搜索

[14246] 2019-06-19_Python-Iocextract：高级入侵威胁标识符IoC提取工具

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-19_Python-Iocextract：高级入侵威胁标识符IoC提取工具 P y t h o n - I o c e x t r a c t ： 高 级 入 侵 威 胁 标 识 符 I o C 提 取 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 6 - 1 9 工 具 介 绍 工 具 介 绍 P y t h o n - I o c e x t r a c t 是 一 款 高 级 入 侵 威 胁 标 识 符 是 一 款 高 级 入 侵 威 胁 标 识 符 I o C 提 取 工 具 ， 它 可 以 从 文 本 语 料 库 提 取 提 取 工 具 ， 它 可 以 从 文 本 语 料 库 提 取 U R L 、 、 I P 地 址 、 地 址 、 M D 5 / S H A 哈 希 、 电 子 邮 件 地 址 和 哈 希 、 电 子 邮 件 地 址 和 Y A R A 规 则 ， 其 中 还 包 括 某 些 已 编 码 或 已 规 则 ， 其 中 还 包 括 某 些 已 编 码 或 已 被 被 “ 破 坏 破 坏 ” 的 入 侵 威 胁 标 识 符 。 的 入 侵 威 胁 标 识 符 。 因 为 网 络 犯 罪 分 子 为 了 防 止 暴 露 自 己 的 恶 意 活 动 以 及 攻 击 内 容 ， 通 常 都 会 想 办 法 “ 破 坏 ” 类 似 U R L 和 I P 地 址 这 样 的 入 侵 威 胁 标 识 符 。 在 这 种 情 况 下 ， 有 效 提 取 和 汇 总 这 些 I o C 对 于 安 全 分 析 人 员 来 说 就 非 常 有 价 值 了 。 但 不 幸 的 是 ， 对 于 现 有 的 I o C 提 取 工 具 来 说 ， 标 准 的 正 则 表 达 式 往 往 无 法 捕 捉 到 这 些 东 西 。 比 如 说 ， 下 面 这 个 样 本 就 使 用 了 括 号 来 进 行 I o C 隐 藏 ： 这 种 情 况 下 ， 基 于 简 单 正 则 表 达 式 匹 配 的 工 具 就 无 法 提 取 出 这 种 I o C 了 。 但 是 对 于 P y t h o n - I o c e x t r a c t 来 说 ， 情 况 就 不 一 样 了 。 通 过 使 用 精 心 设 计 的 正 则 表 达 式 以 及 反 混 淆 检 测 技 术 ， 我 们 既 可 以 检 测 到 “ 被 破 坏 ” 的 I o C ， 也 可 以 还 原 初 始 的 I o C ， 为 分 析 人 员 节 省 了 时 间 和 精 力 。 工 具 安 装 工 具 安 装 在 使 用 P y t h o n - I o c e x t r a c t 之 前 ， 我 们 需 要 安 装 P y t h o n 开 发 环 境 以 及 r e g e x 依 赖 。 在 U b u n t u 和 D e b i a n 等 L i n u x 系 统 中 ， 可 以 使 用 下 列 命 令 完 成 安 装 ： 接 下 来 ， 使 用 p i p 命 令 安 装 i o c e x t r a c t ： 在 W i n d o w s 平 台 下 ， 点 击 【 这 里 】 下 载 r e g e x 安 装 包 ： 工 具 使 用 工 具 使 用 提 取 某 些 已 被 破 坏 的 U R L 地 址 ： 如 果 匹 配 到 多 个 正 则 表 达 式 的 话 ， 可 能 会 有 某 些 U R L 地 址 出 现 两 次 。 如 果 有 需 要 的 话 ， 你 还 可 以 还 原 I o C 并 移 除 某 些 常 见 的 混 淆 技 术 ： 你 甚 至 还 可 以 提 取 并 解 码 十 六 进 制 编 码 或 B a s e 6 4 编 码 的 U R L 地 址 ： 该 工 具 中 所 有 的 e x t r a c t _ * 函 数 返 回 的 都 是 迭 代 器 ， 而 不 是 列 表 。 因 此 ， i o c e x t r a c t 可 以 处 理 大 量 数 据 输 入 。 但 如 果 你 想 要 迭 代 处 理 多 次 I o C ， 你 将 需 要 把 结 果 存 储 为 列 表 ： 命 令 行 工 具 还 包 括 ： 目 前 ， 该 工 具 只 支 持 恢 复 U R L 、 电 子 邮 件 以 及 I P v 4 地 址 。 P y t h o n - I o c e x t r a c t 支 持 的 支 持 的 I o C I P 地 址 地 址 1 、   完 全 支 持 I P v 4 1 2 7 [ . ] 0 [ . ] 0 [ . ] 1 s u d o   a p t - g e t   i n s t a l l   p y t h o n - d e v p i p   i n s t a l l   i o c e x t r a c t p i p   i n s t a l l   r e g e x - 2 0 1 8 . 0 6 . 2 1 - c p 2 7 - n o n e - w i n _ a m d 6 4 . w h l > > > c o n t e n t   =   " " " . . .   