使用 URLScan 分析惡意網址 是做什麼的？
概述
URLScan.io 是一個免費服務，用於掃描和分析可疑網址。它能在隔離環境中捕捉網頁的螢幕截圖、DOM 內容、HTTP 交易、JavaScript 行為以及網路連線。這項技能涵蓋如何使用 URLScan 的網頁介面和 API 來調查釣魚網址、憑證竊取頁面以及惡意重新導向，且不讓分析者的系統暴露於風險中。
使用時機
- 調查需要透過 urlscan 分析惡意網址的安全事件時
- 為此領域建立偵測規則或威脅獵捕查詢時
- SOC 分析師需要此類分析類型的結構化流程時
- 驗證相關攻擊技術的安全監控涵蓋範圍時
先決條件
- URLScan.io 帳戶（免費方案可用，API 金鑰用於自動化）
- Python 3.8+ 並安裝 requests 函式庫
- 了解 HTTP 通訊協定與網頁技術
- 熟悉釣魚網址模式
關鍵概念
URLScan 功能
- 安全瀏覽：在隔離的 Chromium 實例中渲染網址
- 螢幕截圖捕捉：渲染頁面的視覺快照
- DOM 分析：JavaScript 執行後的完整 HTML 內容
- 網路日誌：頁面發出的所有 HTTP 請求（HAR 格式）
- 憑證分析：SSL/TLS 憑證詳細資訊
- 技術偵測：識別網頁框架與函式庫
- IP/ASN 對應：基礎設施情報
- 判定結果：社群與自動化分類
釣魚網址紅旗
- 新註冊網域（少於 30 天）
- 免費託管服務（Wix、GitHub Pages、Firebase）
- 隱藏最終目的地的網址縮短服務
- 過多的子網域層級（login.microsoft.com.evil.com）
- 品牌名稱出現在子網域或路徑，而非主網域
- 非標準通訊埠
- 資料 URI 或 base64 編碼內容
- 大量 JavaScript、極少 HTML 的頁面
工作流程
步驟 1：將網址提交至 URLScan
網頁：前往 https://urlscan.io 並提交可疑網址
API：POST https://urlscan.io/api/v1/scan/
標頭：API-Key: your-api-key
請求主體：{"url": "https://suspicious-url.com", "visibility": "private"}
步驟 2：分析結果
- 檢視螢幕截圖以識別品牌冒充
- 檢查重新導向與最終目標網址
- 檢查 DOM 中是否有憑證輸入表單
- 檢視網路請求以找出資料外洩端點
- 檢查 SSL 憑證的有效性與簽發者
步驟 3：提取入侵指標
- 接觸到的網域與 IP
- 重新導向鏈中的網址
- 頁面資源的 SHA-256 雜湊值
- JavaScript 檔案雜湊值
步驟 4：與威脅情報交叉比對
使用 scripts/process.py 自動化網址掃描、提取 IOC，並與 VirusTotal、PhishTank 及 Google Safe Browsing 進行交叉比對。
工具與資源
- URLScan.io：https://urlscan.io/
- URLScan API：https://urlscan.io/docs/api/
- VirusTotal 網址掃描器：https://www.virustotal.com/
- PhishTank：https://phishtank.org/
- Google Safe Browsing：https://transparencyreport.google.com/safe-browsing/search
- Any.Run：https://any.run/（互動式沙箱）
- Hybrid Analysis：https://www.hybrid-analysis.com/
驗證
- 成功透過 API 掃描可疑網址
- 提取螢幕截圖並識別品牌冒充
- 記錄完整的重新導向鏈
- 從掃描結果產生 IOC 清單
- 與至少 2 個威脅情報來源交叉比對發現結果