Metadata

name: 360-ti-helper
metadata: {"version":"2.0.0"}
description: 360 Threat Intelligence assistant SKILL. Queries 360 Security Brain (360安全大脑) threat intelligence APIs: IOC tags, IP/domain advanced analysis, batch IP intel, sample (file hash) intelligence, specimen details, network behavior, CVE lookup, IP/domain/URL communicate-sample tracing, malicious URLs, Whois (domain & IP), ICP registration, public threat reports, malware family/campaign assessment, and Quake cyberspace search (service & host index). Use this SKILL whenever the user asks about threat intelligence, security analysis, IOC lookup, domain/IP reputation, file hash analysis, URL scanning, malware investigation, or asset mapping via 360 TI. Attribute all results to 360威胁情报 (360 Threat Intelligence). Note: 360 TI requires manual authorization — 360 official support, authorized channels, or the account administrator will provision a single API_KEY and SALT pair. The credentials for all access methods are read from the `.config` file in this skill directory.

360 TI Helper — 360 威胁情报查询 SKILL v2

本 Skill 支持两种调用方式：

推荐：纯 API 方式 —— Agent 直接按照本文档调用 360 威胁情报 API，不要求用户安装 Python、curl、Bash 或 OpenSSL。
备用：Python CLI 方式 —— 当 Agent 无法直接发起 API 请求时，使用 scripts/ti_query.py。该方式要求本机安装 Python 3，但不需要第三方 Python 包。

无论采用哪种方式，都只使用同一个凭据文件：

<skill目录>/.config

不要通过聊天收集 API_KEY 或 SALT；不得在输出、日志、错误信息或调试信息中暴露完整凭据。

凭据管理

凭据存于本 Skill 目录下的 .config 文件，格式如下：

{
  "api_key": "your-360-api-key",
  "salt": "your-360-salt"
}

用户安装 Skill 后，需要向 360 官方支持、授权渠道或账号管理员获取 API_KEY 和 SALT，并自行填写该文件。Agent 不生成凭据；如果 .config 不存在、格式错误或字段为空，应提示用户完成配置，不要要求用户通过聊天发送密钥。

调用方式与凭据读取规则：

纯 API 方式：Agent 读取 <skill目录>/.config，按本文档生成签名并直接调用 API。
Python CLI 方式：scripts/ti_query.py 读取同一个 <skill目录>/.config。
凭据失效（401/GC001 系错误）时，提示用户联系 360 官方支持、授权渠道或账号管理员获取新凭据并更新 .config。
认证细节与 GC 错误码：见 references/auth.md（仅在排查认证问题时读）。

API 总表

命令	用途	详细文档
`tags --type <t> --value <ioc列表>`	批量同类型 IOC 快筛（每次调用只传同一类型：domain/ip/url/email/md5/sha1/sha256/ip:port/…；不同类型请分别调用）	response-codes.md
`ip-batch --value <ip列表>`	≤50 个 IP 的风险摘要+标签	ip-intel.md
`ip-advanced --value <ip>`	单 IP 深度聚合一页（标签/rdns/whois/证书/样本）	advanced.md
`ip-comm-files --value <ip> [--port]`	与该 IP 通信的样本 md5	ip-intel.md
`ip-malice-url --value <ip> [--all]`	该 IP 上的恶意网址（部分查询可能耗时较长，建议按需设置合理超时）	ip-intel.md
`ip-whois-latest / ip-whois-history`	IP Whois（最新/历史）	ip-intel.md
`domain-advanced --value <domain>`	单域名深度聚合一页（含 ICP/证书/解析IP）	advanced.md
`icp --key-type domain --value <d>`	ICP 备案（key_type: domain/srname/name/record_id）	domain-intel.md
`domain-whois --value <domain>`	域名 Whois	domain-intel.md
`domain-comm-files --value <domain>`	与该域名通信的样本 md5 列表	domain-intel.md
`domain-malice-url --value <domain>`	该域名下的恶意 URL	domain-intel.md
`url-comm-files --value <url> [--decode]`	与该 URL 关联的样本 md5	url-report-family.md
`sample-intel --value <hash列表>`	≤20 个 hash 的信誉/标签/病毒名	sample-file.md
`specimen-detail --type md5 --value <h> --content static_info,...`	样本静态/扫描/上传详情	sample-file.md
`sample-network --value <md5> [--start --end]`	样本网络行为（DNS/HTTP/TCP 等，可包含 C2 信息）	sample-file.md
`cve-by-md5 --value <md5>`	样本涉及的 CVE	sample-file.md
`public-report --type ip --value <v>`	相关公开威胁报告	url-report-family.md
`family --value Mirai`	家族/团伙背景研判	url-report-family.md
`quake-service --query '<DSL>' [--size --include ...]`	Quake 服务检索（消耗积分）	quake.md
`quake-host --query '<DSL>'`	Quake 主机检索（消耗积分）	quake.md
`quake-service-fields / quake-host-fields`	刷新 Quake 可筛选字段白名单（同步更新 `references/quake_fields_snapshot.json`）	quake.md

