前言
Invicti 专业 Web 应用程序安全扫描器
自动、极其准确且易于使用的 Web 应用程序安全扫描程序,可自动查找网站、Web 应用程序和 Web 服务中的安全漏洞。
Invicti Professional Edition 是一款商业 Web 应用程序安全扫描器。它旨在自动查找和修复 Web 应用程序中的 SQL 注入、跨站脚本 (XSS) 和跨站请求伪造 (CSRF) 等漏洞。它可以扫描托管在各种平台上的 Web 应用程序,包括 Windows、Linux 和 macOS。它提供了一系列功能来帮助开发人员和安全专业人员识别和修复其 Web 应用程序中的漏洞,包括可以识别各种漏洞的自动扫描程序,以及允许用户手动测试漏洞的手动测试工具。它可以作为独立产品或云服务提供。
一些基本的安全测试应包括测试:
- SQL注入
- XSS(跨站脚本)
- DOM跨站脚本攻击
- 命令注入
- 盲命令注入
- 本地文件包含和任意文件读取
- 远程文件包含
- 远程代码注入/评估
- CRLF / HTTP 标头注入 / 响应分割
- 打开重定向
- 帧注入
- 具有管理员权限的数据库用户
- 漏洞 - 数据库(推断的漏洞)
- ViewState 未签名
- ViewState 未加密
- 网络后门
- TRACE / TRACK 方法支持已启用
- 禁用 XSS 保护
- 启用 ASP.NET 调试
- 启用 ASP.NET 跟踪
- 可访问的备份文件
- 可访问的 Apache 服务器状态和 Apache 服务器信息页面
- 可访问的隐藏资源
- 存在漏洞的 Crossdomain.xml 文件
- 易受攻击的 Robots.txt 文件
- 易受攻击的 Google 站点地图
- 应用程序源代码公开
- Silverlight 客户端访问策略文件存在漏洞
- CVS、GIT 和 SVN 信息和源代码公开
- PHPInfo() 页面可访问以及 PHPInfo() 在其他页面中的披露
- 可访问敏感文件
- 重定向响应主体太大
- 重定向响应 BODY 有两个响应
- 通过 HTTP 使用不安全的身份验证方案
- 通过 HTTP 传输的密码
- 通过 HTTP 提供的密码表单
- 暴力破解获取认证
- 通过 HTTP 获取的基本身份验证
- 凭证薄弱
- 电子邮件地址泄露
- 内部IP泄露
- 目录列表
- 版本公开
- 内部路径泄露
- 访问被拒绝的资源
- MS Office信息披露
- 自动完成已启用
- MySQL 用户名泄露
- 默认页面安全性
- Cookie 未标记为安全
- Cookie 未标记为 HTTPOnly
- 堆栈跟踪披露
- 编程错误信息披露
- 数据库错误信息披露
更新介绍
此版本目前仅应要求提供。
新功能
Invicti API安全性:多层API发现,可全面识别已知和未记录的API →了解更多
新的安全检查
在Fortra的GoAnywhere MFT中添加了身份验证绕过检查(CVE-2024-0204)
添加了对Open SSH服务器RCE的检查(CVE-2024-6387)
添加了对包含敏感数据的缓存页面的检查(CWE-525)
纳入Okta敏感信息披露的报告
增加了对 Jenkins Secret 作为敏感数据暴露的检测
改进
为SSRF注册添加了自定义头支持
在目标仪表板上的最近扫描小部件中添加了一个开关,用于在显示目标名称和目标URL之间切换
添加了导入目标时选择代理模式的选项
在“最近扫描”屏幕上添加了按座席名称筛选的选项
添加了从全局仪表板小部件到UI中相应部分的更多链接
现在可以自动禁用重复失败且结果相同的计划扫描
从扫描配置文件取消链接的API规格也会在“API清单”页面上自动取消链接
添加了从API库存中的API操作漏洞计数导航到问题页面上的过滤漏洞列表的功能
恢复了JWT引擎中用于解决误报问题的问题修复程序
修复
修复了与座席选择和首选座席组设置相关的问题
修复了通过配置文件端点安排扫描的有效请求发生的错误
修正了一个问题,扫描报告附加到电子邮件无法打开
修复了更改报告策略中的漏洞详细信息会删除漏洞中的某些信息的问题
修复了无法在UI中访问扫描摘要报告的问题
修复了用户无法从网站组中删除URL的问题
修复了用户无法为同一端点同时创建HTTP和HTTPS的问题
修复了一个问题,即具有有限访问权限和自定义角色的客户端在目标网站的仪表板中看到所有用户和网站的所有通知
修复了与BLR链接相关的问题
修正了一个问题,扫描不显示所有的网址在网站地图
修复了使用OpenShift代理进行扫描时的SSL不受信任根证书问题
修复了导致PCI报告中出现间歇性错误的问题
修复了扫描报告的漏洞详细信息中出现的“Bad Request”错误
修复了更新或添加新用户时字符''导致错误的问题
修复了阻止删除未使用的扫描策略的问题
修复了额外的网站漏洞被存储为目标漏洞的问题
修复了API发现源页面上缺少的源错误工具提示
修复了即使隐藏了API规范,链接的目标URL也可以点击的问题
修复了代理中与铬相关的问题
修复了 Puppeteer 遇到错误时无法删除临时文件夹且 Chromium 实例保持打开状态的问题
修复了“堆栈跟踪泄露(Java)”检测的误报
修复了与 Moment.js 正则表达式相关的问题
修复 OIDC 身份验证问题
修复了发送自定义值时 REST API 端点返回 HTTP 400 而不是 HTTP 200 的问题
修复了无法正确登录目标 URL 的问题
使用/安装方法
1.解压打开Netsparkey.exe
2.选择URl进行测试即可
获取方法
获取方法
链接:https://pan.quark.cn/s/cfbc7a0d1dc5
原文始发于微信公众号(渗透安全HackTwo):最新Invicti-Professional-V24.8.1 WEB漏洞扫描器更新
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论