1. 从“搜不到”到“精准定位”为什么你需要掌握FOFA语法做安全研究、资产测绘或者网络运维的朋友肯定都遇到过这样的场景你想找某个特定版本的Web服务器或者想批量发现使用了某个有漏洞组件的网站。用通用搜索引擎搜出来的结果要么是广告要么是无关的论坛讨论真正能用的资产信息寥寥无几。这时候一个专业的网络空间搜索引擎就显得至关重要而FOFA正是这个领域的佼佼者。FOFA不像百度、谷歌那样索引网页内容它爬取和索引的是互联网上设备的“指纹”。简单来说它能看到一个IP地址开放了哪些端口跑着什么服务比如是Nginx 1.18还是Apache Tomcat 9.0网站标题是什么用了什么框架比如ThinkPHP、Spring Boot甚至返回的HTTP响应头里有什么特殊字段。这些信息构成了网络资产的“画像”。但FOFA的强大之处不止于此真正让它从“好用”变成“神器”的是其一套强大而灵活的搜索语法。这套语法就像给你的侦察任务配上了一把高精度狙击枪而不是一把霰弹枪。很多人刚开始用FOFA可能就只会搜个“title‘后台管理’”这当然有用但效率极低会混入大量无关结果。掌握语法后你可以进行极其复杂的组合查询例如“查找所有在中国境内、使用ThinkPHP 5.0框架、且标题中包含‘管理’二字的网站同时排除掉某个特定云服务商的IP段”。这种精准度是传统搜索无法想象的。接下来我就结合自己多年的使用经验为你系统梳理FOFA最核心、最实用的搜索语法并分享一些能直接提升效率的实战技巧和避坑指南。2. FOFA搜索语法的核心组件与逻辑解析FOFA的搜索语法可以理解为一种“声明式”查询语言你通过组合不同的“字段”和“运算符”来告诉搜索引擎你的精确需求。理解其核心组件是写出高效查询语句的第一步。2.1 基础字段你要搜索什么“属性”FOFA将网络资产的各种特征抽象为不同的字段。以下是最常用、最核心的一批字段你需要像背单词一样熟悉它们主机/网络相关字段host 搜索指定域名或主机名。例如hostfofa.info会搜索包含该域名的主机。支持通配符如host*.example.com。ip 搜索指定IP地址或CIDR网段。这是进行区域或特定网络范围搜索的关键如ip220.181.38.0/24或ip192.168.1.1。country/region/city 按国家、地区、城市进行地理定位搜索。例如countryCN搜索中国的资产cityBeijing搜索北京的资产。这里有一个关键点FOFA的地理位置数据主要基于IP的GeoIP数据库对于使用了CDN如Cloudflare、阿里云CDN的网站其地理位置信息可能是CDN节点的位置而非真实服务器位置。在追踪特定目标时需要注意这一点。asn 按自治系统号搜索。这对于追踪属于某个特定ISP、云服务商或大型企业网络的资产非常有效。例如asnAS45102阿里云。服务与协议相关字段port 搜索开放特定端口的服务。例如port80找HTTP服务port443找HTTPS服务port3389找可能开放的远程桌面。protocol 搜索使用特定协议的服务如protocolftp。banner 这是极其强大的一个字段。它搜索服务连接后返回的标识信息通常是TCP/UDP服务建立连接后发送的第一条消息。例如SSH服务的banner会包含“SSH-2.0-OpenSSH”FTP服务会返回“220 (vsFTPd 3.0.3)”。通过banner字段你可以找到特定软件及其版本例如bannerApache/2.4.41。Web应用特征字段title 搜索HTML页面title标签中的内容。这是最直观的搜索方式之一例如title登录、titleDashboard。header 搜索HTTP响应头中的内容。很多应用框架、服务器、安全设备会在HTTP头中留下特征。例如headerThinkPHP、headerWAF/2.0。body 搜索HTTP响应正文即网页HTML源码中的内容。可以用它来搜索特定的字符串、注释、JS路径等。例如bodyPowered by WordPress。server 搜索HTTP响应头中Server字段的值。这直接指明了Web服务器类型和版本如servernginx/1.18.0。cert 搜索SSL/TLS证书中的信息。