Chuyển đổi danh sách các chỉ số IOC sang định dạng STIX 2.1, MISP JSON, CSV, quy tắc Suricata hoặc khung YARA.
Mới
URL Defanger & Trình trích xuất IOC
Chạy cục bộ
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng URL Defanger & Trình trích xuất IOC
Chức năng của nó là gì?
Loại bỏ các liên kết URL, địa chỉ IP và địa chỉ email để có thể chia sẻ chúng mà không lo nhấp nhầm, khôi phục lại các liên kết đó, hoặc trích xuất các liên kết http(s) và ftp, địa chỉ IPv4 và email từ một đoạn văn bản trong tab IOC Extractor.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng URL Defanger & Trình trích xuất IOC
- Chọn tab. Sử dụng Defang & Refang cho các mục riêng lẻ mà bạn đã có sẵn. Sử dụng IOC Extractor để trích xuất các mục từ một đoạn văn bản dài hơn, chẳng hạn như email, cuộc trò chuyện hoặc nhật ký.
- Dán nội dung đã nhập. Trong Defang & Refang, hãy dán các URL, địa chỉ IP hoặc địa chỉ email, mỗi dòng một mục. Trong IOC Extractor, hãy dán toàn bộ văn bản.
- Loại bỏ răng nanh hay mọc lại răng nanh. Nhấn “Defang” để vô hiệu hóa chức năng nhấp chuột vào văn bản, hoặc nhấn “Refang” để khôi phục mục đã bị vô hiệu hóa về trạng thái bình thường. Nút “Copy” sẽ sao chép kết quả.
- Trích xuất và rà soát. Trong công cụ IOC Extractor, nhấn “Extract & Defang IOCs”. Các URL, địa chỉ IP và địa chỉ email sẽ được hiển thị thành ba nhóm, mỗi mục đều đã được loại bỏ nguy cơ và được đánh dấu; hãy bỏ chọn các kết quả trùng khớp sai.
- Sao chép hoặc chuyển tiếp. Tính năng “Sao chép các IOC đã chọn” sẽ sao chép các mục đã được đánh dấu, mỗi mục một dòng. Tính năng “Gửi đến…” sẽ chuyển kết quả đầu ra của Defang & Refang sang IOC Converter, Blocklist Converter hoặc Abuse Report Generator.
Ví dụ
Ba mã IOC, mỗi dòng một mã
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang trả về các địa chỉ hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 và support[at]example[.]net trên các dòng riêng biệt; Refang trả lại các địa chỉ này.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| hxxp://, hxxps://, fxp:// | Cơ chế này đã được thay đổi để các ứng dụng trò chuyện và trình khách email không chuyển văn bản thành liên kết hoạt động. |
| [.] cho mỗi chấm | Các dấu chấm trong tên máy chủ, đường dẫn và tên tệp đều thay đổi, do đó login.php trở thành login[.]php. Refang sẽ khôi phục lại chúng. |
| [at] tương ứng với mỗi @ | Áp dụng cho các địa chỉ email và bất kỳ ký tự @ nào xuất hiện trong URL. Refang chấp nhận các ký hiệu [at] và (at). |
| Các phong cách “defang” khác | Refang cũng chấp nhận các ký tự [@], (at), (.), {.}, [dot], (dot) và [:], do đó văn bản đã được loại bỏ các ký tự đặc biệt bởi các công cụ khác có thể được chuyển đổi trở lại chỉ trong một bước. |
| Loại bỏ nanh hai lần | Các bộ phận đã được loại bỏ răng sẽ giữ nguyên trạng thái hiện tại, do đó việc loại bỏ răng hai lần sẽ không thay đổi gì cả. |
| Các URL đã trích xuất (n) | Văn bản bắt đầu bằng http://, https:// hoặc ftp://, cho đến khi gặp khoảng trắng, dấu ngoặc hoặc dấu ngoặc kép. Dấu chấm hoặc dấu phẩy ở cuối câu vẫn được giữ nguyên, vì vậy hãy kiểm tra phần cuối của mỗi URL. |
| Các địa chỉ IP đã trích xuất (n) | Bất kỳ bốn nhóm nào gồm từ 1 đến 3 chữ số. Các số phiên bản và các giá trị lớn hơn 255 cũng phù hợp, và địa chỉ IP trong URL cũng được liệt kê lại ở đây. |
| Các email đã trích xuất (n) | Các địa chỉ kết thúc bằng dấu chấm và ít nhất hai chữ cái. Mỗi nhóm chỉ liệt kê mỗi mục một lần. |
| Không tìm thấy IOC nào (URL, địa chỉ IP hoặc địa chỉ email) trong văn bản. | Không có kết quả khớp nào. Các tên miền trống như example.org và các liên kết đã bị vô hiệu hóa sẽ không được trích xuất. |
Các ví dụ khác
Trang đăng nhập trên một địa chỉ IP thuần túy
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Hai kiểu Refang
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Trích đoạn từ tin nhắn SMS về bưu kiện
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URL (1): hxxps://parcel-fee[.]example/pay?ref=88[.] kèm theo dấu chấm. Địa chỉ IP (2): 203[.]0[.]113[.]45 và 10[.]2[.]3[.]4. Email (1): help[at]parcel-fee[.]example. Không tìm thấy địa chỉ example.org/track.
