1. 项目概述从网络测绘到精准定位如果你是一名网络安全从业者、系统管理员或者是对互联网资产感兴趣的研究者那么你一定遇到过这样的困境想找一个使用了特定框架比如ThinkPHP的网站或者想批量发现某个端口比如Redis 6379对外开放的服务器。用传统的搜索引擎如百度、谷歌去搜无异于大海捞针因为它们索引的是网页内容而非服务器、端口、服务指纹这些底层资产信息。这时你就需要一个像FOFA这样的网络空间测绘引擎。简单来说FOFA是一个网络空间搜索引擎。它不像谷歌那样搜索网页内容而是扫描整个互联网的IP地址探测这些IP上开放了哪些端口运行着什么服务如Apache、Nginx、什么中间件如Tomcat、WebLogic、什么框架如Spring Boot、Laravel甚至能识别出网站标题、证书信息、HTML中的特定关键字。然后它将这些海量的、多维度的资产信息建立索引供用户通过一套强大而灵活的搜索语法进行查询。你可以把它理解为一个针对互联网基础设施的“谷歌”专门用来回答“网络上有什么”这类问题。对于安全人员FOFA是进行漏洞影响范围评估、渗透测试信息收集、威胁情报搜集的利器对于运维和研发它可以用来做资产梳理、排查无意中暴露在公网的服务、进行竞品技术栈分析。其价值核心就在于那套高度专业化的搜索语法。掌握了它你就能从数十亿的资产数据中像使用精密仪器一样快速、精准地定位到你的目标。接下来我将结合多年使用经验为你系统拆解FOFA最常用、最核心的搜索语法并分享一些实战中的高阶技巧和避坑指南。2. FOFA搜索语法核心解析与设计逻辑FOFA的语法设计理念是“属性值”通过不同的“属性”来限定搜索维度。理解这些属性是玩转FOFA的第一步。它的语法结构清晰主要分为基础字段、逻辑运算符和高级技巧三个层面。2.1 基础字段构建查询的基石基础字段是FOFA语法的原子单元每一个都对应资产的一个特定维度。熟练使用它们是高效搜索的前提。1. 主机与端口类host 这是最常用的字段之一用于搜索包含特定域名或主机名的资产。例如hostfofa.info会搜索所有域名中包含fofa.info的资产包括子域名。ip 按IP地址或CIDR网段搜索。例如ip220.181.38.148或ip220.181.38.0/24。在进行内网资产梳理或针对特定IP段进行探测时非常有用。port 按开放端口搜索。例如port80找所有开放HTTP服务的port443找HTTPSport3389则常用于发现暴露的Windows远程桌面。端口是判断服务类型的第一线索。protocol 按协议类型搜索如protocolhttp、protocolftp。这个字段通常结合其他字段使用用于过滤。注意host和ip有时会让人混淆。host是基于域名一个IP可能对应多个host虚拟主机而ip是基于网络层地址。如果你想找某个公司所有资产用host*.company.com通常比用IP段更准确因为公司的服务器IP可能分散在不同机房。2. Web应用与组件类title 搜索HTML页面标题title标签中的内容。这是定位特定网站、后台管理系统最有效的方式之一。例如title后台管理、title登录或者更精确的titleApache Tomcat/8.5.40。header/server 搜索HTTP响应头中的Server字段。这直接反映了Web服务器或网关的类型和版本如servernginx、serverApache/2.4.41。信息收集时通过此字段可以快速定位可能存在已知漏洞的特定版本服务器。body 搜索HTTP响应正文即网页HTML源码中包含的关键字。这非常强大可以用来搜索特定的JavaScript库、注释信息、错误提示、框架特征等。例如bodythinkphp可以找到所有使用ThinkPHP框架的站点。cert 搜索SSL/TLS证书中的信息如颁发者、使用者通常是域名。一个非常经典的用法是certbaidu.com可以找到所有使用了百度泛域名证书*.baidu.com的资产这常常能发现一些子域名或关联资产。3. 地理位置与网络类country/region/city 按国家、地区、城市搜索资产。使用两位国家代码如countryCN为中国countryUS为美国。这在做地域性分析或合规检查时很重要。asn 按自治系统号搜索。一个公司或运营商通常拥有一个或多个ASN。