1. 资产侦察的现状与痛点

在渗透测试和红队演练中，资产侦察（Asset Discovery）是最基础也是最关键的环节。传统资产侦察通常需要安全工程师手动构造FOFA语法，反复调整查询条件，再结合Nuclei等工具进行漏洞扫描。这个过程存在几个典型痛点：

• FOFA语法构造复杂：需要熟悉FOFA的查询语法规则，针对不同资产类型（如Web应用、数据库、IoT设备）需要构造不同的查询语句，新手学习成本高
• 结果筛选耗时：FOFA返回的资产数据往往包含大量无效结果，需要人工二次筛选
• 扫描工具联动困难：将FOFA发现的资产导入Nuclei等扫描工具需要格式转换，批量处理时容易出错
• 策略调整滞后：当初始侦察策略效果不佳时，需要人工分析原因并调整策略，响应速度慢

2. AI驱动的智能资产侦察方案

2.1 整体架构设计

我们设计了一个基于AI的智能资产侦察系统，核心组件包括：

1. 自然语言理解模块：将用户的一句话需求（如"找某电商平台的暴露后台"）转换为FOFA查询语法
2. AI反思机制：实时分析FOFA返回结果的质量，自动调整查询策略
3. 扫描工具适配层：将确认有效的资产自动转换为Nuclei等工具的输入格式
4. 反馈学习系统：记录每次侦察任务的效果，持续优化AI模型

2.2 自然语言到FOFA的转换原理

系统采用微调的BERT模型处理自然语言输入。例如当用户输入"寻找使用Spring Boot的政府网站"时：

1. 实体识别：提取"Spring Boot"(技术栈)、"政府网站"(行业属性)
2. 语法构造：转换为FOFA语法header="X-Application-Context" && org="government"
3. 策略优化：根据历史数据补充常见政府网站端口&& (port="80" || port="443")

提示：系统内置了300+种常见技术栈的识别规则和对应的FOFA语法模板

2.3 AI反思机制的工作流程

当首次查询结果不理想时（如返回结果太少或误报率高），系统会自动触发反思流程：

1. 结果评估：计算返回结果的
   • 数量分数（是否达到预期数量级）
   • 准确率分数（基于历史数据的验证）
2. 策略调整：
   • 放宽条件：将&&改为||扩大搜索范围
   • 增加筛选：补充status_code="200"过滤无效页面
   • 切换特征：用body=替代header=检测
3. 迭代查询：最多进行3轮自动调整

3. 与Nuclei的智能联动

3.1 资产格式自动转换

系统将FOFA返回的资产信息转换为Nuclei的输入格式，处理逻辑包括：

1. 协议识别：根据端口号自动添加http://或https://前缀
2. 去重合并：合并同一主机的不同端口服务
3. 权重排序：
   • 优先扫描常见管理后台路径
   • 对云服务IP降低扫描频率

# 转换前FOFA结果 192.168.1.1:8080 example.com:443 # 转换后Nuclei输入 http://192.168.1.1:8080 https://example.com

3.2 扫描策略智能匹配

根据资产特征自动选择Nuclei模板：

1. 识别Web服务器类型（Nginx/Apache/Tomcat）匹配对应漏洞检测
2. 发现WordPress站点时自动加载WP插件漏洞检测集
3. 对政府网站优先检测文件泄露漏洞

4. 实战效果对比

我们在100个测试目标上对比了传统方法和AI方法：

典型用例：某次红队演练中，通过输入"找某云服务商的暴露Kibana"，系统自动构造了以下查询演进路径：

1. 初始查询：title="Kibana" && cloud="Aliyun"
2. 第一次调整：增加&& !ip="10.0.0.0/8"过滤内网IP
3. 第二次调整：放宽为(title="Kibana" || body="kibanaApp")最终发现3个有效暴露实例，其中1个存在CVE-2021-26084漏洞。

5. 实现注意事项

1. FOFA API调用优化：

   • 使用异步请求避免阻塞
   • 实现请求结果缓存（相同查询1小时内不重复请求）
   • 遵守FOFA的速率限制（免费版100次/天）

2. AI模型训练数据：

   • 收集历史渗透测试报告中的成功查询语句
   • 人工标注5000+条自然语言到FOFA语法的对应样本
   • 加入常见误报案例进行负样本训练

3. 安全扫描约束：

   • 自动添加-rate-limit 150限制Nuclei扫描速度
   • 对教育、政府类目标自动启用-severity medium,high过滤低危漏洞
   • 禁止对医疗等敏感行业进行破坏性检测

6. 扩展应用场景

这套方法还可应用于：

• 漏洞情报监控：自动跟踪新曝光漏洞的受影响资产
• 攻防演练准备：快速构建接近真实环境的靶场
• 企业资产盘点：定期发现未知的暴露面

我在实际使用中发现，对云原生环境的资产发现效果尤为突出。例如输入"找暴露的Kubernetes仪表盘"，系统能自动识别以下特征组合：

• 常见端口：port="6443,8443,30443"
• 证书特征：cert="Kubernetes"
• HTTP头特征：header="k8s"