证书里包含了域名、组织名称、地理位置等丰富信息。例如certGoogle可以找到使用Google签发证书的资产cert*.alibaba.com可以找到阿里云相关子域。2.2 核心运算符如何组合你的条件掌握了字段下一步就是学习如何用运算符将它们连接起来构建复杂的逻辑。等于 (): 精确匹配。title管理员登录只匹配标题完全等于该字符串的资产。正则匹配 (~): 使用正则表达式进行模糊匹配功能强大但需谨慎使用性能开销较大。例如title~管理.*系统可以匹配“管理系统”、“管理后台系统”等。包含 (like): 字符串包含匹配。title~login会匹配标题中包含“login”这个词的所有资产不区分大小写。这是最常用的模糊匹配方式。不等于 (!) / 不包含 (!~): 排除逻辑。当你需要过滤掉大量无关结果时非常有用。例如title~管理 title!~登录可以找到标题含“管理”但不含“登录”的资产。逻辑与 (): 必须同时满足所有条件。port80 title~后台表示找80端口开放且标题包含“后台”的资产。逻辑或 (||): 满足任意一个条件即可。server~nginx || server~apache查找使用Nginx或Apache的服务器。括号(): 改变运算优先级构建复杂逻辑。例如(title~admin || title~manage) countryUS查找在美国且标题包含admin或manage的资产。2.3 特殊语法与高级技巧除了基础字段和运算符FOFA还提供了一些“语法糖”和高级功能能让你事半功倍。domain字段 这是一个聚合字段当你搜索domainsina.com.cn时FOFA会自动帮你搜索与该主域名相关的所有子域名、IP上的资产。这比单纯用host字段更全面。is_honeypot字段 用于判断资产是否为蜜罐。is_honeypottrue可以筛选出被标记为蜜罐的资产在攻防演练或敏感搜索时用于规避风险。但请注意蜜罐识别并非100%准确此字段仅供参考。before/after 时间范围搜索。用于查找在特定时间点之前或之后被FOFA收录的资产。例如after2023-01-01 before2023-12-31查找在2023年被发现的资产。这在追踪新暴露的资产或进行历史分析时有用。is_ipv6 筛选IPv6资产。is_ipv6true。os 操作系统筛选。如oswindows或oslinux。这个字段的准确性依赖于FOFA对资产指纹的识别能力。3. 实战场景从基础查询到复杂狩猎理解了语法我们来看如何在实际工作中应用。下面我将通过几个由浅入深的场景展示如何构建查询语句。3.1 场景一快速资产普查与统计假设你是一名安全工程师需要对你公司example.com的互联网暴露面进行一次快速普查。基础普查domainexample.com这条语句会列出所有与example.com主域名相关的资产包括www.example.com、mail.example.com、oa.example.com等各种子域名以及这些域名解析到的服务器IP上的其他服务如果FOFA爬取到了的话。这是了解资产广度的第一步。细化分析找官网和主要业务host*.example.com (title~公司名 || title~首页)。 通过标题过滤出可能的主站。找后台管理系统domainexample.com (title~管理 || title~admin || title~login || title~后台)。 注意这里用domain而不是host是为了不漏掉那些可能部署在独立子域名或IP上的后台。识别技术栈domainexample.com server~nginx查看有多少资产用了Nginx。domainexample.com header~ThinkPHP查看有多少用了ThinkPHP框架。domainexample.com body~vue.js查看前端是否使用了Vue。统计与导出 在FOFA的搜索结果页面你可以利用其统计功能快速查看domainexample.com下各个端口port、服务器类型server、地理位置country的分布情况。这个功能对于生成一份快速的资产报告非常有帮助。