Nhận diện loại hash online: đoán thuật toán từ hình dạng chuỗi
Hash Identifier giúp bạn biết một chuỗi hash nhiều khả năng được tạo bằng thuật toán nào: MD5, SHA-1, SHA-256, NTLM, bcrypt, Argon2, sha512crypt, PHPass của WordPress, PBKDF2 của Django hay MySQL PASSWORD(). Công cụ đọc độ dài, bảng ký tự, tiền tố và cấu trúc của chuỗi, xếp hạng các khả năng kèm lý do cụ thể, hỗ trợ dán nhiều dòng cùng lúc và không bao giờ thử dò ngược mật khẩu.
Tính năng nổi bật
- Nhận diện hơn 40 định dạng: MD5, SHA-1, SHA-224/256/384/512, SHA-3, NTLM, LM, CRC32, bcrypt, Argon2, scrypt, yescrypt, sha512crypt, sha256crypt, md5crypt, APR1
- Đọc định dạng của framework và phần mềm: Django PBKDF2, PHPass của WordPress và phpBB, WordPress 6.8, MySQL 4.1+ và MySQL 3.23, LDAP {SSHA}, Cisco type 8 và 9
- Bóc tách tham số: cost của bcrypt, bộ nhớ và số vòng của Argon2, số vòng của sha512crypt và Django, muối của các định dạng crypt
- Nhận ra chuỗi không phải hash như UUID, JWT, địa chỉ Ethereum và giải thích vì sao
- Giải base64 để tính số byte thật, nhận ra SHA-256 hoặc MD5 được viết dạng base64
- Xếp hạng mọi ứng viên theo mức phù hợp, ghi rõ lý do và mã chế độ hashcat tương ứng để tra cứu
- Chế độ nhiều dòng tới 1.000 hash, có bảng tổng hợp số lượng theo từng loại
- Chạy hoàn toàn trong trình duyệt, không gửi hash đi đâu
Khi nào cần xác định loại hash
Lập trình viên nhận bàn giao một cơ sở dữ liệu cũ và cần biết cột mật khẩu đang dùng thuật toán gì để viết mã đăng nhập tương thích hoặc lên kế hoạch nâng cấp lên bcrypt, Argon2. Quản trị viên chuyển website WordPress, Joomla sang hệ thống mới và cần biết hash cũ có dùng lại được không. Người làm kiểm thử bảo mật có văn bản cho phép cần phân loại nhanh hàng trăm hash thu được trong phạm vi hợp đồng. Sinh viên an toàn thông tin muốn hiểu vì sao cùng một mật khẩu lại cho ra những chuỗi khác nhau. Trong mọi trường hợp đó, biết đúng định dạng là bước đầu tiên, và công cụ này trả lời câu hỏi đó trong vài giây kèm lý do rõ ràng thay vì chỉ một cái tên.
Lợi ích khi sử dụng
- Biết ngay hệ thống cũ đang lưu mật khẩu an toàn hay đang dùng MD5, SHA-1 không muối cần nâng cấp gấp
- Tiết kiệm thời gian khi chuyển dữ liệu người dùng giữa các nền tảng như WordPress, Django, Laravel
- Hiểu vì sao chỉ nhìn chuỗi thì không bao giờ chắc chắn tuyệt đối, tránh kết luận sai
- Phân loại hàng loạt hash trong một lần dán thay vì kiểm tra từng dòng
- Không phải cài công cụ dòng lệnh hay gửi dữ liệu nhạy cảm lên dịch vụ lạ
Cách nhận diện loại hash online
- 1Dán một chuỗi hash vào ô bên trái, hoặc bấm một trong các nút mẫu để xem công cụ phân tích một hash có thật.
- 2Đọc câu kết luận ở đầu phần kết quả: gần như chắc chắn, nhiều khả năng hay độ tin cậy thấp.
