mcpField
A
analyzing-tls-certificate-transparency-logs

analyzing-tls-certificate-transparency-logs

github.com/mukul975安全35.2k270 次安装8 周前更新
代码仓库

关于 analyzing-tls-certificate-transparency-logs

这项安全分析技能通过查询 crt.sh 证书透明度日志，检查与域名相关的证书，适用于调查钓鱼基础设施的 SOC 分析师和威胁搜寻人员。

主要功能

  1. 01查询 crt.sh 中的域名证书
  2. 02查找近似拼写的仿冒域名
  3. 03标记意外 CA 签发的证书
  4. 04检查可疑子域名的通配符证书
  5. 05与已知钓鱼基础设施交叉比对

适用场景

  1. 01调查与组织域名相似的证书
  2. 02搜寻钓鱼基础设施
  3. 03制定针对域名的检测查询

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-tls-certificate-transparency-logs

安装后在 Claude Code 中输入/analyzing-tls-certificate-transparency-logs确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析 TLS 证书透明度日志

何时使用

  • 在调查需要分析 TLS 证书透明度日志的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前置条件

  • 熟悉安全运营概念和工具
  • 可访问测试或实验环境以安全执行
  • 安装有所需依赖的 Python 3.8+
  • 为任何测试活动获得适当授权

操作说明

查询 crt.sh 证书透明度数据库，查找为与贵组织品牌相似的域名签发的证书，以检测钓鱼基础设施。

from pycrtsh import Crtsh

c = Crtsh()
# Search for certificates matching a domain
certs = c.search("example.com")
for cert in certs:
    print(cert["id"], cert["name_value"])

# Get full certificate details
details = c.get(certs[0]["id"], type="id")

关键分析步骤：

  1. 在 crt.sh 中查询与您的域名模式匹配的所有证书
  2. 识别存在域名仿冒变体（Levenshtein 距离）的证书
  3. 标记来自异常 CA 的证书
  4. 监控可疑子域名上的通配符证书
  5. 与已知钓鱼基础设施进行交叉比对

示例

from pycrtsh import Crtsh
c = Crtsh()
certs = c.search("%.example.com")
for cert in certs:
    print(f"Issuer: {cert.get('issuer_name')}, Domain: {cert.get('name_value')}")

评论

支持 Markdown