Menu
品牌仿冒与钓鱼域名监控。当用户要求"品牌仿冒检测"、"钓鱼域名监控"、"相似域名发现"、"仿冒网站检测"、"品牌保护"、"域名抢注监控"、"同形字攻击检测"、"Typosquatting检测"时使用此技能。
Install with Codex or Claude Copy this prompt, paste it into Codex, Claude, or another assistant, and let it review the skill page and install it for you.
Based on SOC occupation classification
| name | brand-impersonation |
| description | 品牌仿冒与钓鱼域名监控。当用户要求"品牌仿冒检测"、"钓鱼域名监控"、"相似域名发现"、"仿冒网站检测"、"品牌保护"、"域名抢注监控"、"同形字攻击检测"、"Typosquatting检测"时使用此技能。 |
| metadata | {"version":"1.0.0","builtin":true} |
Python 版本: 3.8+
外部 MCP 服务:
| MCP | 工具 | 用途 |
|---|---|---|
| cybersec-cloud | cybersec_cloud_mcp_cyberspace-search | 仿冒域名搜索 |
| cybersec-cloud | cybersec_cloud_mcp_risk_insight | 域名威胁情报 |
| cybersec-cloud | cybersec_cloud_mcp_intel_icp_lookup | 备案信息对比 |
可选依赖:
pip install python-whois dnspython idna confusables
# 同形字检测
python scripts/homograph_detector.py "apple.com" --brand-check
# CT Logs 监控
curl -s "https://crt.sh/?q=%.apple.com&output=json" | python scripts/ct_monitor.py
# 相似域名生成
python scripts/typo_generator.py "example.com"
| 资产类型 | 示例 | 说明 |
|---|---|---|
| 主域名 | example.com | 官网域名 |
| 品牌名 | Example Inc | 企业名称 |
| 产品名 | ExampleApp | 产品品牌 |
| 商标 | EXAMPLE | 注册商标 |
| 高管姓名 | John CEO | 高管姓名 |
主关键词: example
变体: examp1e, exampl3, exampie
音似: egzample
缩写: exmpl, ex
组合: example-app, myexample, get-example
原理: 使用视觉相似的 Unicode 字符替换
| 正常字符 | 同形字符 | Unicode |
|---|---|---|
| a | а (西里尔) | U+0430 |
| e | е (西里尔) | U+0435 |
| o | о (西里尔) | U+043E |
| p | р (西里尔) | U+0440 |
| c | с (西里尔) | U+0441 |
| x | х (西里尔) | U+0445 |
| i | і (乌克兰) | U+0456 |
| l | 1 (数字) | U+0031 |
检测方法:
python scripts/homograph_detector.py "аpple.com"
# 输出: 检测到同形字攻击
# 伪造: аpple.com (包含西里尔字母 а)
# 目标: apple.com
| 类型 | 示例 (针对 example.com) |
|---|---|
| 遗漏字母 | examle.com, exmple.com |
| 重复字母 | examplle.com, exxample.com |
| 相邻键误触 | rxample.com, ezample.com |
| 字母互换 | exapmle.com, examlpe.com |
| 添加字母 | examplea.com, exsample.com |
| 常见拼写 | exampel.com |
生成脚本:
python scripts/typo_generator.py "example.com" --all
| 类型 | 模式 | 示例 |
|---|---|---|
| 前缀添加 | {prefix}-{brand} | secure-example.com |
| 后缀添加 | {brand}-{suffix} | example-login.com |
| 子域伪装 | {brand}.{random} | example.com.attacker.xyz |
| TLD 变换 | {brand}.{tld} | example.net, example.xyz |
常见恶意前后缀:
前缀: secure-, login-, account-, verify-, update-, support-
后缀: -login, -secure, -support, -verify, -update, -account
# 查询所有包含品牌名的证书
curl -s "https://crt.sh/?q=%25example%25&output=json" | \
python3 -c "
import sys, json
data = json.load(sys.stdin)
for cert in data:
issuer = cert.get('issuer_name', '')
name = cert.get('name_value', '')
not_before = cert.get('not_before', '')
print(f'{not_before} | {name}')
" | sort -r | head -50
监控维度：
告警规则:
| 条件 | 风险等级 |
|---|---|
| 精确匹配品牌名 + 非官方 | 高 |
| 包含品牌 + 可疑 TLD | 高 |
| 同形字品牌 | 高 |
| 品牌 + 敏感词 (login/secure) | 中 |
MCP 调用: cybersec_cloud_mcp_cyberspace-search
查询语法:
- title="Example" && -hostname="example.com" # 标题包含品牌但非官方
- hostname="*example*" && -hostname="example.com" # 域名包含品牌
- body="Example Inc" && -hostname="example.com" # 正文包含公司名
| 特征 | 检测方法 |
|---|---|
