ChangeLog

1.6.1.3 (29 мая 2022 г.)

• Обновлена версия Rack.

1.6.1.2 (3 мая 2022 г.)

• Обновлена версия Sinatra.

1.6.1.1 (3 мая 2022 г.)

• Плагины
  • exec — исправлена ошибка при пустой опции.
• Репортёры
  • stdout — информация об устаревании Arachni и его преемнике Ecsypno SCNR.
  • html — информация об устаревании Arachni и его преемнике Ecsypno SCNR.

1.6.1 (20 марта 2022)

• Browser#eelenium — отключён sandbox.

1.6.0 (4 марта 2022)

• Опции
  • Область действия
    • --scope-dom-depth-limit — изменено значение по умолчанию с 5 на 4.
    • --scope-auto-redundant — изменено значение по умолчанию с inf на 15.
    • --scope-directory-depth-limit — изменено значение по умолчанию с inf на 10.
  • Кластер браузера
    • --browser-cluster-pool-size — изменено значение по умолчанию с 5 на 4.
  • HTTP
    • --http-max-concurrency — изменено значение по умолчанию с 20 на 10.
  • Новое
    • --scope-dom-event-inheritance-limit — ограничивает количество унаследованных событий.
    • --browser-cluster-session-storage — устанавливает хранилище сеансов браузеров.
    • --browser-cluster-wait-for-timers — ожидание максимального setTimeout() — ранее было жёстко задано как true, теперь по умолчанию false.
• URI
  • #encode — порядок кодирования + исправлен.
  • #decode — порядок декодирования + исправлен.
• Element
  • Добавлен NestedCookie: обрабатывает пары ключ-значение внутри отдельных файлов cookie.
• Browser — PhantomJS заменён на headless Chrome.
  • Javascript
    • DOMMonitor
      • #elements_with_events — опционально ограничивает наследование событий.
• Rest::Server
  • Добавлено /scans/:id/report.afr.
  • Исправлена обработка ошибок при попытке подключения к уничтоженным экземплярам.
• Support
  • База данных — обновлена для сжатия данных на диске.
• Парсер — перекодировка данных узла в UTF-8.
• Процесс
  • Менеджер
    • #spawn — параметры Arachni передаются через ENV, а не ARGV.
• Проверки
  • Активные
    • xss — данные доказательства исправлены для возврата HTML.
    • csrf — отключено для страниц с переходами DOM из-за ложных срабатываний.
  • Пассивные
    • x_frame_options — игнорирование страниц с кодом ответа, отличным от 200.
    • common_directories — поиск .git.
• Плагины
  • proxy — исправлена ошибка в последовательности входа.

1.5.1 (29 марта 2017)

• config/write_paths.yml — добавлен настраиваемый временный каталог.
• Parser
  • #document — обновлён для ленивого анализа документа.
• Browser
  • Javascript
    • DOMMonitor — не отслеживает setInterval(), поскольку они не используются.
    • TaintTracer
      • add_trace_to_function() — перехватывает и возвращает ошибку.
• Извлекатели путей
  • scripts — исправлена ошибка nil.
• Плагины
  • metrics — исправлена ошибка типа из-за состояния гонки.

1.5 (31 января 2017)

• Исполняемые файлы

  • arachni_rpcd_monitor — приведён в соответствие с рефакторингом Dispatcher.
  • Новый
    • arachni_reproduce — воспроизводит проблемы в данном отчёте.

• Опции

  • url — ошибка адресов, начинающихся с 127., поскольку PhantomJS 2.1.1 не проксирует никакие петлевые соединения.
  • --http-cookie-string — принимает только файлы cookie в формате Set-Cookie, а не Cookie.
  • --browser-cluster-job-timeout
    • Переопределено для применения к коммуникационным запросам Selenium, а не ко всему заданию.
    • Снижено до 10 секунд.
  • Новые
    • --http-authentication-type
      • auto — по умолчанию
      • basic
      • digest
      • digest_ie
      • negotiate
      • ntlm
    • --scope-dom-event-limit — ограничение количества событий DOM, запускаемых для каждой глубины DOM.
    • --daemon-friendly — отключает экран статуса.

• UI

  • CLI
    • Framework — перехватывает сигнал USR1 и переходит в сеанс pry для отладки.

• URI

  • .fast_parse — игнорировать data: URIs.

• HTTP

  • ProxyServer
    • Исправлено состояние резкого прерывания. closed SSL interceptor connections leading to frozen browser operations.

