FOFA 搜索指南

1- 🚀 FOFA 搜索指南

本指南旨在详细介绍如何有效地利用 FOFA 平台进行网络空间测绘和特定目标搜索，尤其侧重于 Clash 订阅和 ComfyUI 实例的查找。文章将提供具体的搜索语法示例，并解析其背后的原理和特征匹配方法。

1.1- FOFA 搜索基础与常见用例

本节将介绍 FOFA 搜索的一些基础语法和常见应用场景，帮助您快速定位感兴趣的资产。

1.1.1- 查找 Clash 机场订阅

通过 FOFA 搜索，可以找到包含特定 Clash 配置规则的服务器，这些服务器可能提供了 Clash 订阅服务。

1.1.1.1- 搜索语法

body="port: 7890" && body="socks-port: 7891" && body="allow-lan: true"

🔗 FOFA 查询地址：fofa.info

说明：此查询通过匹配 Clash 配置文件中常见的端口（7890、7891）和局域网允许连接（allow-lan: true）来定位潜在的 Clash 订阅源。

1.1.2- 查找 ComfyUI 实例

ComfyUI 是一种流行的 AI 艺术生成工具，您可以通过 FOFA 搜索其运行实例。

1.1.2.1- 通过 Title 搜索

title=="ComfyUI" && country="CN"

🔗 FOFA 查询地址：fofa.info

说明：该查询通过匹配网页标题中包含 “ComfyUI” 且国家为中国（CN）的资产。

1.1.2.2- 通过 Body 搜索

除了标题，您还可以通过网页内容（body）中的特定字符串来定位 ComfyUI 实例。

body="/launcher/assets/comfyui" && country="CN"

🔗 FOFA 查询地址：fofa.info

说明：此查询通过匹配网页内容中与 ComfyUI 启动器相关的路径，进一步精确搜索结果。

1.1.3- 发现代理地址

FOFA 也可以用于发现一些公开的代理服务地址。

1.1.3.1- 通过 Body 关键字搜索

查找网页内容中包含特定代理池描述的资产。

body="get all proxy from proxy pool"

说明：这通常能发现一些提供代理列表或代理 API 的页面。

1.1.3.2- 通过特定 JS 文件名搜索

有些代理服务可能通过加载特定的 JavaScript 文件来运行。

"89e3175.js"

🔗 FOFA 查询地址：fofa.info

说明：直接搜索该 JS 文件名可以找到加载了此脚本的网站，这些网站可能与代理服务相关。

1.2- 深入：FOFA 搜索 Clash 订阅的技巧

本节将详细探讨如何利用 FOFA 的高级功能，更精准地抓取 Clash 订阅。

1.2.1- 利用测绘引擎抓取 Clash 订阅的原理

FOFA 作为网络空间测绘引擎，通过分析设备的端口、协议、响应内容等信息，来识别网络资产的特征。抓取 Clash 订阅的原理在于识别 Clash 配置文件在网络上的独特指纹。

1.2.1.1- Clash 订阅节点文件的特征

一个标准的 Clash 订阅节点文件通常包含以下特征：

1.2.1.1.1- 常见配置项

Clash 配置文件是 YAML 格式，其中包含多种特定的配置项，如：

  • port: 7890
  • socks-port: 7891
  • allow-lan: true
  • mode: Rule
  • log-level: info
  • external-controller: :9090
  • dns: 及其子项（如 enabled: true 和 nameserver）
  • proxies: 及其子项（如节点信息）
1.2.1.1.2- 格式特征
  • YAML 格式：使用键值对，通过冒号 : 分隔。
  • 缩进表示层级：严格遵循 YAML 的缩进规则。
  • 列表项：以 - 开头。
1.2.1.1.3- 常见 DNS 配置

nameserver 和 fallback 部分通常包含一些常见的公共 DNS 服务器地址，例如 119.29.29.29、223.5.5.5、8.8.8.8 等。

1.2.1.1.4- 节点信息

proxies: 部分通常包含多个代理节点配置，每个节点都可能包含 name、server、port、type 等字段，这些都是重要的识别特征。

1.2.2- 基于特征的 FOFA 搜索语句

结合上述特征，可以构建更精准的 FOFA 搜索语句。

1.2.2.1- 基本配置搜索

搜索包含 Clash 常见配置项的文件：

body='allow-lan: true' && body='password'

这可以用于查找需要密码认证的 Clash 配置。

body="port: 7890" && body="socks-port: 7891" && body="allow-lan: true"

更精确的匹配：

body="port: 7890" && body="socks-port: 7891" && body="allow-lan: true" && body="mode: Rule" && body="log-level: info" && body="external-controller: :9090"

1.2.2.2- DNS 配置搜索

搜索包含常见 DNS 配置的文件，例如：

body="nameserver:" && body="119.29.29.29"

说明：此查询可以结合其他配置项使用，以提高准确性。

1.2.2.3- 节点信息搜索

搜索包含 proxies: 部分及其子项的文件，以识别代理节点配置。

body="proxies:" && (body="name:" || body="server:" || body="port:" || body="type:")

1.2.2.4- 综合搜索

可以结合多个特征进行综合搜索，以最大化搜索的精准度。

body="port: 7890" && body="socks-port: 7891" && body="allow-lan: true" && body="mode: Rule" && body="log-level: info" && body="external-controller: :9090" && body="dns:" && body="proxies:"

1.2.2.5- 动态端口处理

如果 Clash 配置文件中的端口号可能不固定，可以使用通配符来匹配。

body="port:" && body="socks-port:"

说明：这种方法允许匹配任何包含 “port:” 和 “socks-port:” 字段的响应，无论其具体数值是多少。

1.3- 结语

通过本指南，您应该能够更有效地利用 FOFA 平台进行网络资产搜索，特别是针对 Clash 订阅和 ComfyUI 实例的定位。请记住，在使用这些搜索技巧时，务必遵守相关法律法规，确保合法合规。抓取到的 URL 经过存活测试后，可以直接导入 Clash 客户端使用。