Câu hỏi thường gặp
Chính xác thì Defang thay đổi điều gì?
http://, https:// và ftp:// sẽ được chuyển thành hxxp://, hxxps:// và fxp://, mọi dấu chấm sẽ được chuyển thành [.] và mọi ký tự @ sẽ được chuyển thành [at], bao gồm cả các dấu chấm trong đường dẫn và tên tệp; các phần đã được loại bỏ ký tự đặc biệt sẽ giữ nguyên, do đó việc loại bỏ ký tự đặc biệt hai lần sẽ không thay đổi gì. Refang đảo ngược quá trình này và cũng chấp nhận [@], (at), (.), {.}, [dot], (dot) và [:].
Công cụ IOC Extractor tìm thấy những gì và bỏ sót những gì?
Các liên kết bắt đầu bằng http://, https:// hoặc ftp://, các dãy số trông giống địa chỉ IPv4 và địa chỉ email. Các tên miền trần không có giao thức và các liên kết đã được loại bỏ phần nguy hiểm sẽ không được trích xuất; mẫu IP cũng khớp với các chuỗi phiên bản như 1.2.3.4, và các dấu chấm câu ở cuối có thể vẫn còn trong URL, vì vậy hãy kiểm tra danh sách trước khi sao chép.
Tin nhắn của tôi đã được gửi đi đâu chưa?
Không. Các thao tác “loại bỏ răng nanh”, “tái tạo răng nanh” và “nhổ răng” chỉ là các thao tác thay thế văn bản trong trình duyệt của bạn; không có dữ liệu nào được tải lên và không có liên kết nào được mở.
Một liên kết đã bị vô hiệu hóa liệu có an toàn để mở không?
Không. Việc gỡ liên kết chỉ thay đổi cách hiển thị của văn bản. Sau khi khôi phục liên kết, đường dẫn vẫn dẫn đến cùng một trang, vì vậy chỉ nên mở nó trong trình duyệt riêng biệt hoặc trình quét.
Tôi nên chỉnh lại răng trước khi gửi vào lúc nào?
Hãy loại bỏ phần "defang" khỏi văn bản mà mọi người sẽ đọc, chẳng hạn như trong các cuộc trò chuyện, phiếu yêu cầu hỗ trợ hoặc bài đăng. Sau đó, hãy thêm lại phần "refang" khi bạn dán văn bản đó vào biểu mẫu, trình quét hoặc danh sách chặn yêu cầu URL thông thường.
Nó có hỗ trợ địa chỉ IPv6 không?
Chỉ một phần thôi. Công cụ trích xuất chỉ tìm kiếm các địa chỉ IPv4. Defang chỉ thay đổi địa chỉ IPv6 bên trong URL, nơi phần giao thức được chuyển thành hxxp hoặc hxxps; các dấu hai chấm vẫn giữ nguyên.
Tại sao các công cụ PhishDestroy khác lại vô hiệu hóa theo cách khác?
Các công cụ như Archive Link Builder chỉ thay thế các dấu chấm giữa các chữ cái hoặc chữ số và viết @ thành [@]. Công cụ này thay thế mọi dấu chấm và viết thành [at]. Refang chấp nhận cả hai dạng, do đó các liên kết từ cả hai công cụ đều có thể chuyển đổi trở lại.