• Добавлена поддержка настраиваемого параллелизма запросов источника для сохранения количества потоков на низком уровне.

• Добавлена поддержка запросов Connection: Upgrade путём туннелирования соединений WebSocket.

Client

• Добавлен заголовок X-Arachni-Scan-Seed, который включает случайное начальное число сканирования.

• Dynamic404Handler

  • Добавлено больше сценариев обучения, когда:
    • используются тире в качестве разделителей маршрутизации;
    • игнорируется добавление и удаление имени каталога.
  • Обновлён, чтобы не отклонять перенаправления, а следовать местоположению.

Browser

• Обновлён движок до PhantomJS 2.1.1.

• Удалено Content-Security-Policy, чтобы разрешить запуск среды Arachni JS.

• #snapshot_id — перемещён в DOMMonitor на стороне браузера для повышения производительности.

• #capture — извлекает параметры запроса из POST-запросов.

• #capture_snapshot — дедупликация на основе URL DOM и переходов.

• ElementLocator — исправлена ошибка, вызывающая сбой CSS-селекторов с символами UTF8.

• Javascript

  • #dom_elements_with_events
    • Перемещён код в DOMMonitor на стороне браузера.
    • Обновлён для возврата результатов партиями, чтобы контролировать использование оперативной памяти при обработке больших страниц с тысячами элементов с событиями.

BrowserCluster

• Worker
  • #run_job — повторная попытка 5 раз при тайм-аутах задания.

Element

• Capabilities

  • Auditable
    • Новое
      • Buffered — читает ответы аудита порциями.
      • LineBuffered — читает ответы аудита по частям строк.

• DOM

  • Capabilities
    • Submittable, Auditable — переключены с Proc на методы класса для обратных вызовов, чтобы избежать хранения контекстов в памяти.

Session — позволяет указать ввод отправки, когда вход должен быть инициирован нажатием на него, а не просто запуском события отправки формы.

REST API

• Добавлен GET /scans/:id/summary для возврата данных о ходе сканирования без issues, errors и sitemap.

Report

• Добавлен атрибут #seed, который включает случайное начальное значение сканирования.

Plugins

• Новые

  • webhook_notify — отправляет полезную нагрузку вебхука через HTTP в конце сканирования.
  • rate_limiter — ограничивает запросы HTTP.
  • page_dump — сбрасывает данные страницы на диск в формате YAML.

• proxy — bind_address по умолчанию переключён на 127.0.0.1, 0.0.0.0 нарушает перехват SSL на MS Windows.

• metrics

  • Исправлена ошибка деления на ноль, когда запросы не выполнялись.
  • Добавлены:
    • HTTP
      • Тайм-ауты запросов.
      • Ответы в секунду.
    • Браузерный кластер
      • Задания с тайм-аутом.
      • Секунды на задание.
      • Общее время задания.
      • Количество заданий.

• email_notify

  • Повторная попытка при ошибке.
  • По умолчанию используется afr в качестве формата отчёта.

Checks

• Активные

  • xss — проверяет только HTML-ответы, чтобы избежать ложных срабатываний.
  • xss_event
    • Заменён полный разбор ответов на SAX.
    • Проверяет только HTML-ответы, чтобы избежать ложных срабатываний.
  • xss_script_context
    • Заменён полный разбор ответов на SAX.
    • Проверяет только HTML-ответы, чтобы избежать ложных срабатываний.
  • xss_tag
    • Заменён полный разбор ответов на SAX.
    • Проверяет только HTML-ответы, чтобы избежать ложных срабатываний.
  • unvalidated_redirect, unvalidated_redirect_dom, xss, xss_dom, xss_dom_script_context, xss_script_context — заменены Proc на методы классов для обратных вызовов BrowserCluster.
  • unvalidated_redirect — добавлено добавленное значение к значению по умолчанию.
  • sql_injection — добавлены дополнительные сигнатуры ошибок для HSQLDB, Java и SQLite.
  • csrf — удалены эвристики, которые пытаются сопоставить токены на основе формата. Теперь используется только одноразовая проверка (nonce check).

• path_traversal — увеличено максимальное количество переходов до 8.

Пассивный:

• backup_files — игнорирование медиафайлов во избежание ложных срабатываний при работе с галереями и тому подобным. Добавлена заметка о проблеме, объясняющая, как манипулировали исходным именем ресурса.

• backup_directories — добавлена заметка о проблеме, поясняющая, как было изменено исходное имя ресурса.

• xst — запуск один раз для каждого протокола, а не только для первой страницы.

