将 IOC 列表转换为 STIX 2.1、MISP JSON、CSV、Suricata 规则或 YARA 骨架。
新增
URL 无害化与 IOC 提取工具
本地运行
该工具本身是英文的；本页面将用您的语言对它进行说明。
使用 URL 无害化与 IOC 提取工具
功能介绍
对 URL、IP 地址和电子邮件地址进行“去封装”，以便在共享时避免意外点击；对其进行“重新封装”；或者在“IOC 提取器”选项卡中，从一段文本中提取 http(s) 和 ftp 链接、IPv4 地址以及电子邮件地址。
它完全在您的浏览器中运行：您输入的任何内容都不会被上传。
如何使用URL 无害化与 IOC 提取工具
- 选择标签页. 对于已有的单个条目，使用 Defang & Refang。要从电子邮件、聊天记录或日志等较长文本中提取条目，使用 IOC Extractor。
- 粘贴输入. 在 Defang & Refang 中，每行粘贴一个 URL、IP 地址或电子邮件地址。在 IOC Extractor 中，粘贴整段文本。
- 无害化或还原. 按 Defang 使文本不可点击，或按 Refang 将无害化的条目还原为普通形式。Copy 会复制输出。
- 提取并检查. 在 IOC Extractor 中按 Extract & Defang IOCs。URL、IP 地址和电子邮件地址会分三组显示，每个条目都已无害化并被勾选；请取消勾选误匹配的条目。
- 复制或转交. Copy Selected IOCs 会复制已勾选的条目，每行一个。Send to…（发送到…）会把 Defang & Refang 的输出转交给 IOC Converter（IOC 转换器）、Blocklist Converter（屏蔽列表转换器）或 Abuse Report Generator（滥用举报生成器）。
示例
三个 IOC，每行一个
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang 会分行返回 hxxps://login[.]example[.]com/verify?id=42、203[.]0[.]113[.]7 和 support[at]example[.]net；Refang 会将它们还原。
检查内容
| 信号 | 其含义 |
|---|---|
| hxxp://、hxxps://、fxp:// | 替换协议，使聊天应用和邮件客户端不会把文本变成可点击的链接。 |
| 每个点都变为 [.] | 主机、路径和文件名中的点都会改变，因此 login.php 会变为 login[.]php。Refang 会将其还原。 |
| 每个 @ 都变为 [at] | 适用于电子邮件地址以及 URL 中的任何 @。Refang 接受 [at] 和 (at)。 |
| 其他“去牙”风格 | Refang 还支持 [@]、（at）、（.）、{.}、[dot]、（dot）和 [:]，因此通过其他工具进行过处理的文本只需一步即可还原。 |
| 重复无害化 | 已经去毛刺的零件保持原样，因此进行两次去毛刺处理也不会产生任何变化。 |
| Extracted URLs (n)（提取到的 URL） | 以 http://、https:// 或 ftp:// 开头、直到空格、括号或引号为止的文本。句末的句号或逗号会保留在 URL 上，因此请检查每个 URL 的结尾。 |
| Extracted IP Addresses (n)（提取到的 IP 地址） | 任意四组 1 到 3 位数字。版本号和大于 255 的值也会匹配，URL 中的 IP 也会在这里再次列出。 |
| Extracted Emails (n)（提取到的电子邮件地址） | 以点加至少两个字母结尾的地址。每组中的每个条目只列出一次。 |
| No IOCs (URLs, IPs, or Emails) found in the text.（文本中未找到 IOC） | 没有任何匹配。example.org 这样的单纯域名和已经无害化处理过的链接不会被提取。 |
更多示例
裸 IP 上的登录页面
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
还原两种写法
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
从包裹短信中提取
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1)：hxxps://parcel-fee[.]example/pay?ref=88[.]，句号粘在了末尾。IP Addresses (2)：203[.]0[.]113[.]45 和 10[.]2[.]3[.]4。Emails (1)：help[at]parcel-fee[.]example。example.org/track 未被找到。
常见问题解答
Defang 具体会改变什么？
http://、https:// 和 ftp:// 将分别变为 hxxp://、hxxps:// 和 fxp://， 所有点都转换为 [.]，所有 @ 都转换为 [at]，包括路径和文件名中的点；已经过处理的部分保持原样，因此重复处理一次不会产生任何变化。 “Refang” 功能可逆转此过程，同时支持 [@]、(at)、(.)、{.}、[dot]、(dot) 和 [:]。
IOC Extractor 能找到什么，会漏掉什么？
以 http://、https:// 或 ftp:// 开头的链接、看起来像 IPv4 的数字以及电子邮件地址。不带协议的单纯域名和已经无害化处理过的链接不会被提取；IP 模式也会匹配 1.2.3.4 这样的版本号字符串；句末标点可能会粘在 URL 上，因此复制之前请先检查列表。
我的文本会被发送到任何地方吗？
不会。无害化、还原和提取都是在你的浏览器中进行的文本替换；不会上传任何内容，也不会打开任何链接。
无害化后的链接就可以安全打开了吗？
不是。无害化只改变文本的外观。一旦还原，链接仍会指向同一个页面，因此只能在隔离的浏览器或扫描器中打开它。
什么时候应该在发送前还原？
给人阅读的文本（聊天、工单或帖子）请做无害化处理。当你要粘贴到需要普通 URL 的表单、扫描器或屏蔽列表中时，请先还原。
它支持 IPv6 地址吗？
只部分支持。提取器只查找 IPv4 地址。Defang 只会改变 URL 中的 IPv6 地址，即把协议变为 hxxp 或 hxxps；冒号保持不变。
为什么 PhishDestroy 的其他工具无害化的方式不同？
Archive Link Builder 等工具只会替换字母或数字之间的点，并将 @ 写成 [@]。该工具会替换所有点，并将 @ 写成 [at]。Refang 同时支持这两种形式，因此这两种工具生成的链接都能被转换回来。