3.2 场景二漏洞影响范围评估与应急响应这是安全从业者的高频场景。当某个开源组件例如Apache Log4j2, Spring Framework爆出高危漏洞CVE-XXXX-XXXX时你需要快速评估自己单位或客户资产是否受影响。假设漏洞影响Spring Framework特定版本其特征是在HTTP响应头或错误页面中包含Spring Framework及版本号。基础影响面搜索headerSpring Framework body5.3.0。 这里结合header和body来精确锁定版本。但版本信息可能出现在不同地方所以更稳妥的是(header~Spring || body~Spring) (body~5.3.0 || body~5.3.1) 将受影响的版本号用||连接。结合资产归属细化 如果你手里有公司的IP段列表可以进一步精确(ip203.0.113.0/24 || ip198.51.100.0/24) header~Spring。 这样结果只限于你关心的网络范围。排除干扰项 有时候一些WAF或云防护产品会在响应头里添加“Spring”字样虽然不常见。为了更精确可以尝试搜索更具体的指纹。例如Spring Boot Actuator端点通常有固定路径body~/actuator body~spring-boot。 通过多个特征组合能有效提高准确率。一个非常重要的经验在漏洞应急时不要只依赖一个搜索语句。应该根据漏洞POC或EXP中暴露出的独特指纹如特定的URL路径、参数、错误信息、Jar包文件名来构建多个不同的查询语句交叉验证确保没有遗漏。例如对于Log4j2漏洞除了搜索JndiLookup.class还可以搜索${jndi:ldap://这类在日志或页面中可能被记录的字符串特征尽管实际利用中可能看不到。3.3 场景三红队演练中的信息收集与目标定位在授权攻防演练中信息收集的深度直接决定后续攻击的广度。FOFA是前期“网络空间测绘”阶段的核心工具。定位目标组织资产方法A通过证书。大公司通常使用统一的SSL证书。certTarget Corp或cert*.target.com可能会发现大量未在公开域名列表中备案的资产如内部系统对外测试环境。方法B通过ASN。如果目标主要业务托管在某个云服务商或拥有自己的IP段asnASxxxx是地毯式搜索的利器。方法C通过特定技术栈。如果知道目标公司偏爱用某款CMS如WordPress或中间件如WebLogic可以bodyPowered by WordPress countryCN regionShanghai结合地理信息缩小范围。寻找薄弱点入口常见管理入口title~登录 port443找HTTPS的管理登录页。title~dashboard server~nginx。未授权访问接口 搜索一些常见的未授权访问路径。例如Redis未授权port6379 bannerredis Jenkins未授权titleDashboard [Jenkins]或bodyJenkins Docker API未授权port2375 bannerHTTP。老旧版本与组件serverApache/2.4.1或servernginx/1.0.0直接搜索已知存在漏洞的旧版本服务。bodyStruts 2.0寻找老旧的Struts2框架。构建组合查询精准狩猎 假设你想找可能存在的致远OA系统并且希望是在北京地区、非云WAF防护的资产以增加攻击测试的成功率。(title致远互联 || body/seeyon/) countryCN cityBeijing header!~cloudflare header!~WAF ip!10.0.0.0/8 ip!172.16.0.0/12 ip!192.168.0.0/16这个查询的逻辑是(title致远互联 || body/seeyon/) 核心指纹识别致远OA。countryCN cityBeijing 地理定位。header!~cloudflare header!~WAF 排除带有Cloudflare和常见WAF标识的资产这些资产通常有额外的防护。ip!10.0.0.0/8 ip!172.16.0.0/12 ip!192.168.0.0/16 排除私有IP地址段这些通常是内网穿透或错误配置的结果并非真正的公网目标。