Pemindai
Pemindai memiliki dua tab - Pemindai Pasif dan Pemindai Aktif - yang masing-masing menargetkan fase analisis berbeda.
Pemindai Pasif
Pemindai pasif meninjau lalu lintas yang sudah Anda rekam. Pemindai ini tidak mengirim permintaan tambahan.
- Aturan dijalankan terhadap konten permintaan dan respons: header, cookie, token, pola isi, pesan kesalahan, dan file yang terekspos.
- Setiap aturan menampilkan tingkat keparahan, kategori, dan deskripsi dalam bahasa sehari-hari tentang hal yang dideteksi.
- Pindai Semua Riwayat menerapkan setiap aturan yang diaktifkan ke seluruh lalu lintas yang direkam.
- Temuan yang dibuat aturan pasif muncul di panel Temuan dengan bukti yang cocok.
Karena tidak ada permintaan baru yang dikirim, pemindaian pasif aman dijalankan terhadap sesi rekaman apa pun, termasuk lalu lintas produksi.
Pemindai Aktif
Pemindai aktif mengirim permintaan yang dimodifikasi dengan payload injeksi dan membuat temuan hanya ketika respons menyediakan bukti yang cocok.
Pemeriksaan dan tingkat keparahan
| Pemeriksaan | Tingkat keparahan |
|---|---|
| Injeksi SQL | Tinggi |
| Cross-Site Scripting (XSS) | Tinggi |
| Path Traversal | Tinggi |
| Injeksi Perintah | Kritis |
| Server-Side Template Injection (SSTI) | Kritis |
| Server-Side Request Forgery (SSRF) | Kritis |
| Pengalihan Terbuka | Sedang |
Persyaratan bukti
- Temuan hanya dibuat ketika respons berisi bukti yang cocok dengan logika pemeriksaan - bukan semata-mata karena server mengembalikan HTTP 200.
- Pemeriksaan berbasis waktu (blind SQLi, injeksi perintah blind) memerlukan penundaan terukur di atas acuan waktu respons. Pemindai menetapkan acuan sebelum mengirim payload berbasis waktu.
- Pemeriksaan SSRF mencakup probe indikator respons dan, jika dikonfigurasi, verifikasi callback OAST. Konfigurasikan listener OAST yang dapat dijangkau untuk konfirmasi di luar kanal utama. Indikator respons saja bukan bukti callback yang diverifikasi secara eksternal.
Menjalankan pemindai aktif
- Buka Utilitas > Pemindai dan pilih tab Pemindai Aktif.
- Tinjau daftar pemeriksaan dan nonaktifkan pemeriksaan yang tidak relevan bagi target.
- Klik Pindai Semua Secara Aktif untuk menjalankan semua pemeriksaan yang diaktifkan terhadap lalu lintas terbaru yang direkam.
- Pantau progres dan tinjau temuan di panel Temuan. Bukti pemindai adalah titik awal validasi; konfirmasi dampak dan reproduksi sebelum melaporkan masalah.
Pemindaian aktif mengirim permintaan nyata ke target. Jangan jalankan pada sistem tanpa izin pengujian.