Įsilaužimo testavimas

Domeno ir DNS sveikata

Registracija, vardų serveriai, SPF/DKIM/DMARC el. pašto saugumas ir sertifikatų institucijos užrakinimas.

Tinklo pažeidžiamumai

Atviri prievadai, atviri servisai ir reklaminiai pranešimai, atskleidžiantys versijos ir konfigūracijos informaciją užpuolikams.

TLS ir šifravimas

Sertifikatų galiojimas, silpni protokolai, šifravimo paketų silpnybės ir HSTS padėtis visuose galiniuose taškuose.

Saugumo antraštės

HSTS, CSP, frame-options, content-type-options ir visas HTTP atsakymo saugumo antraščių rinkinys.

Žiniatinklio aplikacijų pažeidžiamumai

Atskleisti administratoriaus keliai, šaltinio kodo nutekėjimai, derinimo puslapiai, atviri peradresavimai ir host-header injekcijos pažeidžiamumai.

JavaScript paslaptys

Užkoduoti API raktai, debesų prisijungimai ir vidiniai URL, netyčia įkelti į jūsų priekinę pusę. Skenuojame ir istorines kopijas.

CMS specifinės problemos

Žinomai pažeidžiami papildiniai ir pasenusios pagrindinės versijos WordPress, Drupal, Joomla ir Magento sistemose.

API pažeidžiamumai

Swagger ir GraphQL galiniai taškai, palikti produkcijoje, įjungta introspekcija ir neautentifikuotas API paviršius.

Debesų saugykla

Netyčia vieši S3, GCS ir Azure krepšeliai, susiję su jūsų prekės ženklu — dažna duomenų nutekėjimų priežastis.

Padomenių užgrobimo rizika

Laisvi DNS įrašai, nukreipti į neužimtus servisus — užpuolikų naudojamas vektorius jūsų prekės ženklui imituoti.

CORS ir JWT autentifikacijos klaidos

Pakaitalo simbolių CORS šaltiniai, pavojingi JWT algoritmų pasirinkimai ir autentifikacijos konfigūracijos klaidos.

Žinomi CVE

Automatiškai sulyginama su aptiktomis programų versijomis, kryžminis patikrinimas su naujausiomis pažeidžiamumų duomenų bazėmis.

CORS konfigūracijos klaidos

Aktyvus ir Gilus — aptinka savavališko šaltinio atspindėjimą, nulinės kilmės apeityną ir kredencialų nutekėjimą per CORS antraštes.

CRLF injekcija

Aktyvus ir Gilus — tikrina antraščių injekciją per URL kelius ir užklausos eilutės parametrus.

Talpyklos apnuodijimas

Aktyvus ir Gilus — aptinka nekeistų antraščių atspindėjimą, patvirtintą talpyklos HIT antrojoje užklausoje.

WAF aptikimas

Aktyvus ir Gilus — atpažįsta Cloudflare, Sucuri, F5, Imperva, Akamai arba nežinomą WAF per atakos šablonų zondus.

Greičio ribojimas

Aktyvus ir Gilus — tikrina prisijungimo ir API galinius taškus dėl trūkstamo greičio ribojimo.

SSRF zondas

Aktyvus ir Gilus — įterpia debesų IMDS URL (AWS, GCP, Azure) ir loopback adresus į URL tipo parametrus ir antraštes, siekiant aptikti serverio pusės užklausų klastojimą.

HTML & turinio injekcija

Aktyvus ir Gilus — tikrina URL parametrus ir kūno reikšmes dėl atspindimos HTML injekcijos, atributo injekcijos, CSS injekcijos ir JavaScript konteksto injekcijos.

Išsami TLS analizė

Tik Gilus — pilna šifrų paketo analizė: SSLv2/DROWN, SSLv3/POODLE, BEAST, SWEET32 (3DES), FREAK/EXPORT, LOGJAM (DHE-EXPORT), NULL šifrų palaikymas ir tobulo išankstinio slaptumo užtikrinimo nebuvimas.

