# Afrog 官方教程(1)：年轻人的第一款漏洞扫描器

> “工欲善其事，必先利其器。” —— 论一把趁手的漏扫如何让你在挖洞时少走弯路。

大家好，这里是 **Afrog 官方**。从今天开始，我们将连载《Afrog 从入门到入土》系列教程。无论你是刚接触网络安全的小白，还是身经百战的红队大佬，希望这个系列都能让你对 Afrog 有更深的理解。

今天我们先来聊聊第一步：**怎么让它跑起来**。

## 🐸 Afrog 是个啥？

简单说，Afrog 是一款**高性能**、**高扩展性**的漏洞扫描工具。

为什么要用它？
- **快**：Go 语言开发，并发性能强劲。
- **准**：内置大量高质量 PoC（漏洞验证脚本），社区活跃更新快。
- **稳**：不仅能扫 Web 漏洞，还能联动端口扫描，甚至支持反连（OOB）检测。

它就像一只敏捷的青蛙，迅速捕捉网络中的“害虫”（漏洞）。

## 🛠️ 安装：三步上篮

不管你是 Windows、Mac 还是 Linux，安装 Afrog 都非常简单。我们推荐**直接下载二进制文件**，省去编译的烦恼。

### 方法一：直接下载（推荐 ⭐⭐⭐⭐⭐）

1.  访问 GitHub Releases 页面：[https://github.com/zan8in/afrog/releases](https://github.com/zan8in/afrog/releases)
2.  找到最新版本（Latest），根据你的系统下载对应的压缩包：
    -   **Windows**: `afrog_windows_amd64.zip`
    -   **Mac (Intel)**: `afrog_darwin_amd64.tar.gz`
    -   **Mac (M1/M2)**: `afrog_darwin_arm64.tar.gz`
    -   **Linux**: `afrog_linux_amd64.tar.gz`
3.  解压，把里面的 `afrog` (或者 `afrog.exe`) 放到你想放的地方。
4.  打开终端（CMD/PowerShell），进入该目录，运行：
    ```bash
    ./afrog -v
    ```
    如果看到了版本号，恭喜你，安装成功！

### 方法二：源码安装（适合 Go 语言玩家）

如果你本地有 Go 1.19+ 环境，一条命令搞定：

```bash
go install -v github.com/zan8in/afrog/v3/cmd/afrog@latest
```

安装完成后，直接在终端输入 `afrog` 即可（前提是你的 GOPATH/bin 在环境变量里）。

---

## 🚀 Hello World：你的第一次扫描

安装好了，怎么用？最简单的用法只需要一个参数 `-t` (Target)。

假设我们要扫描一个测试站点 `http://example.com`（**请务必扫描已授权的目标！**）：

```bash
afrog -t http://example.com
```

### 你会看到什么？

终端会开始疯狂刷屏（别慌，这是它在干活）：
1.  **加载 PoC**：Afrog 会自动加载内置的漏洞规则。
2.  **开始扫描**：显示当前的进度。
3.  **发现漏洞**：
    -   如果看到 <font color="red">**[CRITICAL]**</font> 或 <font color="red">**[HIGH]**</font>，说明发现了高危漏洞！
    -   终端会显示漏洞名称、URL 和 PoC ID。

### 报告在哪里？

Afrog 提供了多种查看扫描结果的方式，丰俭由人。

#### 1. 终端实时查看（最快）
在扫描过程中，一旦发现漏洞，Afrog 会立即在终端以**高亮颜色**打印出来：
- <font color="red">**[CRITICAL]**</font> / <font color="red">**[HIGH]**</font>: 红色，高危/严重漏洞。
- <font color="orange">**[MEDIUM]**</font>: 橙色，中危漏洞。
- <font color="green">**[LOW]**</font>: 绿色，低危漏洞。

