Faraday v5.25.1 发布：120 个插件的漏洞管理中枢，调度系统彻底重做

导语：十个扫描器跑同一批目标，报告散在十个文件夹里，三周后没人说得清哪些洞还没修。法拉第（Faraday）就是来解决这件事的——它自己不扫描，只做中枢。最新 v5.25.1 于 10 月 21 日发布，把整套任务调度推倒重做了一遍。

一、先说清楚它是什么

严格讲，法拉第不是一个扫描器，这个定位必须先摆正，否则用起来会失望。

它是一个漏洞聚合与管理平台。你把 Nmap、Nuclei、Metasploit、Burp 这些工具的输出一股脑丢进去，它负责做三件事：解析不同格式、归一化字段、自动合并重复项。同一台机器被 Nuclei 扫出 3 条、被 Metasploit 扫出 2 条，最后在法拉第里是 1 条漏洞记录，而不是 5 条。

市面上整合工具的项目基本都是菜单式的，一键装一堆二进制，装完各跑各的，结果还是一堆文件等你手动翻。法拉第是反过来的——它假设你的工具早就装好了，只做数据管道。

背后的公司是阿根廷的 Infobyte，项目 2013 年 11 月开仓，GPL-3.0 协议，Python 写的，十三年没断更。目前 6818 星、1084 fork、43 位贡献者，Docker Hub 累计拉取 32.6 万次。

上图是官方放出来的控制台。左边是活动流，每次工具执行、每次漏洞导入都留痕；中间按严重等级堆叠，配一个工作区汇总；右边饼图直接告诉你 98.6% 的洞还没关。这个比例看着刺眼，但比”报告躺在某人邮箱里”要健康得多。

二、v5.25.1 到底改了什么

这次更新的正式说明只有一段，但信息量很密，核心是调度系统重设计（对应 issue #8556）：

• 任务计划新增两种模式——schedule_type: once 在指定日期只跑一次，以及 start_date 从某个日期开始循环
• cron 表达式支持”每月第 N 个星期几”这种写法，比如 0 4 3#2 表示每月第二个周三凌晨四点
• agent 执行记录新增 end_date 字段，能查到什么时候结束的
• 修了一个恶心的 bug：以前计划任务按服务器本地时区触发，而不是按计划自身的时区定义

最后这条才是关键。团队协作场景下，服务器 UTC、计划写的是本地时间，结果所有任务提前或延后几个小时跑，你以为是定时夜间扫描，实际天天在大中午打流量——这个坑填过的人都懂。

企业版那边还多了一个开关：安全扫描器可以被禁用，被禁用的扫描器既不能手动触发，其计划任务也会自动跳过，直到解除禁用。

三、120 个插件：把你的工具箱接进来

我把插件仓库的目录树整个拉下来数了一遍，实际解析器是 120 个——官方 README 里还写着”80+”，已经过时两年了。

其中跟攻防直接相关的挑几个：

插件分两类：Console 型实时解析你执行的工具输出，Report 型事后导入 XML、JSON、CSV 之类的报告文件。前者可以配进定时任务自动跑，后者适合把历史报告一次性倒灌进来。

自己写插件也不难，官方文档专门讲了怎么把你的私有脚本包一层，扔进社区仓库。

四、下载地址与安装

提供全部下载入口，自取：

源码与安装包

• 主仓库：https://github.com/infobyte/faraday
• 发行版页面（.deb / .rpm / 源码包）：https://github.com/infobyte/faraday/releases
• 命令行客户端：https://github.com/infobyte/faraday-cli
• 远程调度代理：https://github.com/infobyte/faraday_agent_dispatcher
• 官网：https://www.faradaysec.com

四种装法，从省事到彻底

# 1. Docker Compose，最推荐
wget https://raw.githubusercontent.com/infobyte/faraday/master/docker-compose.yaml
docker-compose up

# 2. 官方镜像（需要自备 PostgreSQL）
docker run -v $HOME/.faraday:/home/faraday/.faraday -p 5985:5985 
  -e PGSQL_USER='postgres_user' -e PGSQL_HOST='postgres_ip' 
  -e PGSQL_PASSWD='postgres_password' -e PGSQL_DBNAME='postgres_db_name' 
  faradaysec/faraday:latest

# 3. PyPI（需要 Python 3.11+）
pip3 install faradaysec
faraday-manage initdb
faraday-server

# 4. 二进制包（Releases 页面）
sudo apt install faraday-server_amd64.deb
sudo usermod -aG faraday $USER
faraday-manage initdb
sudo systemctl start faraday-server

装完访问 http://localhost:5985，默认用户名 faraday，密码在安装过程里给。

有一点得提醒：v5.25.1 的发行版只提供了 Ubuntu 24.04 的 .deb 和 RockyLinux 8 的 .rpm，都是 amd64。别的发行版要么走 Docker，要么自己从源码编译。

命令行客户端单独装，pip3 install faraday-cli，当前版本 2.3.0，可以直接在工作区里跑工具、取指标、接 CI/CD 流水线：

faraday-cli tool run "nmap www.example.com"
faraday-cli tool report burp.xml

五、免费版和商业版的边界

社区版免费且开源，这没问题。要警惕的是别把商业版功能当社区版用。

按官方 FAQ 说明，Professional 和 Corporate 订阅额外提供：更多 API 端点、高管报告、自定义漏洞属性、分析看板、高级通知、工单系统集成（对接 Jira 之类）、LDAP/SAML 单点登录，以及流水线功能。5.24.2 的更新说明里也明确写了”Pro/Corp 版本在统计时会排除分组漏洞”——说明有些行为在社区版根本不生效。

另外仓库简介里那句”AI-powered、autonomous pentesting”，在社区版 README 里没有任何对应功能说明。真正带 AI 的是商业产品 FaradAI，多 LLM 智能体层做自主攻击模拟、AI 漏洞分诊和自动修复。用社区版的人别被这句描述误导了。

六、什么时候该上，什么时候不值得

该上：你的资产数量过了百台级；同一天有三四个人扫描不同目标；需要给甲方交一份格式统一的漏洞台账；想把扫描接进 CI/CD 做持续检查。

不值得：就扫三五台机器，一份 Nmap 输出自己看就够了，硬上平台是给自己加运维负担；或者你的团队根本不维护漏洞台账——法拉第解决的是”管起来”的问题，前提是你愿意管。

最后提醒一句边界：法拉第是漏洞管理平台，不是攻击平台。Cobalt Strike、Metasploit 这类插件只负责把已有结果结构化收进来，别拿它在授权范围外跑东西。

版权声明：本文由华盟网原创发布，保留所有权利。文中数据均取自项目官方仓库、发行版页面与官方文档。