例如搜索asnAS4134中国电信可以找出托管在电信网络上的大量资产。这是进行运营商级资产归集的高级方法。2.2 逻辑运算符组合与筛选的艺术单一的字段搜索往往不够精确FOFA支持布尔逻辑运算符来组合多个条件。AND(或)与运算表示同时满足多个条件。这是最常用的组合方式用于缩小范围。例如titlelogin countryUS寻找标题为“login”且位于美国的资产。OR(或||)或运算表示满足任意一个条件。用于扩大搜索范围。例如servernginx || serverapache搜索使用Nginx或Apache的服务器。NOT(或!)非运算用于排除特定结果。例如bodyadmin !bodylogin寻找包含“admin”但不包含“login”的页面可能是一些信息泄露页面而非登录口。运算优先级NOTANDOR。使用括号()可以明确改变优先级。例如(titletest || bodydebug) countryCN会先执行“或”运算再与“中国”条件进行“与”运算。2.3 匹配规则让搜索更智能除了精确匹配FOFA还支持通配符和正则表达式以适应更复杂的场景。 精确匹配。hostexact.domain.com。 在某些上下文中也用于精确匹配但通常与通用。建议查阅FOFA最新文档确认细微差别。* 通配符匹配任意字符。host*.google.com匹配所有google.com的子域名。title*管理*匹配标题中包含“管理”二字的任何资产。~ 正则表达式匹配。这是高级玩家的利器功能极其强大。例如title~登录|login|signin可以同时匹配中文和英文的登录页面。body~password\s*[:]\s*[\].*?[\]这种简单的正则可能匹配到一些硬编码密码的页面需谨慎用于授权测试。实操心得初期多使用和*进行搜索当你需要处理复杂的文本模式时比如匹配特定格式的邮箱、手机号、API密钥在源码中的残留再考虑学习使用~正则表达式。正则表达式虽然强大但编写不当可能导致搜索结果为空或性能极差。3. 常用搜索语法实战场景与案例拆解理论说再多不如实际案例来得直观。下面我将通过几个典型的应用场景展示如何组合运用上述语法。3.1 场景一批量发现特定漏洞的影响资产假设Struts2框架爆出一个高危远程代码执行漏洞S2-045你需要快速评估自己公司或客户资产是否受影响。确定指纹特征Struts2的常见指纹包括body中包含struts.devMode、struts-tags或者header中的X-Struts等。更精确的可能是寻找使用了特定jar包的站点这通常需要分析漏洞利用的路径或特征文件。构建搜索语句我们可以组合多个特征以提高准确性。例如bodystruts.devMode || headerX-Struts || body/struts/这个语句会搜索源码中包含开发模式字样、有Struts特有HTTP头、或路径中包含/struts/的资产。叠加版本过滤如果可行如果漏洞只影响特定版本范围可以尝试通过body或title中的版本信息进一步筛选例如body~Struts 2\\.3\\.(5|6|7|8|9|10|11|12|13|14|15|16|17|18|19|20|21|22|23|24|25|26|27|28|29|30|31|32|33)。注意版本信息不一定暴露此步骤可能不适用。结果验证与导出在FOFA中执行搜索后不要盲目相信所有结果。应随机抽样点击几个结果通过浏览器或工具手动验证其确实是Struts2应用。确认无误后可以利用FOFA的导出功能将IP和端口列表导出用于进一步的漏洞扫描或通知处理。3.2 场景二企业外部资产梳理与暴露面发现作为安全工程师你需要定期梳理公司暴露在互联网上的所有资产即“攻击面”。基于域名最常用host*.yourcompany.com。这会找出所有以yourcompany.com结尾的域名资产包括www、mail、dev、test等各种子域名。基于证书certyourcompany.com。许多公司使用泛域名证书*.yourcompany.com或证书中包含了公司名称。此方法能发现一些未在DNS中显式解析但使用了公司证书的资产如内部系统临时对外开放。基于IP段如果你知道公司主要使用的IP地址段例如ip203.0.113.0/24可以直接搜索。但现代云环境下资产IP可能非常分散此方法作为补充。