你不需要等扫描结束，盯着屏幕就能第一时间知道战果。

#### 2. HTML 报告（最详细）
扫描结束后，Afrog 会自动在当前目录的 `reports` 文件夹下生成一份 HTML 报告（文件名是日期时间，例如 `20230101-120000.html`）。

双击打开它，你会看到一个精美的网页，里面详细列出了：
-   扫描目标
-   发现的漏洞列表
-   **关键信息**：点击每个漏洞，可以看到完整的 HTTP 请求（Request）和响应（Response）包。这对于你后续**复现漏洞**或**编写报告**至关重要。

> **小技巧**：如果你想把报告保存到指定位置，可以使用 `-o` 参数，例如：`afrog -t example.com -o my_report.html`。

#### 3. Web 界面管理（进阶）
Afrog 内置了一个 Web 管理后台，不仅可以持久化存储所有扫描记录，还能进行任务管理和 PoC 搜索。

运行以下命令启动：
```bash
afrog -web
```

启动后，终端会打印出访问地址（默认 `http://127.0.0.1:16868`）和**随机生成的访问密码**。
打开浏览器，输入密码，你将解锁一个全新的 Afrog 世界。


---

## 💡 小贴士

1.  **第一次运行慢？**
    Afrog 第一次运行时会自动下载最新的 PoC 规则库，取决于网速，可能会稍慢一点点，耐心等待即可。
2.  **不仅是 URL**
    `-t` 参数不仅支持 `http://...`，也支持 IP 地址（如 `192.168.1.1`）。

---

## ❓ 常见问题 (FAQ)

遇到问题先别慌，看看这里有没有你要的答案。

**Q1: Mac 提示“无法打开，因为无法验证开发者”怎么办？**
**A:** 这是 MacOS 的安全机制。
1. 打开“系统偏好设置” -> “安全性与隐私” -> “通用”。
2. 你会看到底部提示 Afrog 被阻止，点击“仍要打开”即可。
3. 或者在终端执行 `sudo spctl --master-disable` 允许任何来源（不推荐）。

**Q2: Windows Defender 报毒？**
**A:** 安全工具常有的“待遇”。Afrog 代码完全开源，请放心使用。建议将 afrog 目录加入杀毒软件的信任白名单。

**Q3: 如何升级 Afrog？**
**A:** 
- **主程序升级**：运行 `afrog -update` 即可一键更新到最新版本。
- **PoC 规则升级**：Afrog 每次启动时会自动检查并更新 PoC。如果你想关闭这个功能，可以加上 `-disable-update-check` 参数。

---

## 下期预告

现在的你已经学会了“平A”（普通扫描），但 Afrog 还有很多“大招”：
-   怎么同时扫几百个目标？
-   怎么只扫特定的漏洞（比如只扫 Struts2）？
-   怎么把结果输出成 JSON 给其他工具用？

下一期**《命令行参数全解》**，我们将带你解锁 Afrog 的更多姿势。关注我们，不迷路！

---

### 🌟 进阶玩法：加入 Afrog 官方星球

**“启动即最新，扫描即实战”**

觉得开源版 PoC 更新不够快？想要第一时间获取 **高危漏洞 / 0day** 情报？
Afrog v3.3.7 已内置 **“星球精选 PoC”自动更新客户端**。

加入 **「Afrog 官方圈」** 知识星球，你将获得：
1.  🔑 **专属 License Key**：一键配置。
2.  ⚡️ **独家高危 PoC**：快人一步，通过自动更新通道直达你的扫描器。
3.  🛠️ **硬核技术交流**：与作者和众多安全从业者共同探讨。

👉 **如何开启自动更新？**
查看详细文档：[Afrog 支持星球 PoC 自动更新功能](https://github.com/zan8in/afrog/wiki/Afrog-%E6%94%AF%E6%8C%81%E6%98%9F%E7%90%83PoC%E8%87%AA%E5%8A%A8%E6%9B%B4%E6%96%B0%E5%8A%9F%E8%83%BD)

*(此处建议插入知识星球二维码)*

---
*本文由 Afrog 官方原创，欢迎转发分享。*
