内容摘要：用FOFA挖漏洞，本质上是在做一道填空题：找出暴露在公网上的资产，然后猜它的弱口令或已知漏洞。我见过最离谱的一次，一个金融公司的测试系统，FOFA上挂着Tomcat管理后台，默认口令admin/adm

用FOFA挖漏洞，挖漏本质上是挖漏在做一道填空题：找出暴露在公网上的资产，然后猜它的挖漏弱口令或已知漏洞。我见过最离谱的挖漏一次，一个金融公司的挖漏测试系统，FOFA上挂着Tomcat管理后台，挖漏默认口令admin/admin直接登录，挖漏里面躺着全套生产数据库的挖漏备份脚本。

别急着笑。挖漏这类案例每天都在发生。挖漏FOFA的挖漏语法不复杂，title="后台管理" && country="CN"，挖漏几秒钟就能捞出几千个后台地址。挖漏但真正有用的挖漏是组合拳——先定位某个小众CMS，再搜它的挖漏特定路径，最后用默认口令批量尝试。有个朋友靠这招，每周能稳定提交三四个CNVD漏洞，全是那些没人维护的政府子站和学校系统。

有个细节很多人忽略：FOFA的body字段能搜到页面里的隐藏注释。开发人员经常在HTML注释里写"// TODO: 删除测试账号"或者"admin密码已改，别用旧密码了"。这种线索比扫描器准得多。我试过一次，搜body="test123" && status_code="200"，居然翻出一个银行的分行门户，后台账号密码直接写在注释里，连登录页面都替你标好了。

但FOFA挖洞也有坑。最烦人的是蜜罐。有些厂商专门部署伪装成路由器、摄像头的诱饵，你兴致勃勃地尝试弱口令，对方已经在记录你的IP和攻击手法。我吃过一次亏，对着一个"华为路由器"折腾半天，结果是个蜜罐，吓得赶紧换了网络环境。所以我的习惯是：先看FOFA的端口开放情况，port="8080" && protocol="http"，如果同时开着22、3306这种敏感端口，八成是虚拟蜜罐，直接跳过。

效率最高的玩法是盯住"边缘资产"。比如某大厂的OA系统，主站点防护严密，但它在内网测试时用的子域名oa-test.xxx.com还挂在公网，FOFA能搜到。这种系统往往没接WAF，漏洞一打一个准。上周我搜domain="xxx.com" && status_code="403"，找到一个403的目录，翻路径发现是未授权的Spring Boot Actuator，直接拿下heapdump，里面全是数据库账号密码。

别把FOFA当成神兵利器。它只是帮你把攻击面缩小到可操作的清单。真正的功夫在搜索之后——你得会判断哪些资产值得深挖，哪些是死数据。有个笨办法：看FOFA的更新时间。lastupdatetime="2024-10-01"，半年内没更新过的系统，要么是废弃了，要么是没人管，前者没价值，后者往往有惊喜。

最后说句实在话：FOFA挖洞拼的不是技术，是耐心和检索的颗粒度。同一个漏洞，有人搜title="login"一无所获，有人搜title="Login" && body="password" && country!="US"能筛出几千个可尝试的靶子。多琢磨语法里的逻辑组合，比盲目扫端口有用得多。毕竟，漏洞不是挖出来的，是"筛"出来的。