文章总结： FuYao-Go是一款大规模自动化资产探测与漏洞扫描平台，集成FoFa、Shodan、Hunter三引擎联动，支持549+零误报POC模板，覆盖子域名枚举、资产存活验证、漏洞扫描等全流程。专为赏金猎人、SRC活动及红队演练设计，提供WebHook实时通知与JSON输出。项目已不再开源，需自行编译或下载二进制部署。 综合评分： 50 文章分类： 红队,渗透测试,安全工具,漏洞扫描,软文广告
【绝版扫描核武器】FoFa+Shodan+Hunter三引擎联动，549 POC零误报，10万域名大规模扫描！
原创
菜狗 菜狗
只会看监控的实习生
2026年7月1日 08:00 广东
在小说阅读器读本章
去阅读
🚀 FuYao-Go – 扶摇直上九万里
大规模自动化资产探测与漏洞扫描平台
专为赏金猎人、SRC 活动、红队演练设计。集成子域名枚举、资产存活验证、漏洞扫描全流程自动化，支持 FoFa/Shodan/Hunter 等网络空间测绘引擎，549+ 零误报 POC 模板，TCP/DNS/HTTP/FILE 多协议覆盖。
⚠️ 项目状态：不再开源，维护中 后续版本及动态请关注作者 Twitter / Discord
✨ 核心功能矩阵
| 功能模块 | 子功能 | 状态 | 说明 | | — | — | — | — | | 🔍 资产收集 | 子域名枚举 | ✅ | 被动在线资源发现 | | | 批量子域名枚举 | ✅ | 大规模资产收集 | | | Chaos 资产收集 | ✅ | Chaos 项目集成 | | ✅ 资产验证 | 资产存活验证 | ✅ | HTTP/TCP 层存活检测 | | | 批量资产验证 | ✅ | 大规模并发验证 | | 🛡️ 漏洞扫描 | 安全漏洞验证 | ✅ | 549+ POC 模板 | | | 批量漏洞验证 | ✅ | 大规模目标快速扫描 | | 🌐 空间测绘 | FoFa 自动探测 | ✅ | API 自动资产发现 | | | Shodan 自动探测 | ✅ | 全球设备指纹探测 | | | Hunter 自动探测 | ✅ | 国内资产测绘 | | 🎯 指纹识别 | Web 指纹探测 | ✅ | 框架/组件识别 | | | 中间件漏洞利用 | ✅ | Shiro/SpringBoot 等 | | 📢 通知系统 | 子域名 WebHook | ✅ | 实时资产推送 | | | 漏洞结果 WebHook | ✅ | 实时漏洞推送 | | 🔮 未来功能 | 网络空间测绘资产收集 | 🚧 | 开发中 | | | 更多 POC 模板 | 🚧 | 持续更新 |
🚀 快速开始
系统要求
| 项目 | 要求 | 备注 | | — | — | — | | 操作系统 | Linux / macOS | ⚠️ 不推荐使用 Windows | | Go 版本 | 1.18+ | 编译环境 | | 网络环境 | 可访问互联网 | API 调用需求 |
安装部署
1. 下载二进制
从 Releases 下载对应系统版本：
# Linux AMD64
wget https://github.com/ExpLangcn/FuYao-Go/releases/download/v1.3/FuYao_Linux_amd64 -O FuYao
chmod +x FuYao
- 配置文件
# FoFa 配置
FoFa:
email: "[email protected]"
key: "your-fofa-api-key"
# Shodan 配置
Shodan:
key: "your-shodan-api-key"
# Hunter 配置（如有）
Hunter:
key: "your-hunter-api-key"
# WebHook 配置（可选）
WebHook:
url: "https://your-webhook-url"
secret: "your-secret"
- 准备目标文件
example.com
test.com
target.org
⚡ 使用指南
# 查看帮助
./FuYao -h
# 单目标扫描
./FuYao -f targets.txt
# 指定输出目录
./FuYao -f targets.txt -o ./results
高级用法
| 场景 | 命令 | 说明 |
| — | — | — |
| 大规模赏金扫描 | ./FuYao -f bounty-targets.txt | 批量处理赏金目标 |
| SRC 资产梳理 | ./FuYao -f src-domains.txt | 企业 SRC 全资产 |
| 紧急漏洞应急 | ./FuYao -f emergency.txt -t 100 | 高并发快速检测 |
| 联动其他工具 | ./FuYao -f targets.txt -o json | JSON 格式输出 |
输出说明
results/
├── 2024-01-15_143052/
│ ├── subdomains/ # 子域名枚举结果
│ │ ├── example.com.txt
│ │ └── test.com.txt
│ ├── alive/ # 存活资产验证
│ │ ├── example.com_alive.txt
│ │ └── example.com_screenshots/
│ └── vulnerabilities/ # 漏洞扫描结果
│ ├── example.com_vulns.json
│ └── critical/ # 高危漏洞单独归档
└── summary_report.html # 可视化汇总报告
📊 技术规格
| 漏洞类型 | 数量 | 示例 | | — | — | — | | Web 框架漏洞 | 120+ | Shiro、SpringBoot、ThinkPHP | | 中间件漏洞 | 80+ | Apache、Nginx、Tomcat、WebLogic | | 数据库漏洞 | 60+ | MySQL、Redis、MongoDB、Elasticsearch | | API 安全 | 70+ | JWT、GraphQL、Swagger、OAuth | | 云原生漏洞 | 50+ | Kubernetes、Docker、Jenkins | | 网络设备 | 60+ | 路由器、交换机、防火墙、摄像头 | | 其他 | 109+ | 各类 CMS、OA 系统、VPN 等 |
🎯 典型使用场景
场景一：赏金猎人日常
1. 收集目标列表 → targets.txt
2. 执行 ./FuYao -f targets.txt
3. WebHook 接收实时推送
4. 筛选高危漏洞提交平台
5. 持续监控新资产/新漏洞
场景二：企业 SRC 活动
1. 获取授权域名列表
2. 配置企业 WebHook（钉钉/飞书/企业微信）
3. 定时任务执行 ./FuYao -f src-list.txt
4. 安全团队实时接收资产/漏洞通知
5. 快速修复验证闭环
场景三：红队演练前侦察
1. 目标域名收集（Whois/备案/关联企业）
2. FuYao 全自动资产探测
3. 识别关键系统（OA/邮箱/VPN/堡垒机）
4. 漏洞验证与入口点筛选
5. 制定渗透路径
隐私合规
| 问题 | 原因 | 解决方案 |
| — | — | — |
| Windows 运行失败 | 不兼容 Windows | 使用 Linux/macOS 或 WSL |
| FoFa 无结果 | API Key 无效/额度不足 | 检查 config.yaml，确认额度 |
| 扫描速度过慢 | 网络延迟/并发过低 | 调整 -t 参数，使用代理 |
| WebHook 未推送 | URL 配置错误/防火墙 | 测试 WebHook URL 可达性 |
| 内存占用过高 | 目标过多/未分页 | 分批扫描，使用 -l 限制 |
项目地址
https://github.com/ExpLangcn/FuYao-Go/tree/main?tab=readme-ov-file
低价出售安全证书不限于cisp、pte等cnvd、c2nvd请Vme～建了一个项目群，想进群的请回复进群即可
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：只会看监控的实习生 菜狗 菜狗《【绝版扫描核武器】FoFa+Shodan+Hunter三引擎联动，549 POC零误报，10万域名大规模扫描！》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论