将域名和 URL 转换为 hosts、AdGuard、Pi-hole、RPZ、dnsmasq 或 Unbound 屏蔽列表。
新增
IOC 转换器
本地运行新增
该工具本身是英文的；本页面将用您的语言对它进行说明。
使用 IOC 转换器
功能介绍
粘贴失陷指标（IOC）或任意文本。转换器会还原无害化写法，对 URL、域名、IP 地址、电子邮件地址和哈希进行分类，合并重复项，并输出为 STIX 2.1 bundle、MISP 事件、CSV、Suricata 规则或 YARA 骨架。
它完全在您的浏览器中运行：您输入的任何内容都不会被上传。
如何使用IOC 转换器
- 粘贴 IOC 或报告. 粘贴列表或任意文本。hxxps:// 和 [.] 这类无害化写法会被还原为真实值。一行中制表符或 “ # ” 之后的文本会成为该行 IOC 的注释。
- 选择输出格式. 选择 STIX 2.1、MISP event、CSV、Suricata rules 或 YARA rule skeleton。MISP（标题、威胁级别、分析状态、分发范围）、Suricata（起始 sid）和 YARA（规则名称、作者）会显示额外字段。
- 决定是否添加 URL 主机. 如果希望把每个 URL 的主机单独作为域名或 IP 指标，请勾选 Also add the host of each URL（同时添加每个 URL 的主机）。
- 转换. 按 Convert（转换）或 Ctrl+Enter。之后切换格式或 MISP 菜单会立即更新输出；输入标题、sid 或规则名称后，请按 Enter 或 Convert。
- 导出前检查. 阅读汇总以及 Not in this format 提示框（如有），然后展开 IOCs found，检查每个值和注释。
- 复制、下载或转交. 复制输出，或以显示的文件名下载。Send to…（发送到…）会在 Blocklist Converter（屏蔽列表转换器）或 Abuse Report Generator（滥用举报生成器）中打开它。
示例
带注释的盗币程序活动 IOC
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…生成一个包含六个指标的 STIX 2.1 bundle，例如 [url:value = 'https://connect.wallet-verify.example/claim'] 和 [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f']，每条注释都作为对应指标的 description。
检查内容
| 信号 | 其含义 |
|---|---|
| 唯一 IOC 数与已合并的重复项 | 去重后的数量，并按类型显示徽标，例如 URL、Domain、IPv4 或 SHA-256。处理到 50,000 个 IOC 时停止。 |
| Not in this format（此格式不支持） | 所选格式无法容纳的条目及原因。加密货币地址没有对应的 STIX 对象，Suricata 没有针对电子邮件地址或哈希的内联规则，YARA 不支持 SHA-512。 |
| 注释 | 会成为 STIX 的 description、MISP 和 CSV 的 comment、Suricata 规则上方的 # 行，以及 YARA 中的 // 注释，让其他人知道列出该 IOC 的原因。 |
| 输出中的有效值 | 导出内容包含真实的、已还原的 URL 和域名，以便工具进行匹配。只有 IOCs found 表格以无害化形式显示它们；粘贴到聊天或邮件之前，请先做无害化处理。 |
| Suricata sid 范围 | 规则从起始 sid 开始编号，rev:1。域名会生成一条 dns.query 规则和一条 tls.sni 规则，两者也会匹配子域名；https:// URL 规则只对已解密的流量生效。 |
| YARA 骨架 | 文本类 IOC 会成为 ascii wide nocase 字符串，MD5、SHA-1 和 SHA-256 会成为 hash 模块条件。使用前请重命名并测试该规则。 |
| MISP 事件设置 | 事件标题、威胁级别、分析状态和分发范围会写入事件，事件以未发布状态导出。以太坊地址以文本形式导出，不带 IDS 标记。 |
| STIX 标识符 | 每个 IOC 都是一个带 STIX 模式的 indicator。bundle 和 indicator 的 ID 是随机的 UUIDv4 值，因此每次转换都会生成新的 ID。 |
更多示例
由三个 IOC 生成的 Suricata 规则
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 个唯一 IOC，生成 4 条规则，sid 从 9000001 到 9000004：一条针对 login.example.net/verify 的 http.host 和 http.uri 规则，一条针对 203.0.113.7 的 ip 规则，以及针对 .wallet-verify.example 的 dns.query 和 tls.sni 规则。注释显示为 # landing page 和 # panel。
使用公开哈希向量的 YARA
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaD生成一条名为 PhishDestroy_IOC_ 加当天日期的规则，带有 import "hash"、作为字符串的以太坊地址，以及针对空文件 SHA-256 的 hash.sha256 条件。Not in this format：1 × SHA-512：YARA hash 模块不支持 SHA-512。
勾选 Also add the host 的 CSV
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 个唯一 IOC（合并了 2 个重复项）。CSV：type,value,comment，然后是 url,https://pay.example.org/invoice,fake invoice、domain,pay.example.org,fake invoice，以及注释为空的 email,billing@example.org。
常见问题解答
能识别哪些 IOC 类型？如何映射？
URL、域名、IPv4 和 IPv6 地址（包括 CIDR 网段）、电子邮件地址、MD5、SHA-1、SHA-256 和 SHA-512 哈希，以及经过校验和检查的比特币和以太坊地址。STIX 输出 url、domain-name、ipv4-addr、ipv6-addr、email-addr 和 file:hashes 模式；MISP 输出 url、domain 或 hostname、ip-dst、email-src 以及各哈希类型。
导入结果前应检查什么？
从自由文本中提取时，可能会误把以真实顶级域结尾的文件名（readme.md、archive.zip）或并非文件哈希的十六进制字符串当作 IOC，因此请先检查 IOC 表格。加密货币地址没有对应的 STIX 对象，Suricata 规则只覆盖域名、URL 和 IP，YARA hash 模块不支持 SHA-512，因此这些条目会被列为未转换。
会上传任何内容吗？
不会。解析和转换都在你的浏览器中运行，输出只会在你要求时被复制或下载。
如何给 IOC 添加注释？
把注释写在同一行，放在制表符之后，或放在“空格、#、空格”之后。注释适用于该行的每个 IOC。当某个值出现两次时，保留第一条注释；只有第一行没有注释时，才会使用后面的注释。
Suricata 规则可以直接部署吗？
请把它们当作起点。选择一个你的传感器未使用的 sid 范围，在录制的流量上测试规则，并记住针对 HTTPS 网站的 URL 规则只在流量被解密的地方有效。
我应该选择哪种格式？
威胁情报平台用 STIX 2.1 或 MISP，电子表格和简单数据源用 CSV，网络传感器用 Suricata，扫描文件用 YARA 骨架。如需 DNS 或广告拦截列表，请把结果发送到 Blocklist Converter。