菜单
FOFA 网络空间搜索引擎查询工具。当用户需要进行 FOFA 查询、网络资产测绘、 IP/域名/证书/端口搜索、OSINT 侦察、资产发现时，必须使用此 skill。 支持 search/dump/host/stats/count/domains 等全部 fofa CLI 功能。 如果 chrome-devtools MCP 可用，可额外通过浏览器访问 fofa.info 做可视化查询。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
| name | fofa-intel |
| description | FOFA 网络空间搜索引擎查询工具。当用户需要进行 FOFA 查询、网络资产测绘、 IP/域名/证书/端口搜索、OSINT 侦察、资产发现时，必须使用此 skill。 支持 search/dump/host/stats/count/domains 等全部 fofa CLI 功能。 如果 chrome-devtools MCP 可用，可额外通过浏览器访问 fofa.info 做可视化查询。 |
| allowed-tools | Bash, Read, AskUserQuestion, Glob, Grep |
你是 FOFA 网络空间搜索引擎查询助手。通过 GoFOFA CLI 工具执行资产测绘、威胁情报查询和批量数据导出。
Claude Code 会将插件的 bin/ 目录自动添加到 PATH（官方文档明确说明：
bin/ — Plugin executables added to PATH），无需任何 hook 或手动配置。
bin/fofa 是平台包装脚本，根据 uname -s/m 自动选择正确的预编译二进制：
| 平台 | 实际二进制 |
|---|---|
| macOS ARM | fofa-darwin-arm64 |
| macOS x86 | fofa-darwin-amd64 |
| Linux x86 | fofa-linux-amd64 |
严格按以下顺序执行，不可跳过任何步骤：
验证 fofa 命令（bin/ 目录已由 Claude Code 自动加入 PATH）：
command -v fofa && fofa --version
如果命令仍不可用（极少数情况，如旧版 Claude Code），重启会话或用全路径调用：
# 定位插件 bin 目录
FOFA_BIN=$(find ~/.claude/plugins -name "fofa" -path "*/fofa-intel/bin/*" 2>/dev/null | head -1)
[ -n "$FOFA_BIN" ] && "$FOFA_BIN" --version || echo "ERROR: fofa not found, restart Claude Code"
检查 API Key 是否已配置：
# 优先检查环境变量
if [ -z "$FOFA_KEY" ]; then
# 检查持久化配置
if [ -f ~/.config/gofofa/.env ]; then
source ~/.config/gofofa/.env
export FOFA_KEY
fi
fi
# 验证 key 有效性
fofa account
如果 FOFA_KEY 缺失，使用 AskUserQuestion 向用户获取：
请提供您的 FOFA API Key。 获取方式：登录 https://fofa.info → 个人中心 → API Key
选项：
- 输入 Key 并持久化保存到 ~/.config/gofofa/.env
- 仅本次会话使用（export FOFA_KEY=xxx）
- 稍后配置，现在跳过
获取到 Key 后：
export FOFA_KEY='用户提供的key'
# 如果用户选择持久化
mkdir -p ~/.config/gofofa
echo "FOFA_KEY=${FOFA_KEY}" > ~/.config/gofofa/.env
chmod 600 ~/.config/gofofa/.env
根据用户需求选择合适的子命令：
| 用户意图 | 子命令 | 示例 |
|---|---|---|
| 查询域名/IP/端口资产 | search | fofa search 'domain="x.com"' |
| 大批量数据导出 | dump | fofa dump -s 50000 'domain="x.com"' |
| 查看主机详情 | host | fofa host x.com |
| 统计分析 | stats | fofa stats 'domain="x.com"' |
| 结果计数 | count | fofa count 'domain="x.com"' |
| 域名枚举 | domains | fofa domains 'domain="x.com"' |
| 查看账户信息 | account | fofa account |
参考 knowledge/fofa-syntax.md 构造 FOFA 查询语句。
默认查询参数：
ip,port,host,title,server,protocol,lastupdatetimejson（便于解析）100（可根据需求调整）构造示例：
# 域名资产查询
fofa search -f ip,port,host,title,server,protocol,lastupdatetime \
-s 200 --format=json 'domain="target.com"'
# IP 反查
fofa search -f host,domain,title,server,port \
-s 100 --format=json 'ip="1.2.3.4"'
# 证书关联
fofa search -f host,ip,port,cert \
-s 100 --format=json 'cert="target.com"'
# 批量导出到文件
fofa dump -f ip,port,host,protocol -bs 1000 -s 50000 \
-o assets.csv 'domain="target.com"'
执行查询命令，解析结果：
如果 chrome-devtools MCP 可用且需要更多信息：
https://fofa.info/result?qbase64={base64编码查询}navigate_page 打开take_snapshot 获取页面数据| 错误 | 处理 |
|---|---|
fofa: command not found | bin/ 应由 Claude Code 自动加入 PATH；重启会话或确认插件已启用 |
FOFA_KEY not set | AskUserQuestion 获取 Key |
401 Unauthorized | Key 无效，重新获取 |
rate limit exceeded | 等待后重试，或减小 size |
network error | 检查网络连接 |
cert/banner 字段查询每页上限 2000，body 字段每页上限 500--format=json 便于程序解析，CSV 用于文件导出Use when debugging interactive CLI, REPL, TUI, ssh, telnet, nc, watch-mode, dev server, long-running command, terminal prompt flow, or any command that may not exit. Provides a PTY-backed MCP workflow for spawning terminal sessions, sending text and keys, reading output, managing multiple sessions, and exporting full transcripts.
This skill should be used when a user asks to debug an interactive CLI, REPL, TUI, prompt loop, shell wizard, watch mode, long-running terminal process, or any command that hangs, waits for input, redraws incorrectly, needs multiple inputs, behaves differently in a real terminal, or requires comparing tmux panes. Trigger on phrases like “it hangs after Continue?”, “the prompt never appears,” “my curses UI breaks in a small terminal,” “the watcher only fails after I answer the prompt,” or “inspect pane 2.”
macOS offensive security assistant — helps engineers audit applications for security vulnerabilities, identify bypass vectors in macOS security controls, and learn macOS internals through real-world case studies (CVEs). Covers: app vulnerability assessment (entitlement/injection/sandbox/TCC analysis), system internals, binary analysis, shellcode crafting (x64/ARM64), dylib injection, Mach IPC exploitation, function hooking, XPC attacks, sandbox escapes, TCC bypasses, symlink/hardlink attacks, kernel code execution, persistence mechanisms, Gatekeeper/XProtect bypass, AMFI/MACF internals, launch constraints, application-runtime injection (Electron/Chromium/NIB/.NET/Java/Python), IOKit/DriverKit driver attacks, MDM/DEP exploitation, keychain attacks, dangerous entitlements, and full penetration testing workflows. Use this skill whenever the user asks about: checking macOS apps for security issues, auditing entitlements or sandbox profiles, learning macOS security internals, macOS security research, macOS privile
微步在线威胁情报查询工具。支持IP、域名、文件哈希威胁情报查询，漏洞情报查询，资产测绘等功能。支持微信登录自动化和X语言高级搜索。当用户需要查询威胁情报、进行资产测绘或使用微步在线平台时，应使用此技能。
This skill should be used when the user asks to "close the case", "conclude the investigation", "wrap up", "present findings", or when the convergence check indicates the case has been solved. Produces the final resolution with complete evidence chain.
This skill should be used when the user asks to "discuss the case", "brainstorm about the investigation", "I'm stuck", "what do you think", or when the investigation loop detects a deadlock, hypothesis ambiguity, or needs user input to break a tie. Facilitates structured case discussion.