★★免責(zé)聲明★★
文章中涉及的程序(方法)可能帶有攻擊性，僅供安全研究與學(xué)習(xí)之用，讀者將信息做其他用途，由Ta承擔(dān)全部法律及連帶責(zé)任，文章作者不承擔(dān)任何法律及連帶責(zé)任。

1、afrog介紹

afrog 是一款性能卓越、快速穩(wěn)定、PoC可定制的漏洞掃描(挖洞)工具，PoC涉及CVE、CNVD、默認(rèn)口令、信息泄露、指紋識(shí)別、未授權(quán)訪問(wèn)、任意文件讀取、命令執(zhí)行等多種漏洞類型，幫助網(wǎng)絡(luò)安全從業(yè)者快速驗(yàn)證并及時(shí)修復(fù)漏洞。

afrog有以下優(yōu)點(diǎn)：

• 開(kāi)源
• 快速、穩(wěn)定、誤報(bào)率低
• 詳細(xì)的 HTML 漏洞報(bào)告
• 可定制且可穩(wěn)定更新的 PoC
• 活躍的社區(qū)交流小組

項(xiàng)目地址：https://github.com/zan8in/afrog

2、環(huán)境準(zhǔn)備

基礎(chǔ)環(huán)境是kali linux ，ip: 192.168.242.4

如果沒(méi)有kali系統(tǒng)虛擬機(jī)，可關(guān)注公眾號(hào)：大象只為你，后臺(tái)回復(fù)：【虛擬機(jī)】獲取。

afrog的安裝使用需要go，go版本要求1.19 或更高版本，所以需要先安裝go。

2.1、安裝go

在kali linux系統(tǒng)下安裝會(huì)比較簡(jiǎn)單，使用apt-get命令，安裝完成就可使用，不需要再設(shè)置環(huán)境變量等，安裝命令如下：

# 切換到root角色
sudo su
# 更新資源
apt-get update
# 安裝golang
apt-get install golang-go
# 查看安裝版本
go version

3、安裝afrog

安裝afrog官方有提供3個(gè)方式，編譯好的Binary直接使用、Github下載源碼編譯和Go方式安裝。本文給前面兩種方式，Github源碼安裝是會(huì)比較麻煩，過(guò)程中也可能會(huì)出現(xiàn)異常情況。

3.1、編譯好的Binary直接使用

github項(xiàng)目地址看到右側(cè)看到Releases點(diǎn)進(jìn)去下載最新的afrog_xxx_linux_amd64.zip 或直接訪問(wèn) https://github.com/zan8in/afrog/releases 選擇版本下載，然后復(fù)制到kali系統(tǒng)、解壓即可用。

# 創(chuàng)建目錄，復(fù)制下載的編譯好的zip包到該目錄下
mkdir afrog
# 切換到afrog目錄下
cd afrog
# 解壓壓縮包
unzip afrog_3.0.7_linux_amd64.zip 
# 刪除壓縮包
rm -rf afrog_3.0.7_linux_amd64.zip
# 查看版本號(hào)驗(yàn)證命令是否可正常使用
./afrog -v
# 更多命令使用參數(shù)-h查看
./afrog -h

3.2、Github下載源碼編譯

方便工具使用管理，一般會(huì)單獨(dú)放在一個(gè)目錄下，比如tools，安裝命令如下：

如果git clone方式，因網(wǎng)絡(luò)問(wèn)題無(wú)法正常下載，可直接到github上下載后再?gòu)?fù)制到kali 虛擬機(jī)。

# 切換到tools目錄
cd tools
# 下載afrog源碼
git clone https://github.com/zan8in/afrog.git
# 切換到afrog源碼目錄
cd afrog
# 方式一：生成的執(zhí)行文件是afrog【建議使用】
go build -o afrog cmd/afrog/main.go  
# 方式二：生成的執(zhí)行文件是main
go build cmd/afrog/main.go  

在編譯這個(gè)步驟預(yù)計(jì)10~20分鐘，具體看網(wǎng)速而定，如果網(wǎng)速不好的話，這個(gè)步驟會(huì)卡很久，卡很久可能是異常了【詳見(jiàn)3.3、Github下載源碼編譯異常處理】。

編譯完后就可以使用命令確認(rèn)是否正常使用。

# 查看版本號(hào)
./afrog -v
# 更多命令使用參數(shù)-h查看
./afrog -h

3.3、Github下載源碼編譯異常處理

卡在go: downloading github.com/zan8in/rawhttp 這個(gè)地方很久沒(méi)反應(yīng)