| 官网内容复制 | body 相似度对比 |
| Logo 相同 | 图片哈希对比 |
| 登录表单 | 表单元素检测 |
| HTTPS 证书 | 证书主体不匹配 |
| 维度 | 权重 | 评估标准 |
|---|---|---|
| 域名相似度 | 30% | 编辑距离/同形字 |
| 域名年龄 | 20% | 新注册=高风险 |
| 证书状态 | 15% | Let's Encrypt=中风险 |
| 网站内容 | 25% | 是否有登录表单 |
| 托管位置 | 10% | 防弹托管=高风险 |
| 分数 | 等级 | 行动 |
|---|---|---|
| 80-100 | 高危 | 立即下架请求 |
| 50-79 | 中危 | 持续监控 + 预警 |
| 20-49 | 低危 | 记录备案 |
| 0-19 | 安全 | 忽略 |
| 检查项 | 方法 |
|---|---|
| 页面内容 | 截图对比官网 |
| 登录功能 | 是否有凭证收集 |
| 联系信息 | 是否使用官方联系方式 |
| ICP 备案 | 备案主体是否一致 |
| WHOIS | 注册人是否官方 |
# 截图保存
# 网页内容存档
curl -s "https://phishing-site.com" > evidence/page.html
# WHOIS 记录
whois phishing-site.com > evidence/whois.txt
# DNS 记录
dig phishing-site.com ANY > evidence/dns.txt
| 方式 | 适用场景 | 时效 |
|---|---|---|
| 域名注册商投诉 | 明确侵权 | 1-7天 |
| 托管商投诉 | 恶意内容 | 1-3天 |
| 证书吊销请求 | 恶意证书 | 1-3天 |
| 浏览器黑名单 | 钓鱼确认 | 即时 |
| 搜索引擎下架 | SEO 钓鱼 | 1-5天 |
Subject: Phishing/Brand Impersonation Report - {domain}
Dear Abuse Team,
We are reporting a domain that is impersonating our brand:
Infringing Domain: {phishing_domain}
Official Domain: {official_domain}
Evidence: [screenshots, content comparison]
This domain is being used for phishing attacks targeting our customers.
We request immediate suspension of this domain.
Best regards,
{Company} Security Team
| 资产类型 | 频率 | 方法 |
|---|---|---|
| 核心品牌 | 实时 | CT Logs 订阅 |
| 产品名 | 每日 | 定时搜索 |
| 高管姓名 | 每周 | 社交监控 |
rules:
- name: "核心品牌仿冒"
condition:
- domain_contains: "example"
- not_official: true
- age_days: < 30
severity: high
action: immediate_alert
- name: "相似域名注册"
condition:
- similarity: > 0.8
- age_days: < 7
severity: medium
action: daily_report
| 任务 | 命令 |
|---|---|
| 同形字检测 | python scripts/homograph_detector.py "domain" |
| 打字错误生成 | python scripts/typo_generator.py "domain" |
| CT Logs 查询 | curl "https://crt.sh/?q=%brand%&output=json" |
| 网空搜索 | cybersec_cloud_mcp_cyberspace-search: title="Brand" |
| WHOIS 查询 | whois domain.com |
| 截图存证 | 浏览器截图或 headless |
仿冒域名,类型,相似度,注册时间,IP,风险等级,状态
examp1e.com,同形字,95%,2024-01-01,1.2.3.4,高,待处置
example-login.com,组合,80%,2024-01-02,5.6.7.8,中,监控中
# 品牌仿冒监控日报
**品牌**: Example Inc
**监控周期**: 2024-01-01
## 新发现
| 域名 | 类型 | 风险 |
|------|------|------|
| examp1e.com | 同形字 | 高 |
## 处置进展
| 域名 | 状态 | 更新 |
|------|------|------|
| fake-example.com | 已下架 | 2024-01-01 |
## 统计
- 监控域名: 150
- 新发现: 3
- 处置中: 5
- 已下架: 12
| 场景 | 调用技能 |
|---|---|
| 域名详情 | domain-analysis |
| IP 归属 | ip-analysis |
| 钓鱼页面 | url-analysis |
| 恶意附件 | phishing-analysis |
邮箱情报调查与关联分析。当用户要求"邮箱调查"、"邮箱搜索"、"查邮箱"、"邮箱关联"、"社交账号发现"、"用户名搜索"、"数字足迹"、"OSINT调查"、"人肉搜索"时使用此技能。
企业级目标情报收集。对目标企业进行资产发现、技术栈识别和攻击面测绘。当用户要求"企业资产发现"、"攻击面测绘"、"目标侦察"、"企业情报收集"、"外部资产发现"时使用此技能。
NGO组织攻击面侦察。针对非政府组织的攻击面测绘和社工预研。当用户要求"NGO渗透测试"、"非营利组织侦察"、"人权组织攻击面"、"媒体组织渗透"、"公民社会目标分析"时使用此技能。
个人目标情报收集。针对特定个人的OSINT收集和社工画像分析。当用户要求"人物画像"、"个人情报"、"OSINT调查"、"社工预研"、"VIP安全评估"、"高管风险评估"时使用此技能。
Evaluate access requests and existing privileges with least-privilege policy, segregation-of-duties checks, and approval recommendations.
Identify noisy or redundant alerts and propose safe suppression, deduplication, and threshold tuning with validation criteria.