: पहचाना गया रूप और बिट में उसका आकार, फिर संभावित एल्गोरिदम की सूची, जिसमें सबसे संभावित विकल्प अलग से चिह्नित रहते हैं। अगर स्ट्रिंग में यह जानकारी हो, तो bcrypt का कॉस्ट फ़ैक्टर, या sha256crypt, sha512crypt और PBKDF2 के राउंड भी दिखाए जाते हैं।
- MD5, SHA-1, SHA-256, SHA-512, CRC-32 और CRC-32C उम्मीदवारों के लिए “टूल खोलें” आपको संबंधित कैलकुलेटर पर ले जाता है।
- अगर आप मूल टेक्स्ट जानते हैं या उसका अनुमान है, तो उसे “टेक्स्ट से जाँचें” में टाइप करें और देखें कि कौन-सा एल्गोरिदम वही हैश दोबारा बनाता है।
हैश की पहचान कैसे होती है
हर हैश एल्गोरिदम का आउटपुट आकार तय होता है, और हेक्स हर बाइट के लिए दो अक्षर इस्तेमाल करता है, इसलिए हेक्स स्ट्रिंग की लंबाई सबसे मज़बूत सुराग है। टूल कैरेक्टर सेट भी जाँचता है और उन प्रीफ़िक्स को खोजता है जो पासवर्ड हैश फ़ॉर्मैट शुरुआत में लगाते हैं।
| हेक्स अक्षर | बिट | आम एल्गोरिदम |
|---|---|---|
| 8 | 32 | CRC-32, CRC-32C, Adler-32 |
| 32 | 128 | MD5, NTLM, MD4 |
| 40 | 160 | SHA-1, RIPEMD-160 |
| 56 | 224 | SHA-224, SHA3-224 |
| 64 | 256 | SHA-256, SHA3-256, BLAKE2s, Keccak-256 |
| 96 | 384 | SHA-384, SHA3-384 |
| 128 | 512 | SHA-512, SHA3-512, BLAKE2b, Whirlpool |
केवल लंबाई से फ़ैसला नहीं हो सकता, क्योंकि अच्छा हैश रैंडम डेटा जैसा दिखता है और उसमें उसके एल्गोरिदम का कोई निशान नहीं होता। 32 अक्षरों का मान MD5, MD4 या NTLM हो सकता है; NTLM वह हैश है जिसे Windows अकाउंट पासवर्ड के लिए इस्तेमाल करता है (UTF-16LE में पासवर्ड का MD4)। इसलिए टूल उम्मीदवारों को इस आधार पर क्रम देता है कि वे कितने आम हैं: पहले MD5, या जब हैश पूरी तरह बड़े अक्षरों में हो तो पहले NTLM, क्योंकि Windows के कुछ पासवर्ड-डंपिंग टूल उसे इसी तरह प्रिंट करते हैं। इसी तरह, Ethereum का Keccak-256 और मानकीकृत SHA3-256 केवल पैडिंग में अलग हैं, फिर भी दोनों 64 हेक्स अक्षर देते हैं।
Base64 डाइजेस्ट और पासवर्ड हैश फ़ॉर्मैट
कुछ सिस्टम डाइजेस्ट को हेक्स के बजाय Base64 में लिखते हैं: 16 बाइट के लिए 24 अक्षर (MD5, जैसे Content-MD5 हेडर में), SHA-1 के लिए 28, SHA-256 के लिए 44, SHA-384 के लिए 64 (जैसे Subresource Integrity एट्रिब्यूट में) और SHA-512 के लिए 88। टूल लंबाई को वापस बाइट में बदलता है और वही उम्मीदवार दिखाता है। गायब पैडिंग और URL-सुरक्षित अक्षर स्वीकार किए जाते हैं, लेकिन sha384- जैसा प्रीफ़िक्स पहले हटा दें।
पासवर्ड हैश फ़ॉर्मैट अपना परिचय ख़ुद देते हैं: एक प्रीफ़िक्स एल्गोरिदम का नाम बताता है, और सॉल्ट व कॉस्ट सेटिंग स्ट्रिंग के अंदर ही लिखी होती हैं। आधुनिक फ़ॉर्मैट सॉल्ट वाले और जान-बूझकर धीमे होते हैं; आख़िरी दो पंक्तियों के LDAP और MySQL फ़ॉर्मैट तेज़ SHA-1 पर आधारित हैं, और उनमें से केवल {SSHA} सॉल्ट जोड़ता है।
| शुरुआत | फ़ॉर्मैट | आमतौर पर कहाँ मिलता है |
|---|---|---|
$2a$, $2b$, $2y$ | bcrypt, हमेशा 60 अक्षर; अगले दो अंक कॉस्ट फ़ैक्टर हैं, और हर चरण काम को दोगुना करता है | वेब फ़्रेमवर्क, PHP password_hash() |
$argon2id$ | मेमोरी (m), समय (t) और पैरललिज़्म (p) सेटिंग वाला Argon2id | आधुनिक एप्लिकेशन; OWASP द्वारा अनुशंसित |
$6$, $5$ | sha512crypt, sha256crypt, वैकल्पिक rounds= के साथ | Linux पर /etc/shadow |
$y$ | yescrypt | कई मौजूदा Linux डिस्ट्रीब्यूशन पर /etc/shadow |