- 3Xem danh sách ứng viên được xếp hạng; mỗi ứng viên có thanh mức độ phù hợp, lý do cụ thể và mã chế độ hashcat để tra thêm tài liệu.
- 4Đọc phần chi tiết để biết tham số bóc được từ chuỗi như cost của bcrypt, số vòng lặp, muối.
- 5Để phân tích hàng loạt, dán mỗi hash một dòng; bảng tổng hợp cho biết có bao nhiêu hash thuộc từng loại, bấm vào một dòng để xem chi tiết.
- 6Nếu bạn có chuỗi gốc, hãy tính lại bằng Hash Calculator hoặc Bcrypt Hash Generator và so sánh để xác nhận chắc chắn.
Nhận diện hash là việc đoán có cơ sở, không phải kết luận chắc chắn
Hàm băm được thiết kế để kết quả trông như chuỗi ngẫu nhiên, nên trong đầu ra không có dấu hiệu nào cho biết thuật toán đã dùng. Công cụ chỉ dựa vào những gì nhìn thấy được: độ dài, bảng ký tự và cấu trúc. Một chuỗi 32 ký tự hex có thể là MD5, NTLM, MD4 hay nửa đầu của một hash dài hơn; MD5 và NTLM của Windows cho ra cùng độ dài, cùng bảng ký tự, không cách nào phân biệt chỉ bằng chuỗi. Tương tự, SHA-256 và SHA3-256 đều là 64 ký tự hex. Vì vậy mức độ phù hợp mà công cụ hiển thị chỉ là thứ hạng tương đối giữa các khả năng, dựa trên việc thuật toán nào phổ biến hơn trong thực tế, không phải xác suất đo được. Manh mối quyết định thường nằm ngoài chuỗi: hash lấy từ đâu, phần mềm nào tạo ra, cột dữ liệu tên gì.
Định dạng có tiền tố thì nhận diện gần như chắc chắn
Các thuật toán băm mật khẩu hiện đại lưu kèm tên thuật toán và tham số ngay trong chuỗi theo kiểu Modular Crypt Format hoặc PHC. Chuỗi bắt đầu bằng $2a$, $2b$ hay $2y$ là bcrypt, hai chữ số tiếp theo là cost; $argon2id$ là Argon2id kèm bộ nhớ m, số vòng t và số luồng p; $6$ là sha512crypt trong tệp /etc/shadow của Linux, $5$ là sha256crypt, $1$ là md5crypt, $y$ là yescrypt mặc định trên Debian và Ubuntu đời mới. WordPress trước bản 6.8 dùng PHPass bắt đầu bằng $P$, Django dùng pbkdf2_sha256$ theo sau là số vòng lặp. Với những định dạng này công cụ cho mức phù hợp rất cao vì cấu trúc gần như không trùng với thứ gì khác.
Bảng độ dài hash hex thường gặp
8 ký tự hex (32 bit) thường là CRC32, dùng để kiểm tra lỗi chứ không phải bảo mật. 16 ký tự (64 bit) có thể là MySQL OLD_PASSWORD() hoặc CRC64. 32 ký tự (128 bit) là MD5, NTLM hoặc MD4. 40 ký tự (160 bit) là SHA-1, RIPEMD-160 hoặc mã commit Git. 56 ký tự là SHA-224 hoặc SHA3-224. 64 ký tự (256 bit) là SHA-256, SHA3-256, Keccak-256 của Ethereum hoặc HMAC-SHA256. 96 ký tự là SHA-384. 128 ký tự (512 bit) là SHA-512, SHA3-512, BLAKE2b hoặc Whirlpool. Ví dụ SHA-256 của chữ hello là 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824, MD5 của cùng chữ đó là 5d41402abc4b2a76b9719d911017c592; cả hai đều là mẫu có sẵn trong công cụ.
