Что нового

Платформа полностью перестроена: пять независимых capability-оракулов с доказуемой точностью — SQLi-дифференциал, IDOR/BOLA, session fixation, OOB/SSRF, race conditions. Каждая находка имеет proof package с цепочкой доказательств.

AI attack planner — после каждого скана строит цепочки эксплуатации: например, IDOR → privilege escalation. LLM предлагает следующие шаги, детерминированный оракул их верифицирует. Ни один вердикт не выдаётся без реального эксперимента.

Доказуемые находки вместо эвристик: каждый supported_candidate подкреплён криптографически подписанным пакетом улик (content-addressed artifacts, hash-chained lifecycle ledger). Повторная проверка одних и тех же данных всегда даёт тот же результат.

Двухаккаунтная авторизация для IDOR: платформа регистрирует два аккаунта на цели, проверяет cross-account доступ к ресурсам с ownership-binding из JWT claims. Первая живая находка: BOLA на Juice Shop /api/Users/{id}.

Полный рескан всех авторизованных целей запущен 23 июля 2026 с расширенными правами (все HTTP-методы, полный диапазон портов, reversible_state_change). Результаты появятся в ваших отчётах в течение ближайших часов.

Собственный OOB-collaborator на oob.example.com: blind-уязвимости (SSRF/RCE/XXE/Log4Shell/deserialization) подтверждаются реальными DNS+HTTP callback. Точность доказана end-to-end.

Playwright-фабрика аккаунтов: авто-регистрация, подтверждение email через OOB inbox, сохранение сессий. Сканер получает 2+ аккаунта на цель и выполняет кросс-аккаунт тестирование авторизации (BOLA/IDOR/BOPLA).

Честный KPI после массовой ретро-верификации: удалено 528 ложных срабатываний. Критических: 50, высоких: 241 — только подтверждённые. AI-шумы вычищены.

20+ новых классов проверок: IDOR/BOLA, mass assignment, NoSQL/GraphQL, host-header, HTTP smuggling, prototype pollution, deserialization, LDAP/XPath, open-redirect/OAuth, CSV-formula, JWT-атаки, exposed-services, heap/DB-PII/cloud bucket pointers.

Precision gate: новый спринт не может поднять FP-rate. Severity routing: только OOB/дифференциал получают high/critical. Heuristic-only → medium+needs_review.

Развёрнут собственный публичный OOB-collaborator: blind-уязвимости (SSRF, RCE/CMDi, XXE, Log4Shell, NoSQLi, SSTI, deserialization) теперь подтверждаются реальной callback-интеракцией с атакуемого хоста, а не синтетической заглушкой. Это превращает «тихий» blind-класс в реальные находки на продакшн-целях.

Большой проход по ложным срабатываниям: удалён legacy XSS-reflection fallback, IDOR без ownership-proof понижен, NoSQLi success-эвристика заменена на позитивный дифференциал, SQLi POST/JSON переведены на двухсэмпловую стабильность, time-based стал устойчив к джиттеру. Результат — меньше шума и больше доверия к high/critical.

Калибровка критичности: high/critical теперь зарезервированы за OOB- или дифференциально-подтверждёнными находками; эвристические подтверждения уходят в medium с пометкой «нуждается в проверке».

10+ новых классов проверок: IDOR/BOLA, mass assignment, NoSQL-инъекции, GraphQL, host-header/cache-poisoning, HTTP request smuggling, prototype pollution, deserialization, open-redirect deepening + OAuth-цепочки, LDAP и XPath инъекции.

Глубина движков: context-aware XSS, DOM-XSS через headless-браузер, parameter mining, header injection, REST/JSON-XML body fuzzing, content-type pivoting, WAF-evasion мутации, опциональное sqlmap-подтверждение boolean-only SQLi.

Починили автообнаружение авторизованных доменов: импортируется полный список reachable-целей из checkpoint-файла (раньше попадали только 2 issue-строки). В очередь автоматически встало 370+ новых целей.

Добавлена витрина Auto-discovered: свежие цели из краулера/фида с critical/high находками, кратким impact и ссылками на preview/PDF отчёты.

Приватные отчёты по доменам, которые пользователь добавил вручную, теперь открываются только владельцу по Preview-ключу. Публичными остаются только auto-discovered/операторски опубликованные отчёты.

Добавлена ограниченная поддержка Tor/.onion проектов: валидация onion v3, доступ через Tor SOCKS и безопасный light-profile без DNS/CT/WHOIS шума.

