یک فهرست از IOCها را به STIX 2.1، JSON در قالب MISP، CSV، قواعد Suricata یا اسکلت YARA تبدیل کنید.
جدید
URL Defanger و استخراجکننده IOC
اجرای محلی
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح میدهد.
از URL Defanger و استخراجکننده IOC استفاده کنید
کارکرد
URLها، آدرسهای IP و آدرسهای ایمیل را پنهان کنید تا بدون کلیک‌های تصادفی قابل اشتراک‌گذاری باشند، سپس آن‌ها را بازیابی کنید یا لینکهای http(s) و ftp، آدرسهای IPv4 و ایمیل‌ها را از یک بلوک متن در زبانه IOC Extractor استخراج کنید.
این کاملاً در مرورگر شما اجرا میشود: هیچ‌یک از اطلاعاتی که وارد می‌کنید بارگذاری نمیشود.
چگونه از URL Defanger و استخراجکننده IOC استفاده کنیم
- زبانه‌ی مورد نظر را انتخاب کنید. برای تک‌عناصر موجود، از Defang و Refang استفاده کنید. برای استخراج آیتم‌ها از متن‌های طولانی‌تر مانند ایمیل، چت یا لاگ، از IOC Extractor استفاده کنید.
- ورودی را جای‌گذاری کنید. در Defang & Refang، آدرسهای URL، آدرسهای IP یا آدرسهای ایمیل را، هر کدام در یک خط، چسبانید. در IOC Extractor، کل متن را چسبانید.
- دِفانگ یا رِفانگ. روی Defang کلیک کنید تا متن غیرقابل کلیک شود، یا روی Refang کلیک کنید تا یک آیتم بدون دندان دوباره به حالت عادی بازگردد. دستور Copy خروجی را کپی میکند.
- استخراج و بازبینی. در IOC Extractor روی Extract & Defang IOCs کلیک کنید. آدرسهای URL، آدرسهای IP و ایمیل‌ها در سه گروه ظاهر میشوند؛ هر مورد خنثیسازی شده و تیک‌خورده است؛ تیک تطابق‌های اشتباه را بردارید.
- کپی یا انتقال. Copy Selected IOCs موارد تیک‌خورده را، یکی در هر خط، کپی میکند. Send to… خروجی Defang & Refang را به IOC Converter، Blocklist Converter یا Abuse Report Generator ارسال میکند.
مثال
سه IOC، یکی برای هر خط
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang پاسخ‌های hxxps://login[.]example[.]com/verify?id=42، 203[.]0[.]113[.]7 و support[at]example[.]net را در خطوط جداگانه بازمی‌گرداند؛ Refang آن‌ها را دوباره برمی‌گرداند.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| hxxp://, hxxps://, fxp:// | طرح جایگزین میشود تا اپلیکیشن‌های چت و کلاینت‌های ایمیل متن را به یک لینک زنده تبدیل نکنند. |
| [.] برای هر نقطه | نقطه‌ها در میزبان، مسیر و نام فایل‌ها همگی تغییر میکنند، بنابراین login.php به login[.]php تبدیل میشود. Refang آن‌ها را بازمی‌گرداند. |
| [at] برای هر @ | این قاعده برای آدرسهای ایمیل و هر @ درون یک URL اعمال میشود. Refang حروف [at] و (at) را میپذیرد. |
| سایر سبک‌های بی‌دندان کردن | Refang همچنین [@]، (at)، (.)، {.}، [dot]، (dot) و [:] را میپذیرد، بنابراین متنی که توسط ابزارهای دیگر بی‌ضرر شده است، در یک مرحله به حالت اول بازمی‌گردد. |
| دو بار بی‌دندان کردن | قطعاتی که قبلاً بی‌دندان شده‌اند، همانطور باقی میمانند، بنابراین بی‌دندان کردن دوباره‌شان هیچ تغییری ایجاد نمی‌کند. |
| URLهای استخراج‌شده (تعداد) | متنی که با http://، https:// یا ftp:// شروع میشود و تا یک فاصله، پرانتز یا نقل‌قول ادامه دارد. یک نقطه یا ویرگول در پایان جمله همچنان متصل می‌ماند، بنابراین انتهای هر URL را بررسی کنید. |
| آدرسهای IP استخراج‌شده (تعداد) | هر چهار گروه شامل ۱ تا ۳ رقم. نسخه‌های شماره و مقادیر بالاتر از ۲۵۵ نیز مطابقت دارند، و یک آدرس IP درون یک URL نیز مجدداً در اینجا فهرست شده است. |
| ایمیل‌های استخراج‌شده (اسم) | آدرس‌هایی که با نقطه و حداقل دو حرف پایان می‌یابند. هر گروه هر مورد را تنها یک بار فهرست میکند. |
| هیچ IOC (URLها، IPها یا ایمیل‌ها) در متن یافت نشد. | هیچ‌چیز مطابقت نداشت. دامنههای خالی مانند example.org و لینکهایی که قبلاً بی‌ضرر شده‌اند، استخراج نمیشوند. |
نمونه‌های بیشتر
صفحهٔ ورود به سیستم روی یک آی‌پی خام
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
دو سبک را دوباره وصل کنید
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
استخراج از پیامک بسته
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLها (۱): hxxps://parcel-fee[.]example/pay?ref=88[.] با نقطهٔ کامل. آدرسهای IP (۲): 203.0.113.45 و 10.2.3.4. ایمیل‌ها (۱): help@parcel-fee.example. example.org/track یافت نشد.