Hash không muối và vì sao cần nâng cấp
Nếu cột mật khẩu trong cơ sở dữ liệu của bạn là MD5, SHA-1 hay SHA-256 trần, tức chỉ có chuỗi hex mà không có muối và tham số, thì hai người dùng cùng mật khẩu sẽ có cùng hash, và các bảng tra sẵn trên mạng có thể dò ra mật khẩu phổ biến gần như tức thì. Các hàm băm này được thiết kế để chạy nhanh, rất tốt cho kiểm tra tệp nhưng lại là điểm yếu khi lưu mật khẩu. Hướng xử lý an toàn là chuyển sang bcrypt, Argon2id hoặc scrypt, và vì không đổi được hash cũ, hãy băm lại mật khẩu khi người dùng đăng nhập thành công lần tới hoặc bọc hash cũ bên trong thuật toán mới. Công cụ giúp bạn nhận ra tình trạng này ngay khi dán một dòng dữ liệu mẫu.
Chuỗi không phải hash mà hay bị nhầm
UUID như 550e8400-e29b-41d4-a716-446655440000 có ký tự hex nhưng là mã định danh, chữ số đầu nhóm thứ ba cho biết phiên bản; UUID v3 và v5 được sinh từ MD5 và SHA-1 của một tên nhưng đã bị cắt và chèn bit nên không dùng như hash được. JWT gồm ba đoạn base64url ngăn bởi dấu chấm, phần đầu và phần giữa đọc được bởi bất kỳ ai, hãy mở bằng JWT Decoder. Địa chỉ ví Ethereum có dạng 0x kèm 40 ký tự hex, thường trộn chữ hoa chữ thường để làm checksum. Chuỗi base64 bất kỳ có thể chỉ là dữ liệu được mã hóa (encode) chứ không phải băm. Công cụ nhận ra các trường hợp này và nói rõ đây không phải hash.
Sử dụng có trách nhiệm và giới hạn của công cụ
Công cụ chỉ đọc hình dạng của chuỗi và không bao giờ thử dò mật khẩu, không có từ điển, không gửi hash đi đâu. Hãy chỉ phân tích hash của hệ thống bạn sở hữu, được giao quản lý, hoặc được cho phép kiểm thử bằng văn bản; truy cập trái phép vào dữ liệu của người khác là vi phạm pháp luật. Về giới hạn: các định dạng tự chế của từng phần mềm, hash đã bị cắt ngắn, hash ghép muối theo thứ tự lạ hoặc hàm băm hiếm có thể không được nhận ra hoặc bị xếp hạng sai. Mã chế độ hashcat đi kèm chỉ để tra cứu tên gọi thống nhất. Muốn chắc chắn tuyệt đối, cách duy nhất là có chuỗi gốc và tính lại.
Câu hỏi thường gặp (FAQ)
Hash identifier online có biết chính xác 100% loại hash không?
Không công cụ nào làm được điều đó với hash không có tiền tố. Nhiều thuật toán cho ra chuỗi cùng độ dài và cùng bảng ký tự, ví dụ MD5 và NTLM. Với định dạng có tiền tố như bcrypt, Argon2, sha512crypt thì kết quả gần như chắc chắn.
Làm sao phân biệt MD5 và NTLM?
Chỉ nhìn chuỗi thì không phân biệt được, cả hai đều là 32 ký tự hex. Manh mối là nguồn gốc: hash lấy từ Windows, Active Directory, công cụ xuất hash Windows thì là NTLM; hash trong cơ sở dữ liệu web thường là MD5. Công cụ nâng hạng NTLM khi chuỗi in hoa toàn bộ, kiểu thường thấy trong dữ liệu xuất từ Windows.
Chuỗi bắt đầu bằng $2y$10$ là gì?
Đó là bcrypt với cost 10, tức 2^10 = 1.024 vòng lặp. Tiền tố $2y$ là cách PHP ghi phiên bản bcrypt, tương đương $2b$. Đây là định dạng mặc định của hàm password_hash trong PHP và Laravel.
