Welches Web-Tool brauche ich?
| Was Sie haben | Sieht aus wie | Tool |
|---|---|---|
| Ein JSON Web Token | eyJhbGci….eyJzdWIi….sig | JWT-Decoder, JWT-Encoder |
| Einen Authorization-Header | Basic dXNlcjpwYXNz | Basic-Auth-Decoder, Basic-Auth-Header |
Base64 mit - und _, ohne = | SGVsbG8_d29ybGQ | Base64URL-Decoder, Base64URL-Encoder |
| Zwischen den beiden Alphabeten umwandeln | Base64 in Base64URL, Base64URL in Base64 | |
| Eine Data-URI | data:image/png;base64,… | Data-URI-Parser, Data-URI-Generator |
| Eine SAML-Nachricht | SAMLResponse=PHNhbWxwOl… | SAML-Decoder |
| Ein Kubernetes Secret | data:-Werte in YAML | Kubernetes-Secret-Decoder |
| Ein Image-Pull-Secret | eyJhdXRocyI6… | .dockerconfigjson-Decoder |
| Komprimiertes Base64 | H4sI… oder eJ… | Gzip-Base64-Decoder; zum Erzeugen: gzip, zlib |
| Ein JSON-Dokument mit kodierten Feldern | "body": "eyJ…" | Base64 in JSON |
| Einen kodierten PowerShell-Befehl | powershell -enc JABzAD0A… | PowerShell -EncodedCommand |
| Rohen E-Mail-Quelltext | Content-Transfer-Encoding: base64 | E-Mail-Decoder, Quoted-printable |
| URL-kodierten Text | q=caf%C3%A9%20menu | URL dekodieren, URL kodieren |
| HTML-maskierten Text | <p>Café</p> | HTML-Entities |
Schichten über Schichten
Web-Payloads sind oft mehrfach verpackt, und jede Schicht braucht ihr eigenes Tool. Ein paar gängige Stapel:
- Pull-Secrets: Kubernetes-Base64 um Docker-JSON um ein Base64-
user:password. Der .dockerconfigjson-Decoder entpackt alle drei. - SAML-Redirect: XML, Raw Deflate, Base64, URL-Kodierung. Der SAML-Decoder kehrt die ganze Kette um.
- Helm-Releases: JSON, gzip, Base64 und noch einmal Kubernetes-Base64.
- Redirect-URLs: eine URL-kodierte URL in einem Query-Parameter, manchmal doppelt kodiert. Die Option Wiederholt dekodieren des URL-Decoders erledigt das.
- Flask-Session-Cookies: JSON, optional zlib-komprimiert (ein führender
.kennzeichnet das), Base64URL, dann ein Zeitstempel und eine Signatur, mit Punkten verbunden.
Sieht ein dekodiertes Ergebnis immer noch kodiert aus, vergleichen Sie seine ersten Zeichen mit der Tabelle oben und machen Sie mit dem passenden Tool weiter.
Kodierung ist kein Schutz
Keines dieser Formate verbirgt etwas. Eine JWT-Payload, ein Basic-Auth-Header, ein Kubernetes Secret und eine SAML-Assertion kann jeder lesen, der sie sieht; erst eine Signatur oder echte Verschlüsselung bringt Sicherheit. Genau deshalb sind die Decoder hier nützlich, und aus demselben Grund sollten solche Strings nicht in Logs, Screenshots und Tickets landen. Mehr unter Kodierung vs. Verschlüsselung.
Für Zertifikate, SSH-Schlüssel und Hashes siehe Schlüssel und Zertifikate. Für einfache Strings und Zeichensätze gibt es die Text-Tools.
Häufige Fragen
Woran erkenne ich, was für einen kodierten String ich habe?
An seiner Form: Drei durch Punkte getrennte Teile, die mit eyJ beginnen, sind ein JWT, % mit zwei Hex-Ziffern ist URL-Kodierung, & ist HTML-Maskierung, H4sI ist gzip, und - oder _ in Base64 bedeuten Base64URL. Die Tabelle auf dieser Seite listet weitere Muster auf und wohin sie jeweils gehören.
Sind diese Tools sicher für Produktions-Tokens und Secrets?
Sie laufen in Ihrem Browser, und die Content Security Policy der Seite blockiert jede Netzwerkanfrage außer dem Seitenaufrufzähler von Cloudflare, eingefügte Daten können also nirgendwohin gesendet werden. Gehen Sie mit echten Tokens trotzdem sorgsam um, und rotieren Sie jedes Secret, das anderswo offengelegt wurde.
Was ist der Unterschied zwischen URL-Kodierung und Base64URL?
URL-Kodierung maskiert einzelne Zeichen als %XX und lässt den Rest lesbar. Base64URL verwandelt beliebige Bytes in Buchstaben, Ziffern, - und _. Verwenden Sie URL-Kodierung für Textwerte und Base64URL für Binärdaten und Tokens.