基于备案信息或ASN对于大型企业可以查询其拥有的ASN号然后使用asnASXXXX进行搜索能网罗到该企业自治系统下的所有IP资产非常全面。组合搜索与去重将以上方法的结果合并并注意去重。FOFA的搜索结果可能包含同一资产因不同特征被多次索引的情况。3.3 场景三寻找特定类型的管理后台或测试页面开发人员有时会将测试环境、未授权管理后台暴露在公网这是严重的安全隐患。搜索默认后台titleTomcat管理 || titleWebLogic Console || titleJenkins搜索登录页面(title登录 || titlelogin || titlesign in) bodypassword搜索可能泄露信息的调试页面bodyphpinfo() countryCN # 寻找暴露phpinfo的页面 bodySwagger UI port80 # 寻找暴露的API文档 titleindex of / # 寻找目录遍历列表注意事项此类搜索会返回大量结果其中很多可能是正常的登录入口。切勿在未授权的情况下尝试登录或测试这些系统。此类搜索主要用于企业自查或授权的渗透测试中定位自身风险点。3.4 场景四技术栈分析与竞品研究你想了解某个行业比如在线教育的网站普遍使用了哪些技术。选定样本先找到该行业的几家头部公司网站例如host*.xueersi.com。分析组件查看FOFA对这些站点的详细识别结果关注serverWeb服务器、body中的框架关键字如React、Vue、Laravel、中间件如Redis、Elasticsearch的端口等。归纳特征扩大搜索你发现他们普遍使用Nginx并搭配React。可以构建搜索式servernginx bodyreact industryeducation如果FOFA有行业标签。或者通过cert字段寻找更多同类公司。统计与洞察通过多次搜索和结果统计你可以得出类似“在线教育行业前端倾向于使用React后端Java系和PHP系各占一半云服务多选用阿里云”的结论。4. 高阶技巧与效率提升指南掌握了基础语法和常见场景后以下技巧能让你使用FOFA的效率倍增。4.1 使用“后搜索”进行深度关联分析这是FOFA一个非常强大的功能。当你点击一个具体的资产进入详情页时FOFA会基于这个资产的各项属性如IP、ASN、同一C段的其他IP、相同证书等提供“后搜索”链接。例如查看一个IP的详情后可以直接点击“搜索此IP的其他端口”或“搜索此C段的其他IP”无需手动构造语法。这在进行横向移动探测或资产集群发现时极其方便。4.2 利用API进行自动化与集成对于需要持续监控或批量处理的任务手动在网页上操作是不现实的。FOFA提供了丰富的API接口。核心API主要包括/api/v1/search/all搜索资产和/api/v1/host/ip获取IP详情。你需要先在账户设置中生成API Key。自动化脚本示例Pythonimport requests import base64 email your_email key your_api_key # 构造认证字段 auth base64.b64encode(f{email}:{key}.encode()).decode() headers {Authorization: fBasic {auth}} # 构建搜索语法 query bodythinkphp countryCN # 对查询语句进行URL安全的Base64编码FOFA API要求 query_base64 base64.b64encode(query.encode()).decode() url fhttps://fofa.info/api/v1/search/all?qbase64{query_base64}size1000fieldsip,port,host,title response requests.get(url, headersheaders) data response.json() if data[error]: print(fError: {data[errmsg]}) else: for result in data[results]: ip, port, host, title result print(f{ip}:{port} - {host} - {title})应用场景将FOFA API集成到你的内部资产管理系统、自动化漏洞扫描触发平台或SIEM安全信息与事件管理系统中实现新暴露资产的自动发现、高危组件变更的实时告警。