سوالات متداول
دِفانگ دقیقاً چه چیزی را تغییر میدهد؟
http://، https:// و ftp:// به hxxp://، hxxps:// و fxp:// تبدیل میشوند، هر نقطه به [.] و هر @ به [at] تبدیل میشود، از جمله نقاط موجود در مسیرها و نام فایل‌ها؛ بخش‌هایی که قبلاً خنثیسازی شده‌اند بدون تغییر باقی میمانند، بنابراین خنثیسازی دوباره‌ی آن‌ها هیچ تغییری ایجاد نمی‌کند. Refang این تغییر را معکوس میکند و همچنین [@]، (at)، (.)، {.}، [dot]، (dot) و [:] را نیز میپذیرد.
خارجکنندهٔ IOC چه چیزی را پیدا میکند و چه چیزی را از دست میدهد؟
لینکهایی که با http:// شروع میشوند، https:// یا ftp://، اعداد شبیه IPv4 و آدرسهای ایمیل. دامنههای خالی بدون طرح و لینکهای خنثیشده استخراج نمیشوند، الگوی IP همچنین با رشتههای نسخهای مانند 1.2.3.4 مطابقت دارد، و نقطهگذاری انتهایی میتواند به URL بچسبد، بنابراین قبل از کپی کردن فهرست را بررسی کنید.
آیا متن من به جایی ارسال میشود؟
خیر. بیدندانسازی، دوباره دندانگذاری و استخراج، جایگزینهای متنی در مرورگر شما هستند؛ هیچ چیزی بارگذاری نمیشود و هیچ لینکی باز نمیشود.
آیا لینکی که خنثی شده باشد، برای باز کردن ایمن میشود؟
خیر. حذف نشانک تنها ظاهر متن را تغییر میدهد. پس از بازنشانی نشانک، لینک به همان صفحه هدایت میکند، بنابراین آن را فقط در یک مرورگر مجزا یا یک اسکنر باز کنید.
قبل از ارسال، چه زمانی باید ریفنگ کنم؟
متن را از حالت URL خارج کنید تا مردم در چتها، تیکتها یا پستها آن را بخوانند. وقتی آن را در فرم، اسکنر یا لیست مسدودسازی که انتظار آدرسهای URL معمولی را دارد میچسبانید، دوباره آن را به URL تبدیل کنید.
آیا از آدرسهای IPv6 پشتیبانی میکند؟
فقط تا حدی. استخراجکننده تنها به دنبال آدرسهای IPv4 میگردد. Defang تنها زمانی یک آدرس IPv6 را در داخل یک URL تغییر میدهد که طرح آن به hxxp یا hxxps تبدیل شود؛ دو نقطه همانطور باقی میمانند.
چرا ابزارهای دیگر PhishDestroy به شیوهای متفاوت خنثیسازی میکنند؟
ابزارهایی مانند Archive Link Builder تنها نقطههای بین حروف یا ارقام را جایگزین میکنند و @ را به [@] مینویسند. این ابزار هر نقطه را جایگزین میکند و [at] مینویسد. Refang هر دو شکل را میپذیرد، بنابراین لینکهای تولیدشده با هر یک از این ابزارها دوباره قابل تبدیل هستند.