Fofax进阶技巧：自定义Fx语法规则与实战应用

1. 认识Fofax与Fx语法

第一次接触Fofax时，我完全被它的效率震惊了。这个用Go语言编写的命令行工具，就像是给FoFa搜索引擎装上了涡轮增压器。你可能已经熟悉FoFa的基本查询，但Fofax带来的Fx语法才是真正的游戏规则改变者。简单来说，Fx语法允许你像搭积木一样，把各种查询条件组合成可复用的规则模板。

想象你每天都要重复查询"暴露在公网的Jenkins服务"，传统方式每次都要输入完整的查询语句。而用Fx语法，你可以把这个查询模式保存为一条规则，下次只需调用规则名称就能执行完整查询。更棒的是，这些规则通过yaml文件管理，支持条件组合、变量替换等高级特性。我团队现在维护着200+条Fx规则，将日常工作的查询效率提升了至少5倍。

2. 编写你的第一条Fx规则

让我们从最基础的yaml规则模板开始。先运行这个命令生成模板文件：

fofax -g ~/my_first_rule.yaml

打开生成的yaml文件，你会看到类似这样的结构：

id: fx-custom-001 # 规则ID，保持唯一性 query: 'app="Apache"' # 基础查询语句 rule_name: "Apache服务检测" # 中文规则名 description: "检测公网暴露的Apache服务" # 规则说明 tags: ["web", "scanner"] # 标签用于分类

这是我早期写的一条真实规则，用于查找配置错误的Nginx服务器：

id: fx-nginx-misconfig query: 'server="nginx" && header="server: nginx" && body="directory listing"' rule_name: "Nginx目录遍历漏洞" description: "检测开启目录列表功能的Nginx服务" tags: ["web", "vulnerability"]

保存文件后，把它放到~/.config/fofax/rules/目录（没有就新建）。测试时使用：

fofax -q 'fx="nginx目录遍历漏洞"' -fe

3. 高级规则编写技巧

当基础规则无法满足需求时，Fx语法这些特性会让你事半功倍：

变量参数化是我最常用的功能。比如这个动态查询不同CMS的规则：

id: fx-cms-check query: 'app="{{cms_name}}" && country="{{country}}"' rule_name: "CMS检测-{{cms_name}}" variables: cms_name: default: "WordPress" options: ["WordPress", "Drupal", "Joomla"] country: default: "CN"

调用时这样传参：

fofax -q 'fx="CMS检测" cms_name="Drupal" country="US"' -fe

条件组合让规则更智能。这个例子会先检测Web服务，再检查是否存在特定漏洞特征：

id: fx-web-vuln rules: - query: 'server="{{server_type}}"' name: "{{server_type}}服务检测" - query: 'body="vulnerability_indicator"' name: "漏洞特征验证" depends_on: ["{{server_type}}服务检测"]

4. 实战中的规则优化经验

在真实漏洞挖掘中，我总结出这些黄金法则：

1. 精准排除干扰项：好的规则要像狙击枪而不是散弹枪。比如找暴露的Kibana时，加上!="cloud"排除云服务商的管理界面。

2. 多维度验证：不要只依赖单一特征。检测Jenkins未授权访问时，我通常会组合三个条件：

query: 'title="Jenkins" && port="8080" && body="manage jenkins" && !body="authentication"'

3. 性能调优：大范围扫描时，在yaml中添加这些参数能显著提升效率：

performance: max_pages: 3 # 限制翻页数 timeout: 10s # 单次查询超时 concurrency: 5 # 并发数

有个实际案例：我们曾用自定义规则在2小时内发现了某央企的200+台暴露的Redis实例。关键规则是这样的：

id: fx-redis-exposed query: 'port="6379" && banner="redis" && country="CN" && !ip="10.|172.|192."' rule_name: "国内公网Redis实例" description: "检测未配置防火墙的Redis服务" tags: ["database", "critical"]

5. 规则管理与团队协作

当规则积累到几十条时，你需要考虑这些问题：

版本控制：我们把所有yaml规则文件放在Git仓库，用CI/CD自动同步到团队的fofax安装目录。每次修改都有记录，还能做code review。

分类体系：按这个目录结构组织规则，找起来特别方便：

rules/ ├── web/ │ ├── cms.yaml │ └── middleware.yaml ├── infra/ │ ├── database.yaml │ └── cloud.yaml └── vuln/ ├── cve-2023-xxx.yaml └── log4j.yaml

质量监控：我写了个定时任务，每周自动测试所有规则的查询结果。如果某条规则连续返回空结果，就会触发告警。这帮助我们发现了很多因服务特征变化而过期的规则。

6. 排查规则问题的技巧

即使老手也会遇到规则不工作的情况。这是我的排错清单：

1. 先用-debug参数看原始查询语句：

fofax -q 'fx="我的规则"' -fe -debug

2. 检查yaml语法，特别是缩进和引号。曾经有个bug花了我两小时，最后发现是tab和空格混用。

3. 在FoFa官网直接测试查询语句，确认不是API本身的问题。

4. 对于复杂规则，拆分成小段逐步测试。比如先测试条件A，再测试A+B，最后测试完整规则。

有个记忆犹新的案例：我们的一条Elasticsearch规则突然失效，最终发现是因为FoFa的语法从port="9200"变成了port="9200&&"。解决方案是在yaml里加上兼容写法：

query: '(port="9200" || port="9200&&") && product="elasticsearch"'

7. 安全防护与合规建议

使用强大工具的同时要牢记：

• 遵守数据合规：在规则中添加country!="CN"等条件时，确保有合法授权
• 控制扫描频率：在yaml中设置合理的interval: 60s防止触发速率限制
• 敏感信息保护：不要把包含业务特征的规则文件上传到公开仓库
• 日志审计：建议用-log-file参数记录所有查询活动

我习惯在关键规则的metadata区域添加负责人和审批信息：

meta: owner: security-team@company.com approved_by: ciso@company.com review_date: 2023-12-31

这些年来，Fx语法已经成为我们安全运营的核心工具之一。从最初的简单查询到现在覆盖200+种资产类型的规则库，它显著提升了我们的威胁发现能力。刚开始可能会觉得yaml配置有些复杂，但坚持下来后，你会发现它带来的效率提升绝对值得投入。最近我们正在试验把Fx规则与内部CMDB联动，自动生成资产监控规则，这可能是下一个突破点。