URL 与 IP 去毒化 / 还原

Defang/Fang URL 与 IP 工具的工作原理

工具功能

Defang/Fang 工具通过替换会触发自动生成超链接的字符，将 URL 和 IP 地址转换为安全、不可点击的格式。Defang 会把点号替换为 [.]，并将协议分隔符替换为 [://]，生成如 hxxps://example[.]com 或 192[.]168[.]1[.]1 这样的字符串。反向操作（fanging）会恢复为原始的可点击形式。这是网络安全与威胁情报报告中的标准做法，用于防止意外跳转到恶意站点。

常见开发者使用场景

安全分析师在事件报告、威胁情报订阅源、SIEM 告警、邮件线程和 Slack 频道中分享入侵指标（IoCs）时，会对 URL 和 IP 进行 defang，以避免读者误点恶意链接。构建威胁情报平台或 SOAR 工具的开发者，会将 defang 作为在存储或展示 IoC 之前的预处理步骤。为自动化扫描或富集工作流恢复 URL 时，则需要进行 fanging。

数据格式、类型或变体

Defang 后的 URL 会将协议（http 或 https）的分隔符 :// 替换为 [://]，并将主机名与路径中的每个点号替换为 [.]。IPv4 地址会将每个点号替换为 [.]，生成如 10[.]0[.]0[.]1 的格式。IPv6 地址可能会将冒号替换为 [:]。有些约定也会对顶级域（TLD）进行括号处理，例如 example[.]com。具体格式可能因工具和组织而异，因此在将 defang 的 IoC 导入自动化系统之前，务必确认期望的格式。

常见陷阱与边界情况

不同的威胁情报平台使用的 defang 约定略有差异，因此 fanging 工具必须处理多种括号样式。带有非标准端口或认证凭据的 URL 可能无法被干净地 defang。Defang 只是外观层面的安全措施，并不会对底层 URL 进行净化或校验——在进行 fanging 并将其输入自动化流水线时，始终将 defang 的 IoC 视为不可信输入。

何时使用此工具而非代码

在撰写报告或在聊天中分享 IoC 时，可使用此浏览器工具进行快速手动 defang。对于自动化的威胁情报流水线，请集成如 iocextract 或 defang（Python）之类的库，或用你偏好的语言编写一个基于正则表达式的简单工具，以便在所有 IoC 数据上以一致且可编程的方式应用 defang。