القائمة
品牌仿冒与钓鱼域名监控。当用户要求"品牌仿冒检测"、"钓鱼域名监控"、"相似域名发现"、"仿冒网站检测"、"品牌保护"、"域名抢注监控"、"同形字攻击检测"、"Typosquatting检测"时使用此技能。
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
邮箱情报调查与关联分析。当用户要求"邮箱调查"、"邮箱搜索"、"查邮箱"、"邮箱关联"、"社交账号发现"、"用户名搜索"、"数字足迹"、"OSINT调查"、"人肉搜索"时使用此技能。
企业级目标情报收集。对目标企业进行资产发现、技术栈识别和攻击面测绘。当用户要求"企业资产发现"、"攻击面测绘"、"目标侦察"、"企业情报收集"、"外部资产发现"时使用此技能。
NGO组织攻击面侦察。针对非政府组织的攻击面测绘和社工预研。当用户要求"NGO渗透测试"、"非营利组织侦察"、"人权组织攻击面"、"媒体组织渗透"、"公民社会目标分析"时使用此技能。
个人目标情报收集。针对特定个人的OSINT收集和社工画像分析。当用户要求"人物画像"、"个人情报"、"OSINT调查"、"社工预研"、"VIP安全评估"、"高管风险评估"时使用此技能。
Evaluate access requests and existing privileges with least-privilege policy, segregation-of-duties checks, and approval recommendations.
Identify noisy or redundant alerts and propose safe suppression, deduplication, and threshold tuning with validation criteria.
| name | brand-impersonation |
| description | 品牌仿冒与钓鱼域名监控。当用户要求"品牌仿冒检测"、"钓鱼域名监控"、"相似域名发现"、"仿冒网站检测"、"品牌保护"、"域名抢注监控"、"同形字攻击检测"、"Typosquatting检测"时使用此技能。 |
| metadata | {"version":"1.0.0","builtin":true} |
Python 版本: 3.8+
外部 MCP 服务:
| MCP | 工具 | 用途 |
|---|---|---|
| cybersec-cloud | cybersec_cloud_mcp_cyberspace-search | 仿冒域名搜索 |
| cybersec-cloud | cybersec_cloud_mcp_risk_insight | 域名威胁情报 |
| cybersec-cloud | cybersec_cloud_mcp_intel_icp_lookup | 备案信息对比 |
可选依赖:
pip install python-whois dnspython idna confusables
# 同形字检测
python scripts/homograph_detector.py "apple.com" --brand-check
# CT Logs 监控
curl -s "https://crt.sh/?q=%.apple.com&output=json" | python scripts/ct_monitor.py
# 相似域名生成
python scripts/typo_generator.py "example.com"
| 资产类型 | 示例 | 说明 |
|---|---|---|
| 主域名 | example.com | 官网域名 |
| 品牌名 | Example Inc | 企业名称 |
| 产品名 | ExampleApp | 产品品牌 |
| 商标 | EXAMPLE | 注册商标 |
| 高管姓名 | John CEO | 高管姓名 |
主关键词: example
变体: examp1e, exampl3, exampie
音似: egzample
缩写: exmpl, ex
组合: example-app, myexample, get-example
原理: 使用视觉相似的 Unicode 字符替换
| 正常字符 | 同形字符 | Unicode |
|---|---|---|
| a | а (西里尔) | U+0430 |
| e | е (西里尔) | U+0435 |
| o | о (西里尔) | U+043E |
| p | р (西里尔) | U+0440 |
| c | с (西里尔) | U+0441 |
| x | х (西里尔) | U+0445 |
| i | і (乌克兰) | U+0456 |
| l | 1 (数字) | U+0031 |
检测方法:
python scripts/homograph_detector.py "аpple.com"
# 输出: 检测到同形字攻击
# 伪造: аpple.com (包含西里尔字母 а)
# 目标: apple.com
| 类型 | 示例 (针对 example.com) |
|---|---|
| 遗漏字母 | examle.com, exmple.com |
| 重复字母 | examplle.com, exxample.com |
| 相邻键误触 | rxample.com, ezample.com |
| 字母互换 | exapmle.com, examlpe.com |
| 添加字母 | examplea.com, exsample.com |
| 常见拼写 | exampel.com |
生成脚本:
python scripts/typo_generator.py "example.com" --all
| 类型 | 模式 | 示例 |
|---|---|---|
| 前缀添加 | {prefix}-{brand} | secure-example.com |
| 后缀添加 | {brand}-{suffix} | example-login.com |
| 子域伪装 | {brand}.{random} | example.com.attacker.xyz |
| TLD 变换 | {brand}.{tld} | example.net, example.xyz |
常见恶意前后缀:
前缀: secure-, login-, account-, verify-, update-, support-
后缀: -login, -secure, -support, -verify, -update, -account
# 查询所有包含品牌名的证书
curl -s "https://crt.sh/?q=%25example%25&output=json" | \
python3 -c "
import sys, json
data = json.load(sys.stdin)