Hash mật khẩu WordPress là loại gì?
WordPress trước bản 6.8 dùng PHPass, chuỗi dài 34 ký tự bắt đầu bằng $P$B. Từ bản 6.8, mật khẩu mới được lưu bằng bcrypt với tiền tố $wp$2y$. Công cụ nhận ra cả hai định dạng.
Chuỗi 64 ký tự hex là SHA-256 phải không?
Nhiều khả năng nhất là SHA-256, nhưng cũng có thể là HMAC-SHA256, SHA3-256, Keccak-256 của Ethereum hoặc BLAKE2s. Nếu có tiền tố 0x, khả năng Keccak-256 cao hơn.
Công cụ có giải mã hay dò ngược hash ra mật khẩu không?
Không. Hash là hàm một chiều, không giải mã được, và công cụ này cố ý không có chức năng dò mật khẩu. Nó chỉ cho biết định dạng để bạn xử lý dữ liệu của chính mình đúng cách.
Mã hashcat hiển thị bên cạnh để làm gì?
Đó là số hiệu chế độ trong tài liệu của hashcat, được cộng đồng dùng như tên gọi thống nhất cho từng định dạng. Bạn có thể dùng nó để tra thêm mô tả định dạng; công cụ không chạy hashcat.
Hash có muối ở dạng hash:salt được nhận ra không?
Có. Chuỗi gồm 32, 40 hoặc 64 ký tự hex, dấu hai chấm rồi phần muối được nhận là MD5, SHA-1 hoặc SHA-256 có muối. Tuy nhiên thứ tự ghép muối trước hay sau mật khẩu không đoán được từ chuỗi.
Có kiểm tra nhiều hash cùng lúc được không?
Được, dán mỗi hash một dòng, tối đa 1.000 dòng. Công cụ hiện bảng tổng hợp số lượng theo từng loại và danh sách từng dòng, bấm vào dòng nào để xem phân tích chi tiết của dòng đó.
Hash dạng base64 được xử lý thế nào?
Công cụ giải base64 để đếm số byte thật: 16 byte là MD5 hoặc NTLM, 20 byte là SHA-1, 32 byte là SHA-256, 64 byte là SHA-512. Chữ ký webhook của Shopify là ví dụ SHA-256 dạng base64.
Vì sao chuỗi của tôi báo không phải hash?
Chuỗi có khoảng trắng, chữ tiếng Việt có dấu, chữ cái ngoài a-f ở chuỗi tưởng là hex, hoặc độ dài không khớp định dạng nào. Có thể đó là mật khẩu gốc, dữ liệu được mã hóa bằng thuật toán hai chiều, token ngẫu nhiên hoặc định dạng riêng của một phần mềm.
Cost của bcrypt bao nhiêu là đủ?
Cost 10 đến 12 là mức phổ biến hiện nay; dưới 10 được xem là thấp, công cụ sẽ ghi chú khi gặp. Mỗi lần tăng cost thêm 1, thời gian băm tăng gấp đôi, nên hãy chọn mức làm mỗi lần đăng nhập mất khoảng vài trăm mili giây trên máy chủ của bạn.
Dán hash vào trang này có an toàn không?
Việc phân tích chạy hoàn toàn bằng JavaScript trong trình duyệt, không có yêu cầu mạng nào mang hash đi. Dù vậy, chỉ nên phân tích hash của hệ thống bạn được phép xử lý.
Từ khóa liên quan
- hash identifier online
- nhận diện loại hash
- kiểm tra loại hash
- hash type identifier
- identify hash type
- đây là hash gì
- md5 hay sha1
- phân biệt md5 và ntlm
- nhận diện bcrypt
- hash wordpress là gì
- phpass hash
- django pbkdf2 hash
- sha512crypt shadow
- argon2 hash format
- mysql password hash
- hash analyzer
- độ dài hash md5 sha256
- hashcat mode
- kiểm tra hash mật khẩu
