中文名：奥夫叉(谐音哈哈🦉)

    _  ______
    ___ |  ___|_  __
/ _ \| |_  \ \/ /
| (_) |  _|  >  <__ _Author : jijue
\___/|_| __/_/\_\__ __ __Version : latest

一个应用于web安全领域的漏洞批量扫描框架，可被应用于但不限于如下场景：

0Day/1Day全网概念验证(在没有测试环境(各种商业、闭源软件)或懒得搭建测试环境的情况下，直接写POC全网扫描，亲测很爽)

企业内网或对外开放资产的安全评估

简单的拒绝服务攻击(用Url存活检测POC)

特点：

• python、跨平台、并发能力强、扫描速度贼快
• 作者持续更新，POC库数量可观
• 功能与时俱进，不断优化打磨
• POC模板结构简洁，提供了专门面对开发者的小工具箱，适合用户自定义拓展POC，能够快速应对不同的安全场景
• 所有POC均以不对目标产生任何负面影响的前提下编写的，旨在发现缺陷的同时不给目标业务造成任何负面影响，能灵活应用于企业与个人不同的安全需求

未经事先双方同意，使用oFx攻击目标是非法的。
oFx仅用于安全测试与研究目的

Usage of oFx for attacking targets without prior mutual consent is illegal.
oFx is for security testing purposes only

在原有协议LICENSE中追加以下免责声明。若与原有协议冲突均以免责声明为准。

本工具禁止进行未授权商业用途，禁止二次开发后进行未授权商业用途。

本工具仅面向合法授权的企业安全建设行为，在使用本工具进行检测时，您应确保该行为符合当地的法律法规，并且已经取得了足够的授权。

如您在使用本工具的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。

在使用本工具前，请您务必审慎阅读、充分理解各条款内容，限制、免责条款或者其他涉及您重大权益的条款可能会以加粗、加下划线等形式提示您重点注意。 除非您已充分阅读、完全理解并接受本协议所有条款，否则，请您不要使用本工具。您的使用行为或者您以其他任何明示或者默示方式表示接受本协议的，即视为您已阅读并同意本协议的约束。

git clone --depth 1 https://github.com/bigblackhat/oFx.git oFx

使用前提醒，oFx默认每次运行都会有报告和log的输出，分别在output和log文件夹下，出于缓解存储压力的考虑，笔者设定的规则为每次运行时都会删除12小时以前的输出文件，如果该输出文件对使用者有剩余价值，请在运行结束后及时将输出文件移出当前目录或更名为中/英文形式，如果有重要信息被删除，就再扫一遍吧，也快得很

另外，oFx如今可以良好的运行于Mac和Kali系统，相信其他linux也可以正常运行，但由于笔者没有Windows测试环境，因此在Windows上运行oFx可能会发生一些不可预测的错误，请避免在Windows上运行oFx

单个url扫描模式的使用场景：

POC功能性测试

使用方法

➜  oFx git:(main) ✗ python3 ofx.py -s poc/Jboss/Jboss_Unauthorized_access/poc.py -u xxx.xxx.xxx.xxx:xx

单个目标的漏洞验证详情(返回取决于漏洞本身，目前所有POC都是为了批量验证而设计的，single检测模式尚没有对返回结果做优化，后续会有调整)

漏洞存在与否见最后一行

使用场景：

新漏洞爆出来做全网验证

刷CNVD之类的漏洞平台的积分或排名

有RCE漏洞的POC的话，就可以刷肉鸡(见下方的POC支持清单)

使用方法

➜  oFx git:(main) ✗ python3 ofx.py -s poc/Jboss/Jboss_Unauthorized_access/poc.py -f scan/jboss001.txt --thread 30

蓝字代表无漏洞

绿字代表存在漏洞

青字目标不可达

也可以通过,分隔同时指定多个poc

➜  oFx git:(main) ✗ python3 ofx.py -s poc/Jboss/Jboss_Unauthorized_access/poc.py,poc/Jenkins/Unauth_Access/poc.py,poc/Alibaba_Druid/Unauth_Access/poc.py -f scan/jboss001.txt --thread 30