4.3 语法优化与性能考量从宽到窄构建复杂搜索式时建议先使用一个宽泛的条件如bodyjava看看结果数量再逐步增加AND条件如 port8080进行过滤。避免一开始就使用一个非常具体但可能错误的组合导致无结果。慎用body和正则~对body字段进行全文搜索尤其是使用复杂正则表达式是非常消耗资源的操作可能会慢甚至触发查询限制。如果可能优先使用title、header、server、banner等更精确的字段。关注结果数FOFA会对查询结果数量进行估算。如果结果超过一定数量比如100万它可能只返回部分样本或提示你缩小范围。这时需要增加更具体的过滤条件。使用“历史数据”功能付费FOFA会保存资产的历史快照。这对于追踪资产变更例如某个端口昨天还开着今天关了、调查安全事件回溯某个IP在过去某天运行的服务至关重要。5. 常见问题、避坑指南与伦理边界在实际使用中你会遇到各种问题以下是一些实录和解决方案。5.1 搜索结果不准确或为空这是最常见的问题原因和解决思路如下问题现象可能原因排查与解决思路搜索某个已知存在的资产却无结果1. FOFA尚未扫描到该资产。2. 资产特征不显著未被正确识别。3. 搜索语法过于严格或错误。1. 尝试直接搜索IP (ipx.x.x.x)看是否有任何信息。2. 使用更宽泛的条件如只搜IP或域名。3. 检查语法拼写、引号、逻辑运算符是否正确。结果数量远少于预期1. 使用了付费版未购买足够数量的导出额度不查询结果预览本身受限。2. 搜索条件组合太特异过滤掉了大部分。3. 资产本身数量就少。1. 逐一放宽搜索条件看结果数如何变化定位是哪个条件过滤太狠。2. 将AND改为OR尝试。3. 使用通配符*替代部分精确值。识别出的服务/组件错误FOFA的指纹识别基于规则可能存在误判。不要完全依赖FOFA的自动识别。点击资产详情查看原始的“响应头”和“响应体”人工进行二次判断。这是专业性的体现。5.2 语法使用中的“坑”引号问题搜索语句中的字符串值必须用双引号括起来。port80是错误的正确的是port80。对于包含特殊字符或空格的值引号更是必须的。空格与逻辑符逻辑运算符 (AND,OR,NOT) 前后建议保留空格提高可读性FOFA通常能正确解析但养成好习惯避免歧义。例如titletestcountryCN可能解析失败应写为titletest countryCN。编码问题在Web界面上直接输入中文通常没问题但通过API调用时需要确保查询语句q参数经过正确的URL编码。使用qbase64参数是更推荐的方式它要求对查询语句进行Base64编码避免了复杂的字符转义问题。5.3 法律、合规与伦理边界这是使用FOFA等网络空间测绘工具最重要的一环必须时刻牢记。授权是前提永远只在拥有明确授权的范围内使用FOFA进行探测和搜索。这包括对你所属组织的资产进行自查在渗透测试合同明确约定的目标范围内进行公开的、无害的学术研究。禁止恶意利用绝对禁止利用FOFA收集的信息进行未授权的访问、攻击、漏洞利用、数据窃取、骚扰等任何非法活动。FOFA提供的是“发现”能力而非“攻击”许可。尊重隐私与合规避免搜索和收集与个人隐私密切相关的资产或数据如家庭网络摄像头、个人NAS等即使它们因配置错误而暴露。在许多地区未经授权扫描他人系统本身就是违法的。注意数据新鲜度FOFA的数据不是实时的有扫描周期。不能完全依赖它来判断一个服务当前是否在线尤其是用于安全防护决策时需要结合其他实时监控手段。平台规则遵守遵守FOFA平台的用户协议不要滥用API进行高频、全量爬取这可能导致账号被封禁。我个人在实际操作中的体会是FOFA像是一把功能强大的“望远镜”让你能看清互联网这片“海洋”中船只资产的类型、旗帜服务和航向变化。但望远镜本身无罪关键在于使用它的人。始终用于建设性的目的——加固自身的防线了解技术的趋势在授权的范围内解决问题这样才能让工具发挥最大的正向价值。从生疏到熟练最好的方法就是结合一个具体的目标比如“梳理我司所有在公网的Web服务”从最简单的host*.mycompany.com开始逐步尝试更复杂的组合观察结果验证数据你会很快上手的。最后一个小技巧将你常用的、验证过的搜索语句保存在本地文档或FOFA的“收藏”功能中积累成你自己的“语法库”这会成为你未来工作中极具价值的知识资产。