用途：该技能用于从直接粘贴的文本、本地文件路径或 URL 中自动提取入侵指标（Indicators of Compromise，IOC），识别 IPv4/IPv6 地址、域名、URL、邮箱地址以及 MD5/SHA1/SHA256 文件哈希，并输出结构化、已脱敏（defanged）的 IOC 列表，便于安全分享。适用场景包括事件响应中识别恶意基础设施、从威胁情报报告或邮件中提取 IOC、分析日志文件收集攻击者指标，以及准备导入 SIEM 或 TIP 的 IOC 清单。
主要能力：支持三类输入源（直接文本、文件路径、URL）；支持 text/json/csv 输出格式；优先使用 ioc-finder 库进行提取，未安装时回退到正则表达式方式；对域名、URL、邮箱等做脱敏处理（点替换为 [.]，URL scheme 替换为 hxxp[://]），哈希值不需要脱敏；最终按类别输出 IOC 报告并保存原始与脱敏两份 JSON 文件。
使用方式：需 Python 3.6 或更高版本，可选安装 ioc-finder（pip install ioc-finder）。流程为：确认输入源并收集文本，保存到 /tmp/ioc_input.txt；优先调用 ioc-finder 提取并保存 /tmp/ioc_raw.json；若未安装则用正则回退提取；随后对非哈希类指标做脱敏，保存 /tmp/ioc_defanged.json；最后按类别打印结构化报告。完成标准是原始 IOC 按类别保存、脱敏 IOC 保存、终端打印分类列表。
限制与注意事项：脱敏后的 IOC 无法被意外点击，适合分享；需人工复核并排除内网 IP 段（10.x、172.16-31.x、192.168.x）；提取的哈希可交给 malware-hash 技能做 VirusTotal 查询；处理大型日志（1 GB 以上）前建议先用 grep 预过滤可疑行。失败情形包括 ioc-finder 未安装导致 ImportError、结果为空（模式不匹配或编码问题）、误报过多（正则过宽）以及 URL 抓取失败（curl 未安装或网络受限），对应解决方式分别为安装依赖、检查编码、改用 ioc-finder 或加入允许列表、安装 curl 或手动粘贴。