$1$, $apr1$ | md5crypt, Apache MD5 | पुराने Unix सिस्टम, .htpasswd |
pbkdf2_sha256$ | इटरेशन संख्या सहित PBKDF2-SHA256 | Django |
{SHA}, {SSHA} | SHA-1, सॉल्ट वाला SHA-1 | LDAP डायरेक्टरी |
* और 40 हेक्स अंक | MySQL 4.1+ PASSWORD() | MySQL यूज़र टेबल |
पहचानना क्रैक करना नहीं है
हैश एकतरफ़ा होता है। आइडेंटिफ़ायर केवल स्ट्रिंग की बनावट देखता है: वह इनपुट को न दिखा सकता है, न डिक्रिप्ट कर सकता है और न कहीं खोज सकता है, और वह किसी सर्वर या ऑनलाइन डेटाबेस को कुछ नहीं भेजता। इनपुट पता करने का एकमात्र तरीक़ा है संभावित इनपुट का अनुमान लगाना और हर एक का हैश बनाना, और एल्गोरिदम पता चल जाने के बाद hashcat और John the Ripper जैसे पासवर्ड-रिकवरी टूल यही करते हैं। bcrypt और Argon2 जैसे सॉल्ट वाले, धीमे फ़ॉर्मैट इसीलिए बने हैं कि यह अनुमान लगाना महँगा पड़े। केवल उन्हीं हैश की जाँच करें जिन पर काम करने की आपको अनुमति है।
टेक्स्ट से जाँचें एक ख़ास अनुमान की जाँच करता है। यह आपके टाइप किए गए टेक्स्ट को UTF-8 के रूप में MD5, SHA-1, SHA-256, SHA-384, SHA-512, CRC-32 और CRC-32C से हैश करता है, और बताता है कि कौन-सा परिणाम हैश के बराबर है, चाहे हैश किसी भी केस के हेक्स में लिखा हो या Base64 में। यह सॉल्ट वाले पासवर्ड हैश या HMAC की पुष्टि नहीं कर सकता, क्योंकि वे सॉल्ट या सीक्रेट कुंजी पर भी निर्भर करते हैं; कुंजी वाले मान के लिए कुंजी के साथ HMAC जनरेटर का उपयोग करें।
अक्सर पूछे जाने वाले प्रश्न
क्या यह टूल मुझे मूल टेक्स्ट या पासवर्ड बता सकता है?
नहीं। यह केवल संभावित एल्गोरिदम का नाम बताता है। हैश फ़ंक्शन को उलटा नहीं जा सकता; ऑनलाइन "हैश डिक्रिप्टर" आम शब्दों और लीक हुए पासवर्ड के हैश की तालिकाओं में मान खोजते हैं, जो केवल कमज़ोर, बिना सॉल्ट वाले इनपुट के लिए काम करता है।
एक हैश के लिए कई एल्गोरिदम क्यों दिखाए जाते हैं?
एक जैसे आउटपुट आकार वाले एल्गोरिदम एक ही लंबाई और कैरेक्टर सेट की स्ट्रिंग बनाते हैं, और हैश के अंदर कहीं दर्ज नहीं होता कि कौन-सा एल्गोरिदम इस्तेमाल हुआ। हर एल्गोरिदम कितना आम है, इसके आधार पर सबसे संभावित उम्मीदवार को सबसे पहले चिह्नित किया जाता है। पक्का करने के लिए किसी ज्ञात इनपुट से हैश दोबारा निकालें।
क्या 32 अक्षरों की हेक्स स्ट्रिंग हमेशा MD5 होती है?
आमतौर पर, लेकिन हमेशा नहीं। NTLM, MD4, MD2 और RIPEMD-128 भी इतनी ही लंबाई देते हैं, और हेक्स में लिखा कोई भी 128-बिट मान भी, जैसे बिना डैश वाला UUID या कोई रैंडम टोकन। संदर्भ से फ़ैसला होता है: Windows पासवर्ड हैश का मतलब NTLM है, फ़ाइल चेकसम का मतलब MD5।
“टेक्स्ट से जाँचें” कोई मेल क्यों नहीं ढूँढ़ पाता?
echo एक न्यूलाइन जोड़ देता है, जब तक आप echo -n या printf का उपयोग न करें), अलग स्पेसिंग या अक्षरों का केस, UTF-8 के अलावा किसी दूसरी एनकोडिंग में हैश किया गया टेक्स्ट, पासवर्ड हैश और HMAC की तरह कोई सॉल्ट या कुंजी, या कोई ऐसा एल्गोरिदम जो इस जाँच में शामिल नहीं है, जैसे SHA-3, BLAKE2 या NTLM।क्या यहाँ पासवर्ड हैश पेस्ट करना सुरक्षित है?
विश्लेषण पूरी तरह आपके ब्राउज़र में चलता है और हैश न भेजा जाता है, न सहेजा जाता है। फिर भी, किसी असली सिस्टम का पासवर्ड हैश जिसके पास भी हो, वह ऑफ़लाइन अनुमान आज़मा सकता है, इसलिए ऐसे हैश को संवेदनशील मानें और उन्हें टिकट, चैट और स्क्रीनशॉट से दूर रखें।