mcpField
A
analyzing-malicious-url-with-urlscan

analyzing-malicious-url-with-urlscan

github.com/mukul975安全35.2k413 次安装8 周前更新
代码仓库

关于 analyzing-malicious-url-with-urlscan

使用 URLScan.io 调查可疑网址的安全分析技能，涵盖隔离环境中的页面检查、重定向与网络流量审查及 IOC 提取，适用于钓鱼和恶意网页调查。

主要功能

  1. 01通过网页或 API 提交网址
  2. 02查看截图与页面 DOM
  3. 03追踪重定向和网络请求
  4. 04检查证书与网页技术
  5. 05提取域名、IP 和哈希

适用场景

  1. 01调查疑似钓鱼链接
  2. 02识别凭据窃取页面
  3. 03记录重定向链和 IOC
  4. 04将网址发现与威胁情报交叉核对

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-malicious-url-with-urlscan

安装后在 Claude Code 中输入/analyzing-malicious-url-with-urlscan确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

使用 URLScan 分析恶意 URL

概述

URLScan.io 是一项免费的服务，可用于扫描和分析可疑 URL。它会在隔离环境中捕获网页的屏幕截图、DOM 内容、HTTP 事务、JavaScript 行为和网络连接。本技能介绍如何使用 URLScan 的 Web 界面和 API 调查钓鱼 URL、凭据窃取页面和恶意重定向，同时避免分析人员的系统面临风险。

使用场景

  • 调查需要使用 URLScan 分析恶意 URL 的安全事件时
  • 为此域构建检测规则或威胁搜寻查询时
  • SOC 分析人员需要此类分析的规范流程时
  • 验证针对相关攻击技术的安全监控覆盖情况时

前提条件

  • URLScan.io 账户（提供免费套餐，自动化操作需要 API 密钥）
  • Python 3.8+ 和 requests 库
  • 了解 HTTP 协议和 Web 技术
  • 熟悉钓鱼 URL 的模式

关键概念

URLScan 功能
  1. 安全浏览：在隔离的 Chromium 实例中呈现 URL
  2. 屏幕截图：呈现页面的视觉快照
  3. DOM 分析：JavaScript 执行后的完整 HTML 内容
  4. 网络日志：页面发出的所有 HTTP 请求（HAR 格式）
  5. 证书分析：SSL/TLS 证书详情
  6. 技术检测：识别 Web 框架和库
  7. IP/ASN 映射：基础设施情报
  8. 判定结果：社区和自动分类结果
钓鱼 URL 的危险信号
  • 新注册的域名（< 30 天）
  • 免费托管服务（Wix、GitHub Pages、Firebase）
  • 隐藏最终目标的 URL 缩短服务
  • 子域名层级过多（login.microsoft.com.evil.com）
  • 品牌名称出现在子域名或路径中，而非域名中
  • 非标准端口
  • 数据 URI 或 Base64 编码的内容
  • HTML 内容极少、严重依赖 JavaScript 的页面

工作流

步骤 1：向 URLScan 提交 URL
Web: Navigate to https://urlscan.io and submit the suspicious URL
API: POST https://urlscan.io/api/v1/scan/
     Header: API-Key: your-api-key
     Body: {"url": "https://suspicious-url.com", "visibility": "private"}
步骤 2：分析结果
  • 检查屏幕截图，确认是否存在品牌冒充
  • 检查重定向和最终目标 URL
  • 检查 DOM 中是否存在凭据输入表单
  • 检查网络请求中是否存在数据外传端点
  • 检查 SSL 证书的有效性和颁发者
步骤 3：提取 IOC
  • 联系过的域名和 IP
  • 重定向链中的 URL
  • 页面资源的 SHA-256 哈希值
  • JavaScript 文件的哈希值
步骤 4：与威胁情报交叉核对

使用 scripts/process.py 自动扫描 URL、提取 IOC，并与 VirusTotal、PhishTank 和 Google Safe Browsing 交叉核对。

工具与资源

验证

  • 通过 API 成功扫描可疑 URL
  • 提取屏幕截图并识别品牌冒充
  • 记录完整的重定向链
  • 根据扫描结果生成 IOC 列表
  • 将发现与至少 2 个威胁情报来源交叉核对

评论

支持 Markdown