菜单
监控暗网论坛、市场、粘贴站点和勒索软件泄露站点，寻找组织资产提及、泄露凭据、威胁攻击和威胁行为者通信，提供早期预警情报。当建立暗网监控覆盖、调查特定数据泄露声明，或用暗网背景丰富事件调查时使用。适用于涉及暗网 OSINT、泄露站点监控、凭据暴露、Recorded Future 暗网或 Tor 隐藏服务情报的请求。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill monitoring-darkweb-sources命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
正在显示 SKILL.md
基于 SOC 职业分类
| name | monitoring-darkweb-sources |
| description | 监控暗网论坛、市场、粘贴站点和勒索软件泄露站点，寻找组织资产提及、泄露凭据、威胁攻击和威胁行为者通信，提供早期预警情报。当建立暗网监控覆盖、调查特定数据泄露声明，或用暗网背景丰富事件调查时使用。适用于涉及暗网 OSINT、泄露站点监控、凭据暴露、Recorded Future 暗网或 Tor 隐藏服务情报的请求。 |
| domain | cybersecurity |
| subdomain | threat-intelligence |
| tags | ["dark-web","OSINT","credential-monitoring","ransomware-leaks","Recorded-Future","SpiderFoot","CTI"] |
| version | 1.0.0 |
| author | team-cybersecurity |
| license | Apache-2.0 |
在以下情况下使用本技能：
请勿在没有适当操作安全措施的情况下使用本技能——在没有隔离的情况下浏览暗网会将分析师基础设施暴露给对手反情报。
在您的 CTI 平台（例如 Recorded Future 暴露模块）中配置暗网监控关键词：
company.com、@company.com、company[dot]com大多数商业服务（Flashpoint、Intel 471、Cybersixgill）在不暴露分析师的情况下爬取 XSS、Exploit[.]in、BreachForums 等论坛和俄语网络犯罪社区。
对于需要直接访问暗网的调查：
环境设置：
粘贴站点监控（明网可访问，无需 Tor）：
# 通过 API 搜索粘贴站点
curl "https://psbdmp.ws/api/search/company.com" | jq '.data[].id'
curl "https://pastebin.com/search?q=company.com" # 限速公共搜索
勒索软件组织维护 .onion 泄露站点。通过商业服务而非直接访问来监控这些站点。当出现针对您组织的声明时：
已知活跃勒索软件泄露站点运营者（截至 2025 年初）：LockBit（2024 年 2 月被打击）、ALPHV/BlackCat（2023 年 12 月被打击）、Cl0p、RansomHub、Play。
对于泄露凭据监控：
当确认凭据暴露时：
对于每个暗网发现：
| 术语 | 定义 |
|---|---|
| 暗网（Dark Web） | Tor 可访问的隐藏服务（.onion 域），未被标准搜索引擎索引；托管合法和犯罪内容 |
| 粘贴站点（Paste Site） | 明网文本共享站点（Pastebin、Ghostbin），常用于发布被盗数据或恶意软件配置 |
| 勒索软件泄露站点（Ransomware Leak Site） | 勒索软件组织运营的 .onion 站点，发布受害者被盗数据作为勒索筹码 |
| 操作安全（OPSEC） | 在暗网调查期间保护分析师身份和组织从属关系 |
| 凭据填充（Credential Stuffing） | 对身份验证系统自动使用泄露的用户名/密码对 |
| 信息窃取器日志（Stealer Logs） | 信息窃取恶意软件外泄的数据包，包含保存的浏览器凭据、Cookie 和会话令牌 |