Defang / Fang URLs & IPs

URL 安全化处理（Defang）可将恶意或可疑的 URL 进行无害化处理，使它们在阅读时不会意外点击，也无法被自动超链接解析。工具将 http:// 替换为 hxxp:// 或 hXXps://、将点号 . 替换为 [.]、将 @ 符号替换为 [@] 等。反向操作（Refang）则将安全化的 URL 还原为原始格式。这个工具广泛用于安全报告、威胁情报分析和网络安全教学中，确保分享恶意网址时不会意外触发攻击。

URL 安全化处理在信息安全领域是标准操作。安全研究人员（SOC 分析师、威胁猎手）在撰写安全报告和威胁情报文档时，需要分享恶意 URL 给同事或提交到分析平台，但不能让读者意外点击。电子邮件安全产品（如 Mimecast、Proofpoint）在隔离区的钓鱼邮件预览中，对可疑 URL 自动安全化防止二次点击。网络安全培训材料中的钓鱼示例也需要安全化。开发安全检测规则（如 IDS/IPS 签名）时，安全化的 URL 可以安全地作为测试数据。

配合 Safelink 解码器 解码安全链接保护服务（如 Microsoft Safelinks）包裹的 URL，或使用 PII 脱敏器 处理更广泛的敏感信息脱敏。

标准的安全化处理策略（遵循 Any.Run 和 OTX 等平台惯例）：

• 协议替换：http:// → hxxp:// 或 hXXps://。hxxp 是一个不存在的协议，不会被浏览器自动识别为可点击链接
• 点号和冒号替换：example.com → example[.]com、IP 1.2.3.4 → 1[.]2[.]3[.]4
• @ 符号替换：[email protected] → user[@]example.com。防止邮件客户端自动链接
• 邮件头替换：Received: from [...] 改为 Received: from x[.]x[.]x[.]x 是邮件分析中安全化 IP 的标准做法

• 不可逆性：某些 agressive 的安全化方法（如完全移除协议）可能是不可逆的。建议使用标准的可逆模式（如 hxxp → http 是可逆的）。
• 协议伪造：安全化 URL 仍然保留了路径、查询参数等关键信息，不要误以为安全化后就可以安全地存储在未保护的文档中。
• 社交媒体自动预览：部分社交平台（如 Twitter/X、Slack）可能聪明到识别 hxxp 格式并仍然生成预览卡片。分享前检查平台行为。
• 合法的安全化场景：不要将正常的开发者参考链接进行安全化——安全化仅用于已知为恶意或可疑的 URL。

在撰写安全报告、分享可疑 URL、或在网络安全培训中创建示例时使用此工具。对于需要自动化安全化处理的场景（如邮件网关），使用 Python iocextract 库的 defang 功能或 JavaScript 的正则替换脚本。