Извлечение пути:

• data_url — извлечение из всех элементов, а не только ссылок.

Отчётность:

• xml — заменено неподдерживаемое нулевое значение байтов на заполнитель. issues/issue/page/dom/data_flow_sinks/data_flow_sink/frame/line теперь может быть пустым.

1.4 (7 февраля 2016 года)

Совместимость с родной операционной системой MS Windows.

Опции:

— --http-proxy-type — добавлен socks5h, обеспечивающий разрешение имён хостов через прокси.

Добавлено:

• Область: — --scope-exclude-file-extensions — CSV расширений файлов для исключения.

• Аудит: — --audit-with-raw-payloads — внедряет как необработанные, так и HTTP-закодированные полезные данные.

URI — оптимизирован и переписан для полного обхода библиотеки URI Ruby.

Плагин::Менеджер:

— Запуск методов #prepare плагинов в потоке Framework в порядке приоритета плагинов.

HTTP:

— ProxyServer — предыдущий сервер на основе WEBrick заменён на собственный, написанный с поддержкой keep-alive и низкозатратного перехвата SSL.

— Клиент: * добавлено значение по умолчанию для заголовка Accept-Language. * обновлён для обработки файлов cookie как простого хранилища без кодирования/декодирования имён и значений. * Dynamic404Handler — проверка на чрезмерное количество шума во время создания пользовательской подписи 404 и прерывание, если точное чтение невозможно.

Страница:

— DOM: * #restore — не загружать сохранённую страницу, чтобы избежать устаревших одноразовых номеров, вместо этого полагаться исключительно на браузер для кэширования.

Браузер:

— Заменено внутреннее использование Watir прямым доступом к Selenium, что привело к значительному повышению производительности и снижению использования процессора.

— Ускорен процесс порождения.

— Переключён на HTTP-клиент Selenium по умолчанию для связи WebDriver для решения проблем JRuby и MS Windows.

— Добавлена поддержка отслеживания делегирования событий.

— #spawn_phantomjs — использование процесса-спасателя Ruby для уничтожения браузера, если родитель умирает по какой-либо причине.

— #fire_event — отслеживание изменений таймеров, вызванных триггерами событий, для идентификации и ожидания эффектов и переходов.

Поддержка:

— Подпись — оптимизация токенизации, дедупликации и сжатия подписей для снижения ресурсоёмкости при обработке больших наборов данных.

— Кэш — минимизированы вызовы Base#make_key.

Добавлены:

• Glob — сопоставитель с шаблоном.

Сеанс:

— добавлен #check_options, позволяющий сценариям входа устанавливать расширенные параметры HTTP-запроса для проверок входа.

REST::Сервер — добавлен REST API.

RPC:

— Сервер: * ActiveOptions#set — позволяет устанавливать параметры во время выполнения и соответственно корректировать область сканирования.

Элемент:

— UIInput::DOM — обновлённый расчёт идентификатора покрытия.

— UIForm::DOM — обновлённый расчёт идентификатора покрытия.

Возможности:

Анализируемый:

— подпись — замена regexp и substring на signature — тип сопоставления зависит от типа signature.

— Позволить signature генерироваться динамически на основе ответа HTTP::Response, который будет проверен, из вызываемого объекта.

Различимый:

— Прерывание при частичных ответах во избежание ложных срабатываний, вызванных нагрузкой на сервер или брандмауэром/системой обнаружения вторжений/системой предотвращения вторжений.

Тайм-аут:

— добавлена ещё одна фаза проверки для дальнейшего снижения вероятности случайных ложных срабатываний.

Проверки:

Активные. — Обновлены все проверки, использующие Element::Capabilities::Analyzable::Signature, чтобы по возможности предоставлять простые сигнатуры в виде подстрок. В противном случае они используют динамическую генерацию сигнатур на основе текущего ответа и выполняют облегчённую предварительную проверку на наличие признаков уязвимости, только после этого применяется более ресурсоёмкое сопоставление с регулярным выражением.

— xss, xss_dom, xss_tag, xss_event, xss_script_context — оптимизирована идентификация испорченных ответов, чтобы избежать анализа как можно больше.

— xss_dom — обновлены полезные данные для улучшения покрытия.

— sql_injection_differential: * заменено контрольное значение -1 на false значением -1839; * при использовании кавычек заключать в кавычки все части условного выражения в SQL-запросе.

— no_sql_injection_differential: * заменено контрольное значение -1 на false значением -1839.

Пассивные проверки:

— directory_listing — выход из строя при неудачных запросах во избежание ложных срабатываний.

