webcheckpanel

Авторизованная проверка веб-активов

webcheckpanel

Новая проверка

⚠ Strix активно атакует цель PoC-эксплойтами. Только для авторизованных активов. Медленно (минуты), требует LLM-ключ и Docker на сервере.

Strix: …
выкачка исходников (source-maps/.git/бандлы или репо) + semgrep/gitleaks/osv/slopsquat; LLM — состязательное ревью кода двумя моделями (стоит токенов). Браузер — настоящий Chromium проходит JS-челлендж и тянет бандлы (медленнее; для целей за Vercel-заглушкой)

⚠ Активная проба заливает инертные файлы-маркеры на цель (non-destructive, НЕ функциональный шелл) для доказательства RCE. Только для авторизованных активов. Медленно (троттл), по одному запросу.

карта сайта (katana) + поиск форм/PUT-WebDAV + проба обхода валидации загрузки инертной канарейкой (accept→retrieve→исполнение нонса). Кука несёт авторизацию и clearance анти-бота; хранится только до конца скана, затем обнуляется.

⚠ Шлёт аутентифицированные запросы от заданных идентичностей (только GET/идемпотентно; мутации — отдельный тумблер, по умолчанию выкл). Идентичности уходят только на same-site и обнуляются после прогона.

URL-кандидаты берутся из карты сайта (объект-ID / ?id=), запрашиваются A и B(+аноним), сравниваются по owner-отпечатку A в ответе B. Разные 200 из-за персонализации находкой НЕ считаются. Идентичности same-site-only, обнуляются после прогона.

⚠ Шлёт инертные детект-зонды инъекций (SQLi/XSS/SSTI/traversal/cmdi/SSRF/GraphQL) в параметры из карты сайта — НЕ деструктивные (маркеры/арифметика/echo). Мутации (stored) — отдельный тумблер, по умолчанию выкл. Только авторизованные активы.

Точки инъекции — query-параметры из карты сайта. Подтверждение: детерминированный дифференциал / эхо-канарейка / вычисленное произведение. Без OOB-коллаборатора слепые SSRF не подтверждаются (честная граница).

⚠ Заказывает у Shodan скан IP цели (тратит scan-кредиты из 100). При WEBCHECK_SHODAN_SCAN_WAIT>0 ждёт свежие данные этого же скана, иначе — подтянутся на следующем. Полный Shodan-профиль (хост/сабдомены) работает и БЕЗ этого тумблера, бесплатно. Только авторизованные активы.

Проверяй только активы, которые ты уполномочен тестировать. Цели обрабатываются поочерёдно.

История

  • пусто

Готов к проверке

Вставь один или несколько доменов слева и запусти — результаты появятся здесь.