Если домен уже сканировал другой пользователь, повторный запуск блокируется: показываем только счётчики critical/high/total и предлагаем запросить доступ к отчёту через Telegram.

Включён wave-based подход: перспективные сигналы перепроверяются следующими волнами, поэтому сканы стали глубже и теперь занимают больше времени.

Расширены активные проверки: auth-bypass, CMDi, LFI, SQLi/XSS и AI-подсказки работают связнее и лучше попадают в реальные high/critical классы.

Публичное позиционирование обновлено с Beta на Preview: это уже не быстрый демо-скан, а более глубокий пайплайн для тестеров.

Все 31 движок сканера теперь работают — включая DNS-гигиену, email-аудит, CSP/CORS, mixed-content, cookies/JWT, WebSocket, CT-log mining, typosquat, dependency confusion, проверку секретов.

Лёгкие проверки (14 движков) теперь в параллельном пуле — сканы стали быстрее на ~25 минут.

Подтверждение blind-SSRF через interactsh-client (OOB) — настоящий OAST-протокол, не заглушка.

Бюджет скана увеличен до 2 часов — 31 движок успевает отработать даже на тяжёлых доменах.

Поиск секретов в JavaScript и source maps — API-ключи, токены, JWT в клиентском коде.

Подтверждение XSS — реальная проверка отражения без кодирования. SQLi — error + boolean-based подтверждение.

TLS/SSL грейд (A-F) на основе testssl — видно состояние шифрования.

Email-защита — авто-проверка SPF/DMARC для почтового домена.

Поиск секретов в JavaScript и source maps — API-ключи, токены, JWT в клиентском коде. Новый движок js_secrets.

Подтверждение XSS — не просто «возможно», а реально проверяем отражение без кодирования (verify_xss). SQLi — error-based + boolean-based подтверждение без извлечения данных (verify_sqli).

TLS/SSL грейд (A–F) — на основе full testssl-скана. Видно сразу насколько плох шифрование.

Email-защита (SPF/DKIM/DMARC) — автоматическая проверка конфигурации почтового домена.

Переехали на новый сервер (12 CPU / 125 GB RAM). Сканы больше не забивают систему, nuclei работает быстро.

Ключ теперь даёт до 5 сканов, а не 1. Все существующие ключи автоматически обновлены — у бета-тестеров появилось по 4 свободных скана.

Страница «Найти отчёты по ключу» — забыл ссылку на скан? Введи ключ и увидишь все свои сканы с результатами. Кнопка на главной.

Страница входа показывает историю сканов и оставшийся лимит. Больше не «1 ключ = 1 скан и всё».

Реалистичное время скана на всех страницах (~15–40 мин, до 60 для крупных), а не «10 минут». Таймер на странице прогресса тоже починен.

Фаза поиска уязвимостей снова работает — движки (nuclei, testssl, активные проверки, AI-векторы) были отключены из-за одной сломанной функции. Теперь сканы реально находят дыры, а не делают вид.

Зависшие сканы больше не висят вечно: автоперепланировщик (каждые 10 мин) подбирает потерянные/зависшие задачи и заново отправляет их в очередь.

Тяжёлые домены больше не вешают воркер на часы: ввели жёсткий лимит времени на скан и ограничение числа субдоменов (вместо 41 000+ обрабатывается ~2000 приоритетных). Сканы укладываются в бюджет, а не идут 8 часов.

Честный скор безопасности: если фаза сканирования не отработала, больше не показываем «100/100 идеально». Различаем «проверено и чисто» от «не успели проверить».

Закрыли базу данных и очередь (Redis) от интернета — раньше порты 5432/6379 торчали наружу, а Redis был без пароля. Теперь доступны только локально, Redis под паролем.

Жёсткая проверка вводимого домена: больше нельзя подсунуть аргумент-флаг движкам (nuclei/nmap/ffuf и др.). Вся проверка идёт через одну функцию.

Починили движки testssl.sh и dnsrecon (не запускались из-за отсутствующих системных зависимостей). DNS-перечисление и TLS-проверки снова дают результаты.

Устойчивость: движок, упавший с ошибкой, больше не роняет весь скан — остальные продолжают работать. Вывод инструментов теперь не ломается на не-UTF8 символах.

Вот эта страница «Что нового» — сюда будем писать значимые изменения каждого дня.