恶意 URL 调查指南
如何调查可疑 URL：静态解析、重定向/解码分析、声誉检查与安全分流，全程不访问目标。
快速解答
静态调查可疑 URL：解析协议/主机/路径/查询参数，解码混淆与重定向参数，检查目标域名/IP 的声誉，然后才决定阻断或追踪——绝不要先点击它。
定义
针对可疑 URL 的调查程序：静态解析其结构，检查编码/混淆部分与声誉，并在分析人员无需访问目标的情况下决定处置方式。
目标
判断 URL 是否为恶意——钓鱼、路过式下载（drive-by）、凭据窃取、C2——且分析人员无需导航访问它。
前置条件
- 可疑 URL；静态解析器与声誉查询。
证据收集
- 解析协议（
https://）、主机、端口、路径、查询参数、片段；注意国际化或转义编码。 - 解码百分号编码/base64 以及任何重定向（
?url=、redirect=）、开放重定向参数——参见guides:tool-url-analyzer-guide。 - 声誉：检查主机域名/IP（
guides:tool-url-guide、guides:suspicious-domain-investigation）。
指标
- 仿冒/域名抢注主机、查询参数中的编码载荷、重定向至登录页的窃取模式、非常年轻的域名，或已知恶意 IP。
验证
- 在判定为恶意之前，关联主机声誉 + 静态危险信号（≥2 个信号）；未解码的裸短链接在静态解码落地目标之前仍保持不确定。
调查
- 沿静态重定向链追踪至最终主机，然后由主机 → IP → 其他主机/IOC 进行枢纽（见
guides:tool-ioc-guide）。
决策
- 若钓鱼/凭据窃取特征明显则阻断/DLP；若与邮件关联则追踪；若为良性则不处理。
遏制与缓解
- 添加 URL/域名阻断规则，对匹配的邮箱告警，并转入钓鱼响应流程（
guides:phishing-email-investigation-playbook）。
参考资料
- MITRE T1189 / T1566；OWASP 如所列。