I r e a l l y   l o v e   e x a m p l e [ . ] c o m ! . . . A l l   t h e   b o t s   a r e   o n   h x x p : / / e x a m p l e . c o m / b a d / u r l   t h e s e   d a y s . . . . C 2 :   t c p : / / e x a m p l e [ . ] c o m : 8 9 8 9 / b a d . . . " " " > > > i m p o r t   i o c e x t r a c t > > > f o r > > > f o r   u r l   i n   i o c e x t r a c t . e x t r a c t _ u r l s ( c o n t e n t ,   r e f a n g = T r u e ) : . . .           p r i n t   u r l . . . h t t p : / / e x a m p l e . c o m / b a d / u r l h t t p : / / e x a m p l e . c o m : 8 9 8 9 / b a d h t t p : / / e x a m p l e . c o m h t t p : / / e x a m p l e . c o m : 8 9 8 9 / b a d > > > c o n t e n t   = ' 6 1 2 0 6 2 7 5 6 e 6 3 6 8 2 0 6 f 6 6 2 0 7 7 6 f 7 2 6 4 7 3 2 0 6 8 7 4 7 4 7 0 3 a 2 f 2 f 6 5 7 8 6 1 6 d 7 0 6 c 6 5 2 e 6 3 6 f 6 d 2 f 7 0 6 1 7 4 6 8 2 0 6 d 6 f 7 2 6 5 2 0 7 7 6 f 7 2 6 4 7 3 ' > > > f o r   u r l   i n   i o c e x t r a c t . e x t r a c t _ u r l s ( c o n t e n t ) : . . .           p r i n t > > > l i s t ( i o c e x t r a c t . e x t r a c t _ u r l s ( c o n t e n t ) ) [ ' h x x p : / / e x a m p l e . c o m / b a d / u r l ' , ' t c p : / / e x a m p l e [ . ] c o m : 8 9 8 9 / b a d ' ,   ' e x a m p l e [ . ] c o m ' , ' t c p : / / e x a m p l e [ . ] c o m : 8 9 8 9 / b a d ' ] $ i o c e x t r a c t   - h u s a g e : i o c e x t r a c t   [ - h ]   [ - - i n p u t   I N P U T ]   [ - - o u t p u t   O U T P U T ]   [ - - e x t r a c t - e m a i l s ]                             [ - - e x t r a c t - i p s ]   [ - - e x t r a c t - i p v 4 s ] [ - - e x t r a c t - i p v 6 s ]                             [ - - e x t r a c t - u r l s
2 、   部 分 支 持 I P v 6 U R L 地 址 地 址 1 、   协 议 标 识 符 ： h t t p ,   h t t p s ,   t c p , u d p ,   f t p ,   s f t p ,   f t p s 2 、   [ . ] 锚 点 3 、   十 六 进 制 编 码 U R L ： h t t p ,   h t t p s ,   f t p 4 、   U R L 编 码 U R L ： h t t p ,   h t t p s ,   f t p ,   f t p s ,   s f t p 5 、   B a s e 6 4 编 码 U R L ： h t t p ,   h t t p s ,   f t p 电 子 邮 件 地 址 电 子 邮 件 地 址 支 持 部 分 @ 或 a t 锚 点 Y A R A 规 则 规 则 导 入 、 包 含 和 注 释 哈 希 哈 希 1 、   M D 5 2 、   S H A 1 3 、   S H A 2 5 6 4 、   S H A 5 1 2 针 对 I P v 4 地 址 ， 支 持 扫 描 下 列 混 淆 技 术 ： 针 对 电 子 邮 件 地 址 ， 支 持 扫 描 下 列 混 淆 技 术 ： 针 对 针 对 U R L 地 址 ， 支 持 扫 描 下 列 混 淆 技 术 ： 地 址 ， 支 持 扫 描 下 列 混 淆 技 术 ：
项 目 地 址 项 目 地 址 P y t h o n - I o c e x t r a c t ： 【 点 击 底 部 阅 读 原 文 获 取 】 参 考 来 源 ： 参 考 来 源 ： i n q u e s t ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理