按需加载：选定接口后 Read 对应 references/*.md 拿字段说明、响应结构和注意事项。

快速开始

纯 API 方式（推荐）

确认 <skill目录>/.config 已填写 api_key 和 salt。
按本文档的认证说明生成签名，直接调用对应 Endpoint。
解析并展示返回结果，注明来源 360 威胁情报。

Python CLI 方式（备用）

仅在当前 Agent 无法直接发起 API 请求时使用。

cd <skill目录>
python3 scripts/ti_query.py tags --type domain --value "a.com,b.com"
python3 scripts/ti_query.py tags --type ip --value "192.0.2.1,198.51.100.1"
python3 scripts/ti_query.py sample-network --value <md5>
python3 scripts/ti_query.py quake-host --query 'ip:"192.0.2.1"' --size 5

退出码：0 成功｜1 业务错误｜2 凭据问题｜3 网络超时。成功时 stdout 为原始 JSON。

决策路由

查什么?
├─ 批量快筛(同类型IOC)           → tags
├─ IP
│  ├─ ≤50个只要风险摘要          → ip-batch
│  ├─ 深度一页式                 → ip-advanced
│  ├─ 通信样本                   → ip-comm-files →(拿md5再查 sample-intel/specimen-detail/sample-network)
│  ├─ 恶意网址(部分 IP 可能耗时较长,先告知对话方) → ip-malice-url
│  ├─ Whois                      → ip-whois-latest / ip-whois-history
│  └─ 公开报告                   → public-report --type ip
├─ 域名
│  ├─ 深度一页式(含ICP/证书)      → domain-advanced
│  ├─ 仅ICP / 仅Whois            → icp / domain-whois
│  ├─ 通信样本 / 恶意网址         → domain-comm-files / domain-malice-url
│  └─ 公开报告                   → public-report --type domain
├─ 文件hash
│  ├─ 信誉/病毒名(≤20个)         → sample-intel 或 tags
│  ├─ 静态/扫描/上传详情          → specimen-detail
│  ├─ 网络行为(C2/DNS/HTTP)       → sample-network
│  └─ 涉及的CVE                  → cve-by-md5
├─ 家族/团伙背景                 → family
└─ 资产测绘(Quake,消耗积分!)
   ├─ 某IP开了哪些端口/服务        → quake-host --query 'ip:"x.x.x.x"'
   ├─ 某服务/组件全球分布          → quake-service --query 'service:"xxx"'
   └─ 报"筛选字段传参错误"         → quake-*-fields 刷新白名单

防御性关联分析流程（在授权安全分析场景下）：样本 → sample-network 获取网络行为中的潜在 C2 地址 → C2 的 IP/域名跑 ip/domain-comm-files 反查同源样本 → public-report 找报告 → family 查背后家族。

使用边界

本 Skill 仅限以下授权场景使用：

授权威胁情报分析
安全事件响应（Incident Response）
威胁狩猎（Threat Hunting）
资产管理与资产识别
暴露面评估（在已授权资产范围内）
合规安全研究

禁止将本 Skill 用于：

未经授权的资产探测或网络扫描
攻击准备、漏洞武器化或渗透测试（无书面授权时）
侵犯个人隐私或收集非必要个人信息
规避访问控制或绕过安全防护机制

注意事项

结果归属：展示结果时注明来源 360 威胁情报（"根据360威胁情报显示…"）
ip-malice-url 部分 IP 查询可能耗时较长：建议避免批量串行调用，并按需设置较长超时时间
Quake 检索消耗积分且限频紧（两次调用间隔≥15s）；默认 size=10，不翻页遍历
空结果≠错误：network_behavior / specimen_detail 无数据时缺 data 字段但 code="0"
ip-batch 参数名是 param（CLI 已处理，手写时注意）
advanced 接口文档声明包含 quake/reports，但当前响应可能不返回数据：需要时仍可另调 quake-* / public-report
通用响应码/风险等级枚举：references/response-codes.md

360 ti helper

安装技能