如果沒(méi)有使用Ctrl+C命令強(qiáng)制停止，最后會(huì)有異常信息如下：

....略
whttp/@v/v0.0.0-20230318132449-31532db674af.zip": dial tcp 172.217.163.49:443: connect: connection refused
pkg/runner/celprogram.go:18:2: github.com/zan8in/oobadapter@v0.0.0-20240611013553-c79cb5eec939: Get "https://proxy.golang.org/github.com/zan8in/oobadapter/@v/v0.0.0-20240611013553-c79cb5eec939.zip": dial tcp 142.251.42.241:443: connect: connection refused
pkg/runner/cel.go:15:2: google.golang.org/genproto/googleapis/api@v0.0.0-20230530153820-e85fd2cbaebc: Get "https://proxy.golang.org/google.golang.org/genproto/googleapis/api/@v/v0.0.0-20230530153820-e85fd2cbaebc.zip": dial tcp 142.251.42.241:443: connect: connection refused

把以上報(bào)錯(cuò)信息復(fù)制去ChatGPT給出的說(shuō)明是安裝和編譯 afrog 時(shí)遇到了連接問(wèn)題，無(wú)法從 Go 代理服務(wù)器下載所需的包。這可能是由于網(wǎng)絡(luò)問(wèn)題或代理服務(wù)器的問(wèn)題。

嘗試在瀏覽器中打開(kāi) https://proxy.golang.org 是能正常訪問(wèn)。采用更改 Go 代理服務(wù)器的方式解決

# 執(zhí)行該語(yǔ)句后再重新編譯afrog就正常了
go env -w GOPROXY=https://goproxy.cn,direct

4、使用說(shuō)明

使用命令可用 ./afrog -h 來(lái)查看，這里只列出1個(gè)命令和對(duì)應(yīng)2個(gè)場(chǎng)景靶場(chǎng)使用示例。afrog和其他一些工具的聯(lián)動(dòng)后面我自己測(cè)試使用再分享出來(lái)。更多用法請(qǐng)參考wiki：https://github.com/zan8in/afrog/wiki

在掃描之前，需要先配置afrog-config.yaml

4.0、配置afrog-config.yaml

配置文件目錄在$HOME/.config/afrog/afrog-config.yaml 。詳細(xì)可參考：https://github.com/zan8in/afrog/wiki/Configuration

至少需要配置ceye，api-key和domain 從http://ceye.io/ 獲取，自己注冊(cè)賬號(hào)。

使用命令vim 打開(kāi)配置文件，按i鍵進(jìn)入編輯，退出編輯按esc，保存退出輸入:wq!，僅退出不保存輸入:q!。

4.1、使用命令

掃描單個(gè)目標(biāo)：

默認(rèn)情況下，afrog 會(huì)掃描所有內(nèi)置 PoC，如果發(fā)現(xiàn)任何漏洞，它會(huì)自動(dòng)創(chuàng)建 HTML 報(bào)告，以掃描日期作為文件名，并且在web端【需啟用web服務(wù)才可看】展示出來(lái)；如果沒(méi)有發(fā)現(xiàn)漏洞不會(huì)生成報(bào)告。

./afrog -t https://example.com

掃描的結(jié)果在/reports目錄下，或使用命令./afrog --web 啟動(dòng)web服務(wù)查看漏洞報(bào)告。

注意：掃描結(jié)果不一定完全準(zhǔn)確，可結(jié)合其他信息收集或檢測(cè)一起。

以下演示基于在線靶場(chǎng)：https://vulfocus.cn/，靶場(chǎng)啟動(dòng)后20分鐘內(nèi)有效。

4.2、無(wú)漏洞示例

在線靶場(chǎng)搜索SQL注入編號(hào)：CVE_2022_28346，啟動(dòng)靶場(chǎng)。

執(zhí)行命令結(jié)果如下：

到reports目錄下查看沒(méi)有生成xxx.html文件。

分析原因： 漏洞編號(hào)CVE_2022_28346在afrog收錄的pocs里面有沒(méi)有記錄，所以就掃描不出來(lái)。

4.3、有漏洞示例

先在github上的pocs記錄上取一個(gè)CVE-2020-14750，再到在線靶場(chǎng)搜索，啟動(dòng)靶場(chǎng)，得到測(cè)試地址。

執(zhí)行命令結(jié)果如下：

訪問(wèn)web端，可以看到列出結(jié)果和控制臺(tái)一樣的記錄，只不過(guò)web端會(huì)有更詳細(xì)的記錄可以查看。

以弱口令登錄為示例，查看詳細(xì)，會(huì)發(fā)現(xiàn)測(cè)試弱口令登錄成功的賬號(hào)密碼都提供出來(lái)了。

5、我的公眾號(hào)

敬請(qǐng)關(guān)注我的公眾號(hào)：大象只為你，持續(xù)更新網(wǎng)安相關(guān)知識(shí)中…