ofx

中文名:奥夫叉(谐音哈哈🦉)

 ______
 ___ | ___|_ __
/ _ \| |___\ \/ /
| (_) | __|\ \ __ _Author : jijue
\___/|_| /_/\_\__ __ __Version : latest

一个应用于web安全领域的漏洞批量扫描框架,可被应用于但不限于如下场景:

0Day/1Day全网概念验证(在没有测试环境(各种商业、闭源软件)或懒得搭建测试环境的情况下,直接写POC全网扫描,亲测很爽)

企业内网或对外开放资产的安全评估

特点:

• python、跨平台、并发能力强、扫描速度贼快
• 作者持续更新,POC库数量可观
• 功能与时俱进,不断优化打磨
• POC模板结构简洁,提供了专门面对开发者的小工具箱,适合用户自定义拓展POC,能够快速应对不同的安全场景
• 所有POC均以不对目标产生任何负面影响的前提下编写的,旨在发现缺陷的同时不给目标业务造成任何负面影响,能灵活应用于企业与个人不同的安全需求

安全声明:注意,这不是一个黑客工具,仅用于获得企业、单位、组织授权情况下的安全漏洞验证以及安全从业者学习使用,开发者不承担任何相关非法活动的法律责任。

git clone --depth 1 https://github.com/bigblackhat/oFx.git oFx

使用前提醒,oFx默认每次运行都会有报告和log的输出,分别在output和log文件夹下,出于缓解存储压力的考虑,笔者设定的规则为每次运行时都会删除12小时以前的输出文件,如果该输出文件对使用者有剩余价值,请在运行结束后及时将输出文件移出当前目录或更名为中/英文形式,如果有重要信息被删除,就再扫一遍吧,也快得很

另外,oFx如今可以良好的运行于Mac和Kali系统,相信其他linux也可以正常运行,但由于笔者没有Windows测试环境,因此在Windows上运行oFx可能会发生一些不可预测的错误,请避免在Windows上运行oFx

单个url扫描模式的使用场景:

POC功能性测试

使用方法

➜ oFx git:(main) ✗ python3 ofx.py -s poc/Jboss/Jboss_Unauthorized_access/poc.py -u xxx.xxx.xxx.xxx:xx

单个目标的漏洞验证详情( 返回取决于漏洞本身,目前所有POC都是为了批量验证而设计的,single检测模式尚没有对返回结果做优化,后续会有调整)

show

漏洞存在与否见最后一行

-e,写webshell、反弹shell等。

目前支持漏洞利用的POC:

禅道8.2-9.2.1注入GetShell 写Webshell
CVE-2024-36401 未授权RCE 反弹shell

由于笔者有选择困难症,还没想好漏洞利用功能的交互方式,暂时先这么用着吧

使用场景:

新漏洞爆出来做全网验证

刷CNVD之类的漏洞平台的积分或排名

有RCE漏洞的POC的话,就可以刷肉鸡(见下方的POC支持清单)

使用方法

➜ oFx git:(main) ✗ python3 ofx.py -s poc/Jboss/Jboss_Unauthorized_access/poc.py -f scan/jboss001.txt --thread 30

蓝字代表无漏洞
show

绿字代表存在漏洞
show

青字目标不可达
show

也可以通过,分隔同时指定多个poc

➜ oFx git:(main) ✗ python3 ofx.py -s poc/Jboss/Jboss_Unauthorized_access/poc.py,poc/Jenkins/Unauth_Access_DashBoard/poc.py,poc/Alibaba_Druid/Unauth_Access_DashBoard/poc.py -f scan/jboss001.txt --thread 30

最后还可以通过-s all指定全量POC进行测试

➜ oFx git:(main) ✗ python3 ofx.py -s all -f scan/jboss001.txt --thread 50

全量POC下测试时常较久,建议食用方式:

