Проверяйте до 500 доменов или URL по фишинговому блок-листу DestroyList.
Сеть: DestroyListНовый
Ссылки для проверки репутации
Работает локальноНовый
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Ссылки для проверки репутации
Для чего это нужно
Проверьте подозрительный домен или URL сразу в пяти источниках: результаты сканирования urlscan.io, оценки VirusTotal, сервис «Безопасный просмотр» от Google, историю сертификатов crt.sh и отчет о домене от PhishDestroy. Для IP-адреса проверка проводится в двух сервисах, индексирующих IP-адреса: urlscan.io и VirusTotal.
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Ссылки для проверки репутации
- Введите то, что хотите проверить. Введите или вставьте домен, URL либо адрес IPv4 или IPv6. Обезвреженные формы вроде hxxps:// и [.] принимаются.
- Создайте ссылки. Нажмите Build links или Enter. Страница только создаёт ссылки и не обращается ни к одному сервису.
- Проверьте, как понят ввод. Первая строка сообщает, распознан ли ввод как домен, URL или IP, и называет зарегистрированный домен, если он отличается от хоста.
- Откройте нужные проверки. У каждой строки есть короткое описание, и она открывается в новой вкладке. Только тогда сервис видит имя, которое вы проверяете.
- Оценивайте ответы вместе. История сертификатов длиной в несколько дней плюс скан, на котором видна страница входа, — более серьёзный тревожный признак, чем каждое из них по отдельности.
- Передайте дальше. Используйте Send to…, чтобы проверить имя в DestroyList Check, сохранить его через Archive Link Builder или найти, куда пожаловаться, в Abuse Contact Lookup.
Пример
Поддомен под национальным доменом
login.example.co.ukLinks for the domain login[.]example[.]co[.]uk (registered domain example[.]co[.]uk). Opening a link sends the name to that service; nothing is sent from this page.
urlscan.io
Earlier scans of the site: screenshots, redirects, requests.
Open urlscan.io
↗
(new tab)
VirusTotal
Engine verdicts, DNS, WHOIS and related URLs for the domain.
Open VirusTotal
↗
(new tab)
Google Safe Browsing
Whether Chrome and other browsers warn about the site.
Open Google Safe Browsing
↗
(new tab)
crt.sh
TLS certificates for the registered domain and its subdomains: when the site was set up and which subdomains exist.
Open crt.sh
↗
(new tab)
PhishDestroy domain report
Our report, if the domain is in the PhishDestroy database.
Open PhishDestroy domain report
↗
(new tab)Создаёт пять ссылок; crt.sh ищет %.example.co.uk — регистрируемый домен по Public Suffix List, — поэтому видны все сертификаты для его поддоменов, а ссылка на отчёт PhishDestroy тоже использует example.co.uk.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| Тип ввода | Домен, URL (всё, что содержит схему, путь или параметры запроса) или IP. Для URL в VirusTotal и Safe Browsing проверяется точный URL; для домена — домен. |
| Зарегистрированный домен | Вычисляется по Public Suffix List, включая частные суффиксы вроде github.io, поэтому login.example.github.io относится к example.github.io, а не к GitHub. |
| urlscan.io | Прежние сканы хоста или страниц, отдаваемых с IP-адреса. Скриншоты показывают, как выглядела страница, без её открытия. |
| VirusTotal | Вердикты движков для домена, точного URL или IP. Ноль обнаружений означает лишь, что ни один движок его ещё не отметил. |
| Google Safe Browsing | Статус в Transparency Report: предупреждают ли Chrome и другие браузеры о сайте или URL. |
| crt.sh | История сертификатов зарегистрированного домена и всех его поддоменов (%.registered-domain). Наличие первого сертификата, выданного в течение последних нескольких дней, означает, что сайт новый. |
| Отчёт PhishDestroy о домене | Наша страница для зарегистрированного домена; на ней есть содержимое, если домен есть в базе PhishDestroy. |
| IP-адреса | Для IP предлагаются только urlscan.io и VirusTotal, потому что остальные проверки работают с именами. |
Еще примеры
IP-адрес для документации
203.0.113.45Links for the ip 203[.]0[.]113[.]45. Две строки: urlscan.io (Scans of pages served from this IP) и VirusTotal (Engine verdicts, passive DNS and related files for the IP).
Обезвреженный URL страницы входа
hxxps://secure.example[.]org/login?next=/accountLinks for the url hxxps://secure[.]example[.]org/login?next=/account (registered domain example[.]org). VirusTotal и Safe Browsing проверяют точный URL, urlscan.io ищет secure.example.org, crt.sh — %.example.org, а отчёт PhishDestroy использует example.org.
Голый домен
example.netСсылки для домена example[.]net. Пять строк; VirusTotal открывает страницу этого домена, а crt.sh выполняет поиск по %.example.net.
Часто задаваемые вопросы
Обращается ли эта страница к этим сервисам?
Нет. Она только создаёт ссылки, и ничего не отправляется, пока вы не откроете одну из них; тогда соответствующий сервис видит имя. Так подозрительный домен не попадает в журналы сторонних сервисов, пока вы сами не решите его проверить.
Что сообщает каждый сервис?
urlscan.io показывает прежние сканы со скриншотами и перенаправлениями, VirusTotal — вердикты антивирусов и блок-листов, Safe Browsing — предупреждают ли браузеры, crt.sh перечисляет TLS-сертификаты (когда сайт был создан), а отчёт PhishDestroy показывает наши доказательства.
Почему crt.sh выполняет поиск по всему зарегистрированному домену?
Фишинг-киты часто размещаются на многих поддоменах одного зарегистрированного домена. Поиск по %.registered-domain, вычисленному по Public Suffix List, выводит все выпущенные для них сертификаты, а не только сертификаты для одного введённого имени.
Какую ссылку открыть первой?
Для ссылки из сообщения начните с urlscan.io и Safe Browsing: они показывают, как выглядела страница и блокируют ли её уже браузеры. crt.sh говорит, насколько сайт новый, а VirusTotal добавляет вердикты множества движков.
Можно ли проверить сайт на бесплатном хостинге или облачной платформе?
Да. Public Suffix List считает сервисы вроде github.io и pages.dev суффиксами, поэтому a.b.example.pages.dev относится к example.pages.dev. Поиск в crt.sh и ссылка на отчёт PhishDestroy используют это имя, а не собственный домен платформы.
Работает ли адрес IPv6?
Да. Адрес с двоеточиями принимается в квадратных скобках или без них, и для него вы получите ссылки на urlscan.io и VirusTotal.