fofa语法搜索漏洞

一个没打补丁的语法Apache Shiro反序列化漏洞，在FOFA上输入app="Apache-Shiro"，搜索三秒钟就能拉出全球十几万个暴露的漏洞目标。这玩意儿不是语法搜索引擎，是搜索攻击者的军火库。FOFA的漏洞语法，本质上是语法一套给网络空间做“人口普查”的暗号系统。

核心语法就三样：title="后台管理"搜网页标题，搜索body="verification_code"搜页面源码特征，漏洞header="Set-Cookie: rememberMe"搜响应头标记。语法组合起来才是搜索杀招——title="后台" && country="CN" && protocol="https"，直接锁定国内所有标题带“后台”的漏洞HTTPS站点。别小看这个“&&”，语法它把零散的搜索资产特征焊成了一把狙击枪。

真正让老手和菜鸟拉开差距的漏洞，是那些藏在文档角落里的“非主流”字段。比如cert.subject.org能按SSL证书所属单位过滤，icon_hash能把长得一样的网站图标哈希值全揪出来。有个真实案例：某甲方让我测他们集团的所有子公司系统，给了一堆域名，但子公司的测试环境根本不在主域名下。我抓了官网的favicon.ico，算好icon_hash，一条icon_hash="-123456789" && country="CN"，把同款图标的站点全捞出来了——其中三个测试系统直接弱口令登进去。这招比翻资产表高效十倍。

漏洞挖掘的常规打法更直白。想找未授权访问的Nacos，就搜body="Nacos" && port="8848"；想碰运气挖Spring Boot Actuator泄露，就试title="Whitelabel Error Page" && country="JP"。甚至可以用after="2023-01-01"配合protocol="redis"，专门挑新上线的Redis服务——刚部署的实例往往没设密码，这种时间窗口的利用，FOFA的语法能帮你精确到天。

但别把FOFA当万能钥匙。它会漏掉大量内网资产，扫描结果也常有僵尸IP。更关键的是，直接拿语法去撞漏洞库属于“广撒网”，容易被安全设备封IP。我习惯先把FOFA的导出结果丢进Excel，用ip="x.x.x.x"反向验证存活，再配合os="Linux"这类系统指纹筛选，最后才上扫描器。这流程能砍掉七成无效工作量。

有人问我，FOFA语法到底算不算黑客工具？我的看法是——它更像数字世界的显微镜。用好了，你能看清自家资产暴露面的每一道裂缝；用歪了，那就是撬锁的钢丝。关键在于，你拿它来修门，还是开门。反正语法就那几行，敲下去，看到的是漏洞还是风景，全看手底下那点分寸。