微步在线云API
我的API

域名上下文

针对失陷检测当中已命中的恶意域名，查询上下文信息，获取取证及处置建议信息。

调用脚本
Run In Postman
请求方法
请求地址： https://api.threatbook.cn/v3/scene/domain_context

请求方式：POSTGET

使用说明

适用场景： 该接口适用于已命中恶意域名后的上下文补充、样本关联和处置建议查询，常用于失陷排查、恶意域名取证、终端侧清理建议补充等场景。

使用建议： 建议在域名已通过失陷检测、域名分析或安全设备告警确认存在风险后调用，用于进一步获取相关样本、下载链路、取证信息和处置建议。该接口不适合作为域名初筛入口，更适合作为命中后的深度分析补充。

响应字段解读建议： 建议先查看 context 中的关联样本，确认域名与样本之间的关系；再查看 forensics 中的样本威胁等级、文件类型、相关域名和处置建议。若返回样本 Hash，可继续调用文件信誉报告接口获取完整样本行为。

请求参数说明
序号参数名称必选类型描述
1apikey是stringAPI请求的身份识别标识。
2resource是string域名，目前支持单个查询。
3lang可选string返回结果语言。不输入该参数时，默认返回英文。
取值二者选其一：
  • zh：所有返回结果内容中文显示。
  • en：所有返回结果内容英文显示。
响应参数说明
序号参数名称类型描述使用说明
1response_codeint响应正常会返回"0"。
其他Response code及对应msg描述参见"响应Code和Msg对照表"		用于判断本次请求是否成功。业务系统应先判断该字段，再解析 data 内的业务结果；非 0 时建议按异常请求处理。
2verbose_msgstring响应正常会返回"Ok"。
其他Response code及对应msg描述参见"响应Code和Msg对照表"		用于展示或记录接口返回说明，适合写入调用日志和错误排查信息；自动化流程建议以 response_code 为主要判断依据。
3resourcemap查询的域名。JSON Map，Key是域名，value是JSON对象，字段说明如下"4~5"项所示。用于按查询域名组织上下文结果，适合作为域名处置详情的数据入口。
4contextarrayIOC上下文信息，包含相关样本。是一个JSON数组，每个item均是JSON对象，字段说明如下：
  • sample: 样本文件sha256值，字符串类型。
用于查看域名关联的样本和上下文线索，帮助了解该域名为何被关联以及与哪些恶意样本存在关联。
5forensicsarray样本取证及处置建议。目前仅显示域名相关高可信的样本取证信息及处置建议。是一个JSON数组，每一个item均是JSON对象，字段描述如下：
  • sample: 样本取证详情，是一个JSON对象，字段描述如下：
    • sha256：样本文件sha256值。
    • file_type：文件类型。
    • malware_family：恶意家族。
    • malware_type：恶意类型。
    • tag:样本静态标签、检测标签。
    • threat_level：文件威胁等级，含：malicious(恶意)，suspicious(可疑)，clean(安全)。
    • domains：样本相关域名，是一个数组，每个item是一个JSON对象，字段描述如下：
      • domain：域名。
      • ip：域名解析的当前IP。
  • suggestion: 处置建议。是一个JSON对象，例如：删除注册表项"等。
用于查看与域名关联的高可信样本详情及处置建议，可直接用于终端排查、人工分析和自动化处置。
6permalinkstring域名对应的情报查询结果页链接用于跳转到 X 情报中心的情报详情页，适合人工复核、报告留存和协同分析，不建议作为自动化风险判断依据。
请求示例

微步在线云API支持cURL、Python、PHP、Java、Go语言的请求，以Python为例：

Python
import requests

url = "https://api.threatbook.cn/v3/scene/domain_context"

query = {
  "apikey":"请替换apikey",
  "resource":"000o000.00o0000ooo.xyz"
}

response = requests.request("GET", url, params=query)

print(response.json())
响应示例（JSON）
{
  "data": {
    "000o000.00o0000ooo.xyz": {
      "context": [
        {
          "sample": "d41c67c48cc27b39a41b63662581e11776aad1c92ac0843620d9c0ea45f0e54d",
          "source_urls": []
        },
        {
          "sample": "4bb15d9cb213967d39936bab5d9367732ac09e3f76e8e4f5339c41966b7399b0",
          "source_urls": [
            {
              "ip": "34.80.118.160",
              "url": "http://download.00o0000ooo.xyz/listen.exe"
            }
          ]
        }
      ],
      "forensics": [
        {
          "sample": {
            "sha256": "d41c67c48cc27b39a41b63662581e11776aad1c92ac0843620d9c0ea45f0e54d",
            "tag": {
              "s": [
                "PE32",
                "语言chinese"
              ],
              "x": [
                "Backdoor",
                "PcClient"
              ]
            },
            "domains": [
              {
                "domain": "000o000.00o0000ooo.xyz",
                "ip": "35.220.226.203"
              }
            ],
            "file_type": "EXEx86",
            "malware_family": "",
            "malware_type": "",
            "threat_level": "malicious"
          },
          "suggestion": {
            "删除服务": [
              "FastUserSwitchingCompatibility"
            ]
          }
        }
      ],
      "permalink": "https://x.threatbook.com/v5/domain/000o000.00o0000ooo.xyz"
    }
  },
  "response_code": 0,
  "verbose_msg": "OK"
}
云API是北京微步在线科技有限公司旗下产品了解微步在线《用户服务条款》《数据保护政策》联系我们：api@threatbook.cn
Copyright © ThreatBook.CN All Rights Reserved. 京ICP备15044984号-4 北京微步在线科技有限公司 京公网安备11010802025715号