FOFA

ADADAD固定广告位图片或标题，点击入驻固定广告位图片或标题，点击入驻固定广告位图片或标题，点击入驻

一、网站简介

FOFA（Fingerprinting Organizations with Advanced Tools）是由中国华顺信安（白帽汇）推出的网络空间测绘搜索引擎，被业界誉为“中国版Shodan”。它通过遍布全球的探测节点，对IPv4/IPv6地址空间和域名库进行持续不断的资产发现与指纹识别，构建了一张动态更新的网络空间地图。FOFA解决了国内安全从业者在网络资产发现领域的两个核心痛点：一是海外平台（如Shodan）访问不稳定且延迟高；二是海外平台对中国国内网络资产的覆盖深度不及国产平台。FOFA凭借其强大的中文搜索语法、丰富的Web指纹库、以及对国内网络生态的深度理解，成为国内渗透测试工程师和安全运营团队进行攻击面发现和资产管理的最常用工具。

二、公司背景

FOFA由北京华顺信安科技有限公司（原白帽汇）开发运营。华顺信安是一家专注于网络空间测绘和攻击面管理的中国网络安全企业，成立于2015年，核心团队来自知道创宇、360等国内知名安全厂商。公司以FOFA搜索引擎为核心产品，衍生出了攻击面管理平台（ASM）、威胁情报、资产安全监控等企业级解决方案。FOFA平台目前已成为国内安全行业最主流的网络空间搜索引擎之一，月活跃用户超过20万，被大量安全服务商、企业SRC和监管机构用于日常安全运营。

三、核心功能

• 网络资产搜索（Asset Search）：FOFA提供极其强大的中文搜索语法，用户可按IP、域名、端口、协议、国家/地区、证书、ICP备案号、网站标题、Body内容、HTTP头字段等超过50种维度进行精准搜索。例如 title=”后台管理” && country=”CN” 可快速找到中国境内所有网站标题包含“后台管理”的资产。搜索结果可导出为CSV/JSON格式。
• Web指纹识别（Fingerprinting）：FOFA拥有国内最全面的Web应用指纹库，能够精准识别数千种CMS、框架、中间件、IoT设备、数据库和开发框架的类型与版本。指纹识别不仅覆盖常见的WordPress、Tomcat、Spring Boot等，还包括大量国产软件如致远OA、用友NC、通达OA等。
• 漏洞影响范围评估：当重大漏洞（如Log4j、Shiro、Fastjson反序列化）披露时，FOFA可基于其指纹库快速统计受影响资产的数量和分布。安全团队可一键获取受影响的IP列表，为应急响应和漏洞修复提供精准的优先级排序。
• FOFA API与自动化集成：提供完善的REST API接口和Python SDK，支持将FOFA的资产搜索能力集成到自动化安全工具链中。企业可通过API定期拉取公网资产信息，与内部CMDB进行比对，发现影子资产。
• 规则订阅与监控告警：支持对特定搜索规则设置订阅，当有新的资产匹配该规则时（如公司域名下新出现的开放端口），FOFA将通过邮件或Webhook推送告警，实现持续的攻击面监控。
• FOFA Hub社区生态：提供了类似社区的“FOFA Hub”，用户可分享和发现高质量的搜索语句（FOFA Query），形成知识共享。同时支持将搜索结果以可视化图表展示，方便生成分析报告。

四、网站特点

• 国内访问零延迟：FOFA服务器部署在国内，访问速度极快，无任何网络障碍。对于主要关注国内资产的安全团队，FOFA的体验远优于海外同类平台。
• 对国内网络资产的深度覆盖：FOFA在国内部署了大量的探测节点，对中国境内的IPv4资产覆盖率极高。其对国产软件（如各类OA系统、国产数据库、政务应用）的指纹识别能力远超Shodan等海外平台。
• 强大的中文搜索支持：搜索语法原生支持中文关键词，可以直接搜索网站标题、Body内容中的中文字符，这是海外平台无法比拟的优势。
• 合规的数据采集：作为中国本土企业，FOFA的数据采集和展示严格遵守中国法律法规，在合规性方面具有天然优势。

五、适用人群

• 国内渗透测试工程师：在授权项目中，使用FOFA快速了解目标的互联网暴露面，发现未记录的子域名、开放端口和Web应用，为后续渗透提供情报支撑。
• 企业安全运营团队：通过FOFA定期巡检本企业的公网资产，发现影子IT、未授权的开放端口和废弃服务，缩小攻击面。
• 安全服务商与监管机构：在重大漏洞爆发时，利用FOFA统计国内受影响资产数量，为漏洞预警和应急指挥提供数据支撑。
• 网络安全学习者：FOFA的搜索语法直观易懂，中文文档完善，是国内安全学习者入门网络空间测绘的最佳实践平台。

六、应用场景

• 场景一——攻防演练资产梳理：某企业参加国家级HVV攻防演练，防守方使用FOFA搜索 domain=”company.com” 发现了3个未在CMDB中登记的测试服务器，其中1台运行着存在已知漏洞的旧版Weblogic。团队立即将这些资产下线或加固，避免了在演练中被红队利用。
• 场景二——Log4j漏洞应急响应：2021年Log4j漏洞爆发时，国内某安全服务商使用FOFA的指纹库快速搜索所有运行着Apache Log4j相关服务的中国境内资产，数小时内生成了一份超过50万IP的受影响资产清单，为客户提供了精准的修复范围。
• 场景三——渗透测试信息收集：某渗透测试团队在获得客户授权后，通过FOFA搜索 cert=”target.com” 获取了目标域名的SSL证书关联的所有IP和子域名，发现了一个未公开的VPN入口。将其作为重点突破口，进一步挖掘出了可利用的漏洞。
• 场景四——供应链安全评估：某大型企业采购部门在引入新的软件供应商前，安全团队使用FOFA对该供应商的公开资产进行侦查，发现其官网服务器存在多个高危漏洞和弱口令问题，评估结论影响了采购决策。

七、常见问题（FAQ）

Q：FOFA官网在国内能否直接访问？
A：FOFA官网（fofa.info）在国内网络环境下可以流畅访问，无需任何特殊配置。平台界面为中文，注册和登录体验良好。此外还有fofa.so等备选域名。

Q：FOFA免费版和付费版有什么区别？
A：注册用户可免费使用基础搜索功能，但搜索结果数量受限（通常每页10条，总条数有限），且无法使用API。付费会员分为个人专业版和企业版，解锁更多搜索配额、API调用次数、数据导出和监控告警等高级功能。

Q：FOFA搜索结果的时效性如何？
A：FOFA对全球资产的扫描周期通常为数天到数周不等，具体取决于目标端口的热度。常用端口（80/443/22/3306等）更新较为频繁。搜索结果页面会标注每条资产的最后更新时间，用户可以据此判断数据的时效性。

Q：使用FOFA搜索他人资产是否合规？
A：FOFA搜索的是互联网上公开可访问的资产信息（类似于用百度搜索网站），在中国法律框架下属于合法的信息收集行为。但利用搜集到的信息进行未授权访问、漏洞利用等操作则属违法。用户应将其用于合法的安全防护和授权测试目的。

八、类似网站

• Shodan：全球最早、最知名的网络空间搜索引擎，对海外资产的覆盖更广，但在国内访问速度较慢。
• ZoomEye（钟馗之眼）：知道创宇404实验室出品的网络空间搜索引擎，在Web指纹识别和漏洞关联方面表现优异。
• 360Quake：360公司推出的网络空间测绘平台，依托360的安全数据积累，在威胁情报关联方面有独特优势。