— backdoors, backup_directories, backup_files, common_admin_interfaces, common_directories, common_files — выход из строя, если исходный ресурс уже является 404.

Grep:

• emails — проверка адресов электронной почты путём разрешения идентифицированных доменов.

• credit_card, ssn — помечаются проблемы как ненадёжные по умолчанию, поскольку нет способа проверить SSN.

• http_only_cookies, insecure_cookies — проверять только текущие куки страницы, не позволяя куки CookieJar проскользнуть внутрь.

• insecure_cookies — также проверять куки JS.

Плагины:

• proxy:

  • удалено внедрение панели управления в каждый ответ;
  • обновлён дизайн панели управления;
  • описание обновлено для отображения информации об URL-адресах управления и перехвате SSL.

• email_notify — имя пользователя и пароль стали необязательными.

• defaults/meta/remedy/:

  • discovery — обновлённая проверка сходства для предотвращения анализа отдельных проблем.

Репортёры:

• xml — сообщения проверки обновлены для указания на соответствующую разметку.

Извлечение пути:

• meta_refresh — удаление пробелов из URL-адресов, когда они не заключены в кавычки.

1.3.2 (19 октября 2015 г.)

Интерфейс пользователя:

• Интерфейс командной строки:
  • справка:
    • упрощены примеры шаблона;
    • test.com заменён на example.com.

Браузер:

• настроить PhantomJS для принятия любой версии SSL, чтобы упростить перехват.

HTTP:

• Запрос:
  • #body_parameters — добавлена поддержка multipart/form-data.

Элемент:

• Форма:

  • .parse_data — анализ multipart/form-data.

• UIForm:

  • .from_browser — включить кнопки <input type="submit">.

1.3.1 (13 октября 2015 г.):

Пользовательский интерфейс:

• Интерфейс командной строки:
  • параметры:
    • --http-ssl-key — исправлена опечатка, вызывающая ошибку параметра.

1.3 (1 октября 2015 г.):

Пользовательский интерфейс:

• Интерфейс командной строки:
  • опции:
    • --browser-cluster-local-storage — устанавливает данные localStorage из файла JSON.

Проблема:

• #variations — удалены, теперь все проблемы включают полные данные.

• #unique_id, #digest — в случаях пассивных проблем теперь учитывается связанный #proof.

Данные:

• Framework:
  • #update_sitemap — не добавлять в карту сайта URL-адреса, включающие Utilities.random_seed, чтобы уменьшить шум.

Элементы:

• Cookie:

  • .encode — обновлённый список обратных символов.

  • .decode — обработка повреждённых кодировок.

• Form:

  • .decode — обработка повреждённых кодировок.

• UIForm — аудит групп <input> и <button>, которые не принадлежат родительскому элементу <form>. Также охватывает случаи отправки <form>, происходящие через элементы, отличные от кнопки отправки.

• UIInput — аудит отдельных элементов <input>, имеющих связанные события DOM.

• Capabilities — переработан для облегчения расширения возможностей DOM.

  • Analyzable: Отключить определение признаков платформы при сборе подписей.

• Запрос:

  • Игнорировать трафик, связанный с прокси (CONNECT), при захвате необработанных данных трафика.
  • Добавлена опция #fingerprint для включения/отключения определения признаков платформы на основе каждого запроса.
  • #response_max_size — в дополнение к установке maxfilesize для Typhoeus::Request, потоковая передача тел и ручное прерывание, если буфер превышает лимит — охватывает случаи, когда Content-Type не установлен.

• Заголовки:

  • Объединение значений заголовков с одинаковыми нормализованными именами (например, set-cookie и Set-Cookie в одном ответе).
  • Канонизация имени заголовка кэша.

• Прокси-сервер:

  • Кэширование канонизации имени заголовка.
  • SSL-перехватчик теперь автоматически генерирует пары сертификат/ключ на основе Arachni CA.

• Страница:

  • #has_script? — обнаружение с использованием тела вместо проанализированного документа.

• Парсер:

  • Оптимизирован, чтобы избежать анализа HTML, если он не содержит указаний на элементы.
  • #headers — обновлён для включения заголовков из HTTP-запроса в дополнение к общим.
  • Экстракторы — оптимизированы, чтобы избегать анализа HTML, если он не содержит указаний на элементы.

• Элемент:

  • Очищено кодирование входных значений для каждого элемента.

  • Принудительное применение MAX_SIZE к допустимым значениям во время анализа.

  • Оптимизация, чтобы избежать анализа HTML, если он не содержит указаний на элементы.