for cert in data:
issuer = cert.get('issuer_name', '')
name = cert.get('name_value', '')
not_before = cert.get('not_before', '')
print(f'{not_before} | {name}')
" | sort -r | head -50
监控维度：
告警规则:
| 条件 | 风险等级 |
|---|---|
| 精确匹配品牌名 + 非官方 | 高 |
| 包含品牌 + 可疑 TLD | 高 |
| 同形字品牌 | 高 |
| 品牌 + 敏感词 (login/secure) | 中 |
MCP 调用: cybersec_cloud_mcp_cyberspace-search
查询语法:
- title="Example" && -hostname="example.com" # 标题包含品牌但非官方
- hostname="*example*" && -hostname="example.com" # 域名包含品牌
- body="Example Inc" && -hostname="example.com" # 正文包含公司名
| 特征 | 检测方法 |
|---|---|
| 官网内容复制 | body 相似度对比 |
| Logo 相同 | 图片哈希对比 |
| 登录表单 | 表单元素检测 |
| HTTPS 证书 | 证书主体不匹配 |
| 维度 | 权重 | 评估标准 |
|---|---|---|
| 域名相似度 | 30% | 编辑距离/同形字 |
| 域名年龄 | 20% | 新注册=高风险 |
| 证书状态 | 15% | Let's Encrypt=中风险 |
| 网站内容 | 25% | 是否有登录表单 |
| 托管位置 | 10% | 防弹托管=高风险 |
| 分数 | 等级 | 行动 |
|---|---|---|
| 80-100 | 高危 | 立即下架请求 |
| 50-79 | 中危 | 持续监控 + 预警 |
| 20-49 | 低危 | 记录备案 |
| 0-19 | 安全 | 忽略 |
| 检查项 | 方法 |
|---|---|
| 页面内容 | 截图对比官网 |
| 登录功能 | 是否有凭证收集 |
| 联系信息 | 是否使用官方联系方式 |
| ICP 备案 | 备案主体是否一致 |
| WHOIS | 注册人是否官方 |
# 截图保存
# 网页内容存档
curl -s "https://phishing-site.com" > evidence/page.html
# WHOIS 记录
whois phishing-site.com > evidence/whois.txt
# DNS 记录
dig phishing-site.com ANY > evidence/dns.txt
| 方式 | 适用场景 | 时效 |
|---|---|---|
| 域名注册商投诉 | 明确侵权 | 1-7天 |
| 托管商投诉 | 恶意内容 | 1-3天 |
| 证书吊销请求 | 恶意证书 | 1-3天 |
| 浏览器黑名单 | 钓鱼确认 | 即时 |
| 搜索引擎下架 | SEO 钓鱼 | 1-5天 |
Subject: Phishing/Brand Impersonation Report - {domain}
Dear Abuse Team,
We are reporting a domain that is impersonating our brand:
Infringing Domain: {phishing_domain}
Official Domain: {official_domain}
Evidence: [screenshots, content comparison]
This domain is being used for phishing attacks targeting our customers.
We request immediate suspension of this domain.
Best regards,
{Company} Security Team
| 资产类型 | 频率 | 方法 |
|---|---|---|
| 核心品牌 | 实时 | CT Logs 订阅 |
| 产品名 | 每日 | 定时搜索 |
| 高管姓名 | 每周 | 社交监控 |
rules:
- name: "核心品牌仿冒"
condition:
- domain_contains: "example"
- not_official: true
- age_days: < 30
severity: high
action: immediate_alert
- name: "相似域名注册"
condition:
- similarity: > 0.8
- age_days: < 7
severity: medium
action: daily_report
| 任务 | 命令 |
|---|---|
| 同形字检测 | python scripts/homograph_detector.py "domain" |
| 打字错误生成 | python scripts/typo_generator.py "domain" |
| CT Logs 查询 | curl "https://crt.sh/?q=%brand%&output=json" |
| 网空搜索 | cybersec_cloud_mcp_cyberspace-search: title="Brand" |
| WHOIS 查询 | whois domain.com |
| 截图存证 | 浏览器截图或 headless |
仿冒域名,类型,相似度,注册时间,IP,风险等级,状态
examp1e.com,同形字,95%,2024-01-01,1.2.3.4,高,待处置
example-login.com,组合,80%,2024-01-02,5.6.7.8,中,监控中
# 品牌仿冒监控日报
**品牌**: Example Inc
**监控周期**: 2024-01-01
## 新发现
| 域名 | 类型 | 风险 |
|------|------|------|
| examp1e.com | 同形字 | 高 |
## 处置进展
| 域名 | 状态 | 更新 |
|------|------|------|
| fake-example.com | 已下架 | 2024-01-01 |
## 统计
- 监控域名: 150
- 新发现: 3
- 处置中: 5
- 已下架: 12
| 场景 | 调用技能 |
|---|---|
| 域名详情 | domain-analysis |
| IP 归属 | ip-analysis |
| 钓鱼页面 | url-analysis |
| 恶意附件 | phishing-analysis |