4. 高效使用FOFA的避坑指南与性能优化即使语法熟练如果不注意一些细节也容易陷入低效查询或结果不准的困境。下面分享一些实战中积累的经验和教训。4.1 避免性能陷阱让你的查询更快更准慎用body字段的全模糊搜索body~test这种查询会触发全表扫描速度慢且消耗积分多。尽量结合其他条件缩小范围例如port80 body~specific_keyword。更好的方式是先通过title、header、server等字段定位到一批资产再对这批资产进行body字段的二次筛选如果FOFA客户端支持的话。正则表达式是“性能杀手”~运算符虽然强大但极其消耗资源。除非必要否则优先使用精确匹配或~包含匹配。例如想找版本号5.x用body~5.比body~5\.[0-9]性能好得多。明确搜索意图避免过度宽泛 搜索port80会返回数亿结果这没有实际意义。永远尝试从最特异的指纹开始。例如先搜bodyApache Struts 2 Showcase如果结果太少再逐步放宽条件如header~Struts。合理使用“排除”逻辑 当你发现搜索结果里混入了大量干扰项例如搜某个OA系统结果里全是云WAF的拦截页面使用!~或!排除它们能显著提升结果质量。但注意排除条件本身也会增加查询复杂度需权衡。4.2 结果准确性研判别被表象欺骗理解“数据新鲜度” FOFA的数据不是实时的。它有一个爬取和更新周期。你搜到的资产可能在一小时前已经下线或者端口已经关闭。反之一个刚上线的新资产可能需要几小时甚至一两天才会被FOFA收录。对于需要实时性的任务如0day漏洞利用后的紧急排查FOFA只能作为辅助必须结合其他主动扫描手段。“蜜罐”标识仅供参考is_honeypottrue是FOFA基于规则和算法的判断并非绝对准确。一些精心伪装的蜜罐可能无法被识别而一些配置特殊的真实业务可能被误判。在针对高价值目标进行深入测试前务必通过其他手段如流量分析、行为判断进行人工复核。注意“端口与协议”的对应关系port80搜到的不一定都是HTTP服务也可能是其他TCP服务误开在80端口。同样protocolhttp的服务也可能跑在8080、8000等非标准端口。最可靠的方式是结合banner和header字段判断。例如port8080 banner~HTTP header~Server:可以较准确地识别出HTTP服务。“证书”字段的陷阱cert*.abc.com会搜索证书主题或备用名称中包含*.abc.com的资产。但很多CDN或云服务使用泛域名证书如*.cloudfront.net这会导致大量无关资产被搜到。此时需要结合host或domain字段进行过滤。4.3 积分策略与高级功能使用查询复杂度与积分消耗 FOFA的积分消耗与查询的复杂度和返回结果数量有关。一个简单的titletest消耗积分较少而一个涉及多个、||和模糊匹配的复杂查询即使结果很少也可能消耗较多积分。在编写复杂查询前可以先用简单条件测试一下结果数量做到心中有数。善用“统计”和“导出”功能 对于大型资产普查或数据分析不要只盯着结果列表。先进行一个宽泛的搜索如domainxxx.com然后利用FOFA的统计功能从“端口分布”、“网站标题”、“地理位置”等多个维度进行聚合分析这能帮你快速把握全局态势比一条条看结果高效得多。API的自动化集成 对于需要持续监控或批量处理的任务一定要学习使用FOFA的API。你可以编写脚本定期执行特定的搜索语法将新发现的资产、特定版本的组件出现等情况自动通知到你的办公软件如钉钉、飞书、Slack实现安全监控的自动化。这里有一个实用技巧在API查询中使用after2024-01-01这样的时间条件可以让你每次只获取新增的资产避免重复处理老数据节省资源和时间。掌握FOFA搜索语法本质上是在培养一种“网络空间测绘思维”。它要求你不仅知道语法规则更要理解网络协议、服务指纹、资产关联背后的逻辑。从生硬的语法记忆到灵活的组合运用再到对查询结果的批判性分析这是一个不断实践和积累的过程。我个人的习惯是每当遇到一个新的漏洞预警或看到一个有趣的技术特征都会下意识地去想“这个特征能用FOFA语法怎么描述” 久而久之这套语法就成了你延伸的感官能让你在浩瀚的网络空间中更快、更准地找到你想要的那片“拼图”。