الماسح الأمني

يتضمن الماسح الأمني علامتي تبويب، الماسح الأمني السلبي والماسح الأمني النشط، تستهدف كل منهما مرحلة مختلفة من التحليل.

الماسح الأمني السلبي

يراجع الماسح السلبي حركة البيانات التي التقطتها بالفعل. ولا يرسل أي طلبات إضافية.

تطبق القواعد على محتوى الطلبات والاستجابات: الترويسات وملفات تعريف الارتباط والرموز وأنماط المتن ورسائل الأخطاء والملفات المكشوفة.
تعرض كل قاعدة مستوى الخطورة والفئة ووصفا بلغة واضحة لما تكشفه.
يطبق فحص السجل بأكمله كل قاعدة مفعلة على مجموعة حركة البيانات الملتقطة كاملة.
تظهر النتائج التي تنشئها القواعد السلبية في لوحة النتائج مع الأدلة المطابقة.

بما أنه لا يرسل طلبات جديدة، يمكن تشغيل الفحص السلبي بأمان على أي جلسة ملتقطة، بما فيها حركة بيانات بيئة الإنتاج.

يرسل الماسح النشط طلبات معدلة تتضمن حمولات حقن، ولا ينشئ نتائج إلا عندما تقدم الاستجابة أدلة مطابقة.

الفحص	الخطورة
حقن SQL	مرتفعة
البرمجة النصية عبر المواقع (XSS)	مرتفعة
اجتياز المسارات	مرتفعة
حقن الأوامر	حرجة
حقن القوالب من جانب الخادم (SSTI)	حرجة
تزوير الطلبات من جانب الخادم (SSRF)	حرجة
إعادة التوجيه المفتوحة	متوسطة

لا تنشأ نتيجة إلا عندما تحتوي الاستجابة على دليل يطابق منطق الفحص، وليس لمجرد أن الخادم أعاد HTTP 200.
تتطلب الفحوص القائمة على الزمن (SQLi الأعمى وحقن الأوامر الأعمى) تأخيرا مقاسا يتجاوز خط أساس زمن الاستجابة. ينشئ الماسح خط أساس قبل إرسال حمولات التوقيت.
تتضمن فحوص SSRF طلبات استكشافية لمؤشرات في الاستجابة، وعند إعدادها، تحقق الاتصالات الراجعة عبر OAST. أعد مستمع OAST يمكن الوصول إليه للتأكيد خارج القناة. مؤشر الاستجابة وحده ليس دليلا على اتصال راجع جرى التحقق منه خارجيا.

افتح الأدوات المساعدة > الماسح الأمني واختر علامة تبويب الماسح الأمني النشط.
راجع قائمة الفحوص وعطل أي فحوص لا تنطبق على الهدف.
انقر فحص نشط للكل لتشغيل جميع الفحوص المفعلة على حركة البيانات الملتقطة حديثا.
تابع التقدم وراجع النتائج في لوحة النتائج. أدلة الماسح نقطة بداية للتحقق؛ أكد الأثر وإمكانية إعادة الإنتاج قبل الإبلاغ عن مشكلة.

يرسل الفحص النشط طلبات حقيقية إلى الهدف. لا تشغله على أنظمة لا تملك إذنا باختبارها.