• 根据自己电脑性能和带宽给到50个或更多的线程数
• 睡前开始扫描或出门玩儿之前打开oFx进行全量POC测试

偷偷说一句,因为全量POC测试是依次运行所有POC对目标进行扫描 ,也就是只有一个POC扫完全部目标以后才会调用下一个POC,所以对每一个目标来说可能几十秒甚至几分钟内只有一次恶意请求(时长取决于资产数量和线程数),oFx本身不使用爬虫、fuzzing等技术,不会对被测资产产生任何负载压力,所以即使客户明令禁止使用漏扫,也可以放心大胆的用oFx哦

全量POC,顾名思义,遍历所有POC插件依次有序的对目标进行测试,接近于漏扫的概念,而且是一个专注于NDay的漏洞扫描器,因oFx的拓展性,非常适合手中掌握数量庞大的0Day的组织或个人(比如笔者自己),使得他可以将0Day库武器化。

没有被武器化的0Day库,就是一堆无用的文档和漏洞逻辑,没有哪个同行会一边读着上千份文档一边做渗透吧。

开始扫描:

# Single检测模式不支持全量POC,所以需要先将单个目标保存到文件中,再用批量扫描来扫描,算是曲线救国吧
# 单个或少于十个的目标就没有必要指定线程数了,因为默认线程数是10
echo http://xxx.xxx.com > scan/1.txt
python3 oFx.py -s all -f scan/1.txt

通过fofa提供的api接口获取资产清单并去重

show

Fofa Search分成三种模式:
1)默认模式,即:一条dork语句最大获取1w个资产
2)自适应模式,即:根据fofa结果,自适应获取当前dork在全球保有量最多的5个国家与其5个行政区划的资产,理论上一条有效dork语句最多可以获得25w资产
3)中国全境模式,即:根据中国全境行政区划(以Fofa官方设计为准),获取所有资产,理论上一条有效dork语句最多可以获得31w资产

fofa的配置文件位置为:lib/fofa.ini

备注:
每次运行fofa搜索功能时,oFx都会尝试登陆。
如果失败,会要求用户提供账号和key,此时再登陆成功,oFx会动态的修改配置文件中的user和key,无需打开配置文件调整,下次再使用时也直接生效不必重新输入user和key
在获取资产过程中,如果因报错中断或手动关闭程序,并不影响在此之前获取到的资产保存,可以根据 scan/运行fofa-search后指定的文件名.txt 去找。

近期的版本更新中,oFx添加了对Ceye的支持,目前已有一部分POC采用了该平台来辅助漏洞检测,默认下载oFx之后不配置该项并不影响oFx正常的功能使用,只是相关的POC无法按照预期运行而已,有需要可以配置下:

; 在位于项目根目录下的lib/ceye.ini文件中修改dns和token两项的值
[ceye]
; 从ceye中拿到以下的数据,缺一不可
dns = xxxxxx.ceye.io
token = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

近期的版本更新中,oFx提供了对proxypool的支持,proxypool是个http代理池工具,原本定位是用于爬虫使用,防止同一个ip访问次数过多被封ip,该功能也适用于我们漏扫场景,当我们对同一个站点或同一个单位的资产进行一定数量的扫描时,有极大的概率会被封。

proxypool本身有11个免费代理源,程序运行起来以后会定时采集免费代理并验证代理的可用性,同时可以由用户自己添加代理源以提高代理的数量和质量。

项目地址:https://github.com/jhao104/proxy_pool

使用方法:
proxypool的使用方法可以参考项目文档,oFx与其对接的原理就是访问http://127.0.0.1:5000的api接口,有特殊需要可以自行调整

下面仅描述本地启动proxypool并运行oFx与其对接的方法。

1.下载项目

git clone git@github.com:jhao104/proxy_pool.git

2.安装依赖

pip install -r requirements.txt

3.安装redis,然后修改api与数据库配置

# setting.py 为项目配置文件
# 配置API服务
HOST = "0.0.0.0" # IP
PORT = 5000 # 监听端口
# 配置数据库
DB_CONN = 'redis://:@127.0.0.1:8888/0'
# 配置 ProxyFetcher
PROXY_FETCHER = [
 "freeProxy01", # 这里是启用的代理抓取方法名,所有fetch方法位于fetcher/proxyFetcher.py
 "freeProxy02",
 # ....
]
# proxyCheck时代理数量少于POOL_SIZE_MIN触发抓取
POOL_SIZE_MIN = 50 # 这里笔者觉得50会好一点