SQL injekcija

Aktyvus ir Gilus — klaidų, loginių aklųjų ir laikui pagrįstų aklųjų SQLi tikrinimas URL parametruose, formos laukuose, antraštėse ir JSON kūno reikšmėse.

Kryžminių svetainių skriptavimas (XSS)

Aktyvus ir Gilus — atspindimo XSS testavimas naudojant skripto žymos, atributo laužimo, JavaScript konteksto ir DOM kriauklės injekcijų vektorius.

Šablonų injekcija (SSTI)

Aktyvus ir Gilus — serverio pusės šablonų injekcijų tikrinimas Jinja2, Twig, Freemarker, ERB ir Pug šablonų varikliuose.

Vietinių failų įtraukimas (LFI)

Aktyvus ir Gilus — kelio peržengimo ir LFI tikrinimas URL parametruose ir antraštėse; aptinka /etc/passwd, žiniatinklio serverio konfigūracijų ir programos šaltinio failų skaitymą.

XML išorinis subjektas (XXE)

Aktyvus ir Gilus — XXE injekcija XML priimančiuose galiniuose taškuose, tikrinant failų gavimą, SSRF per DTD ir out-of-band eksfiltraciją.

Failų įkėlimo piktnaudžiavimas

Aktyvus ir Gilus — tikrina įkėlimo galinius taškus dėl skriptų plėtinių apėjimo, dvigubo plėtinio įkėlimo ir MIME tipo apėjimo; patvirtina gavimą siekiant įrodyti RCE riziką be klaidingų teigiamų rezultatų SPA universalaus maršruto keliuose.

HTTP užklausos kontrabanda

Aktyvus ir Gilus — CL.TE, TE.CL ir TE.TE desinchronizacijos tikrinimas. Lyginamas su pavyzdinėmis užklausomis siekiant patvirtinti desinchronizaciją ir sumažinti klaidingus teigiamus rezultatus.

Numatytieji prisijungimo duomenys

Tik Gilus — tikrina aptiktus administravimo skydelius (Jenkins, phpMyAdmin, Grafana, Adminer, Kibana, Tomcat Manager, Airflow, Traefik, RabbitMQ) dėl numatytųjų arba silpnų prisijungimo duomenų priėmimo.

Sesijų valdymas

Tik Gilus — analizuoja slapukų entropiją, Secure/HttpOnly/SameSite žymų buvimą, sesijos žetonų nuspėjamumą ir fiksacijos riziką.

OAuth konfigūracijos klaidos

Tik Gilus — tikrina OAuth srautus dėl trūkstamo state parametro (CSRF), atviro redirect_uri ir nepakankamo nukreipimo URI tikrinimo.

Nesaugios tiesioginės objektų nuorodos (IDOR)

Tik Gilus — IDOR išvardijimas API galiniuose taškuose naudojant nuoseklių ID manipuliavimą, UUID spėjimą ir horizontalaus privilegijų eskalavimo tikrinimus.

GraphQL išsami analizė

Tik Gilus — introspekcijos piktnaudžiavimas, paketinių užklausų didinimas, užklausos gylio ir sudėtingumo išnaudojimas ir laukų lygio autorizacijos tikrinimas.

WebSocket saugumas

Tik Gilus — Origin antraštės tikrinimas, kryžminių svetainių WebSocket užgrobimas (CSWSH) ir pranešimų injekcijų tikrinimas aptiktuose WebSocket galiniuose taškuose.

Priklausomybių painiava

Tik Gilus — aptinka atskleistus paketų manifestų failus ir vidinius paketų pavadinimus, kurie galėtų būti užimti viešuosiuose registruose tiekimo grandinės kompromitavimui.

Prototipo tarša

Tik Gilus — kliento pusės prototipo taršos tikrinimas per užklausos parametrus ir JSON kūno reikšmes, testuojant grandininį susiejimą su DOM pagrįstu XSS.