afrog漏洞扫描工具下载
GitHub上afrog项目的洞扫release页面，就是描工下载它的唯一正确入口。别去搜什么“官网”，具下这工具压根没有官方站点，洞扫作者只把代码和编译好的描工二进制文件放在GitHub上。你直接访问github.com/zan8in/afrog，具下点右侧的洞扫Releases，就能看到各个版本的描工下载列表。
下载时认准两个文件：afrog_linux_amd64.zip和afrog_windows_amd64.zip。具下前者给Linux服务器用，洞扫后者给Windows本地跑。描工macOS用户也有对应包，具下但说实话，洞扫用mac跑漏洞扫描的描工人不多，除非你习惯在本地做快速验证。具下下载完解压，里面就一个可执行文件，没有乱七八糟的依赖，这一点比很多同类工具省心。
我最初接触afrog是因为一次内网渗透测试。当时手上有个老旧的Nuclei模板，跑起来总报错，同事随口提了句“试试afrog，它内置了POC库”。结果一用就回不去了——它默认带了几千条漏洞检测规则，覆盖常见CMS、中间件、框架，省去了自己收集模板的麻烦。
具体操作很简单。Windows下打开cmd，cd到解压目录，执行：afrog.exe -t http://目标IP
Linux下则是：./afrog -t http://目标IP
它就会自动开始探测。默认线程数不高，大概10左右，不会把目标打崩。扫完输出一个HTML报告，里面按风险等级排列漏洞，还附带修复建议。这个报告可以直接发给客户或团队，省得自己再整理。
有个细节值得注意：afrog的POC更新频率很高。作者几乎每周都会合并新的漏洞规则，所以建议每次使用前先执行afrog -update拉取最新POC库。我吃过一次亏，用旧版本扫一个刚曝出的漏洞，结果漏报了。更新后再扫，立刻命中。这工具拼的就是规则库的新鲜度。
当然，它也不是万能药。afrog偏向Web层面的漏洞验证，对主机层面、内网横向的东西支持有限。如果你需要做全面的渗透测试，还是得配合其他工具。但单就“快速验证一批目标是否存在已知高危漏洞”这个场景，afrog是我用过最顺手的。
最后提醒一句：下载时注意看release版本的发布时间和更新日志。别追最新版，除非你急需某个新加的POC。稳定版往往更靠谱，毕竟漏洞扫描工具自己出bug，那才叫尴尬。