4.启动proxypool

# 如果已经具备运行条件, 可用通过proxyPool.py启动。
# 程序分为: schedule 调度程序 和 server Api服务
# 启动调度程序
python proxyPool.py schedule
# 启动webApi服务
python proxyPool.py server

5.oFx对接proxypool

直接在后面跟上--proxypool参数即可。

python3 ofx.py -s all -f xxx.txt --proxypool --thread 50

此时oFx就会通过proxypool的api接口获取一个代理,然后判断:

• 如果是国外的代理,就会抛弃并删除该代理,然后重新获取。
• 如果是国内代理,就会尝试进行访问测试,如果失败,同样抛弃并删除,但如果测试成功,则会引用该代理。

任何有兴趣为本项目作出贡献的同学都可以参与进来,详见代码编写规范

未经事先双方同意,使用oFx攻击目标是非法的。
oFx仅用于安全测试与研究目的
Usage of oFx for attacking targets without prior mutual consent is illegal.
oFx is for security testing purposes only

在原有协议LICENSE中追加以下免责声明。若与原有协议冲突均以免责声明为准。

本工具禁止进行未授权商业用途,禁止二次开发后进行未授权商业用途。

本工具仅面向合法授权的企业安全建设行为,在使用本工具进行检测时,您应确保该行为符合当地的法律法规,并且已经取得了足够的授权。

如您在使用本工具的过程中存在任何非法行为,您需自行承担相应后果,我们将不承担任何法律及连带责任。

在使用本工具前,请您务必审慎阅读、充分理解各条款内容,限制、免责条款或者其他涉及您重大权益的条款可能会以加粗、加下划线等形式提示您重点注意。 除非您已充分阅读、完全理解并接受本协议所有条款,否则,请您不要使用本工具。您的使用行为或者您以其他任何明示或者默示方式表示接受本协议的,即视为您已阅读并同意本协议的约束。

以下清单中的项目笔者都有参考或对笔者提供一定程度上的帮助,排名不分先后顺序,仅按照中文全拼首字母顺序排列

oFx项目一直以来都是在 JetBrains 公司旗下的PyCharm集成开发环境中进行开发,基于 free JetBrains Open Source license(s) 正版免费授权,在此表达我的谢意。

JetBrains

如果您在使用oFx的过程中遇到了一些笔者写代码时没有考虑到的问题或没有测试到的错误,欢迎通过邮箱告知笔者(ronginus@qq.com) 或提Issues

提交BUG时,需要给到笔者触发错误的oFx命令,测试文件,您的运行环境(包括但不限于操作系统、python版本等),报错的字符串形式 ➕ 报错截图

(削除) 都看到这儿了,点个star再走呗 (削除ここまで)

show

写一个好玩且能用的漏扫类的工具是我一直以来的执念,虽然离好用且完美还很远

感谢我的领导(id:张真人)给予我时间去自由探索,他也提出了很多前瞻性的idea(比如全量POC模式)

感谢我的同事(id:hansi)利用闲暇之余完成的POC贡献(见changelog.md)与前期使用体验的反馈

写oFx之前我的愿景是写一个概念验证工具,在hw等特殊时期网络上会充斥许许多多真真假假的漏洞,如何能仅根据语焉不详的利用描述就写出一个批量验证工具且具备无限的拓展性和复用性,根据这一需求,oFx的初代版本就这样诞生了,随着全量POC功能的实现,oFx更像一个专注于Nday检测的漏扫了,甚至可以用RCE漏洞去全网刷肉鸡( 我也确实是这样描述oFx的),但我仍希望大家能用它来做安全研究工作

接下来的时光我将会沉浸于代码审计的工作,oFx的架构不会有明显的调整,但POC应该会持续的不定期的更新

出于对萌新使用体验的考虑,我会将核心的输出信息更为中文

感谢读到这里,祝好祝顺

访客数统计
Visitor Count
Star统计
Stargazers over time