最后还可以通过-s all指定全量POC进行测试

➜  oFx git:(main) ✗ python3 ofx.py -s all -f scan/jboss001.txt --thread 50

全量POC下测试时常较久，建议食用方式：

• 根据自己电脑性能和带宽给到50个或更多的线程数
• 睡前开始扫描或出门玩儿之前打开oFx进行全量POC测试

全量POC，顾名思义，遍历所有POC插件依次有序的对目标进行测试，接近于漏扫的概念，而且是一个专注于NDay的漏洞扫描器，因oFx的拓展性，非常适合手中掌握数量庞大的0Day的组织或个人（比如笔者自己），使得他可以将0Day库武器化。

没有被武器化的0Day库，就是一堆无用的文档和漏洞逻辑，没有哪个同行会一边读着上千份文档一边做渗透吧。

开始扫描：

# Single检测模式不支持全量POC，所以需要先将单个目标保存到文件中，再用批量扫描来扫描，算是曲线救国吧
# 单个或少于十个的目标就没有必要指定线程数了，因为默认线程数是10
echo https://xxx.xxx.com > scan/1.txt
python3 oFx.py -s all -f scan/1.txt

通过fofa提供的api接口获取资产清单并去重

➜  oFx git:(main) ✗ python3 ofx.py --fofa-search

20xx-xx-xx xx:xx:xx,xxx - INFO: User : [email protected] | Key : xxx | 登陆成功
请输入结果保存文件名(不必加文件后缀)：jboss001
请输入搜索语句：app="Jboss"

20xx-xx-xx xx:xx:xx,xxx - INFO: Fofa搜索语句为：app="Jboss"，开始与Fofa Api对接
第1页获取成功
第2页获取成功
第3页获取成功
...
第99页获取成功
第100页获取成功

20xx-xx-xx xx:xx:xx,xxx - INFO: 搜索完毕，结果保存至/root/oFx/scan/jboss001.txt，经去重共计9748条

可以动态的修改user和key，无需打开配置文件调整，下次使用时直接生效不必重新输入user和key

近期的版本更新中，oFx添加了对Ceye的支持，目前已有一部分POC采用了该平台来辅助漏洞检测，默认下载oFx之后不配置该项并不影响oFx正常的功能使用，只是相关的POC无法按照预期运行而已，有需要可以配置下：

; 在位于项目根目录下的lib/ceye.ini文件中修改dns和token两项的值
[ceye]
; 从ceye中拿到以下的数据，缺一不可
dns = xxxxxx.ceye.io

token = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

以下清单中的项目笔者都有参考或对笔者提供一定程度上的帮助，排名不分先后顺序，仅按照中文全拼首字母顺序排列

如果您在使用oFx的过程中遇到了一些笔者写代码时没有考虑到的问题或没有测试到的错误，欢迎通过邮箱告知笔者([email protected])或提Issues

提交BUG时，需要给到笔者触发错误的oFx命令，测试文件，您的运行环境（包括但不限于操作系统、python版本等），报错的字符串形式 ➕ 报错截图

都看到这儿了，点个star再走呗

写一个好玩且能用的漏扫类的工具是我一直以来的执念，虽然离好用且完美还很远

感谢我的领导(id:张真人)给予我时间去自由探索，他也提出了很多前瞻性的idea（比如全量POC模式）

感谢我的同事(id:hansi)利用闲暇之余完成的POC贡献（见changelog.md）与前期使用体验的反馈

写oFx之前我的愿景是写一个概念验证工具，在hw等特殊时期网络上会充斥许许多多真真假假的漏洞，如何能仅根据语焉不详的利用描述就写出一个批量验证工具且具备无限的拓展性和复用性，根据这一需求，oFx的初代版本就这样诞生了，随着全量POC功能的实现，oFx更像一个专注于Nday检测的漏扫了，甚至可以用RCE漏洞去全网刷肉鸡(我也确实是这样描述oFx的)，但我仍希望大家能用它来做安全研究工作

接下来的时光我将会沉浸于代码审计的工作，oFx的架构不会有明显的调整，但POC应该会持续的不定期的更新

出于对萌新使用体验的考虑，我会将核心的输出信息更为中文

感谢读到这里，祝好祝顺

访客数统计

Star统计