  • Сервер:

    • #log_remote_file_if_exists? — пометка проблем как ненадёжных в этот момент, если возможно, а не в конце сканирования.
    • #remote_file_exist? — отключение определения признаков платформы при работе с динамическим обработчиком.

  • Возможности:

    • Inputtable — добавлен кэш для расчёта #inputtable_id.
    • Analyzable:
      • Taint — добавлен кеш совпадений на основе сигнатур и стогов сена.
      • Timeout — переопределение параметров аудита пользователя, которые не совместимы с этой техникой.

• Проверка::Аудитор:

  • #log_remote_file — присвоение HTTP::Response#status_line в качестве доказательства.

• Проблема:

  • #signature — сохранение источника Regexp вместо преобразования его в строку.

• Браузер:

  • Обновлён для извлечения и внесения в белый список CDN из тел ответов.
  • #cookies — нормализация файлов cookie с заключёнными в кавычки значениями, поскольку Watir не заботится об этом.
  • Javascript:
    • #inject — внедрение вызовов обновления TaintTracer и DOMMonitor в запрошенные активы JS.
    • TaintTracer:
      • Ограничение данных и потоков выполнения до максимального размера 50 записей.
      • Не отслеживать функции, вызывающие проблемы: анонимные функции и lodash().
    • DOMMonitor: отслеживание событий jQuery, делегированных jQuery.

• Поддержка:

  • Кэш:
    • RandomReplacement — удаление лишнего ключа Array.
  • Подпись — кэширование генерации токенов.

Проверки — добавлено доказательство Issue#proof к как можно большему количеству проблем.

Активные:

• xss:
  • Когда речь идёт о полезных нагрузках, попадающих в textarea, выйдите из них, чтобы предотвратить возможные ложные срабатывания.
  • Добавление двойных закодированных полезных нагрузок.
• xss_dom_inputs:
  • Не проводить избыточные аудиты.
  • Не обрабатывать пользовательские события.
  • Обновление для обработки случаев, когда после заполнения полей необходимо нажать кнопку.
  • Добавление сообщений о ходе выполнения.
• unvalidated_redirect:
  • Повышенная серьёзность до «Высокая».
  • Только прямые инъекции полезных нагрузок.
• unvalidated_redirect_dom:
  • Повышенная серьёзность до «Высокая».
• path_traversal, file_inclusion, os_cmd_injection, xxe:
  • Обновлённый шаблон соответствия содержимого /etc/passwd.

Пассивные:

• Добавлено:
  • common_admin_intefaces — Брендан Коулз.
• backdoors, backup_directories, backup_files, common_files, directory_listing. Form

Поддержка форм с несколькими значениями для элементов отправки (submit) с одинаковыми именами.

Server

#log_remote_file_if_exists — Выполнить некоторый базовый метаанализ возможных проблем и отправлять в систему только те ресурсы, которые превышают определённый порог схожести. Это позволяет избежать бесконечных циклов при работе с ненадёжными пользовательскими отпечатками 404.

Capabilities

• Mutable:

  • :param_flip => :parameter_names
  • Добавлена опция :parameter_values.
  • Добавлена опция :with_extra_parameter.

• Analyzable:

  • Timeout:
    • Обновлён алгоритм, чтобы он был устойчив к фильтрации WAF/IDS/IPS.
    • В каждую проблему добавлены замечания, содержащие дополнительную информацию о состоянии веб-приложения во время анализа.
  • Differential: в каждую проблему добавлены замечания, содержащие дополнительную информацию об использованных полезных нагрузках.
  • Taint:
    • Не регистрировать проблемы, если невозможно получить ответ проверки.
    • Предоставлять все сопоставленные данные в качестве доказательства, а не только захваченные с помощью регулярного выражения.

• WithDOM:

  • Добавлен #skip_dom (устанавливается через Browser#to_page), чтобы предотвратить загрузку и аудит DOM, когда нет связанных событий.

Page

Добавлены:

• #update_metadata, обновляет #metadata из #cache элементов.

• #reload_metadata, обновляет элементы #cache из #metadata.

• #import_metadata, импортирует #metadata с другой страницы.

• DOM:

  • #restore — Добавлены отладочные сообщения.

Utilities

Добавлен метод .full_and_absolute_url?.

Browser

Обновлён для извлечения векторов входных данных JSON и XML из HTTP-запросов.

• #cookies — Нормализует файлы cookie с заключёнными в кавычки значениями, поскольку Watir не заботится об этом.

• #shutdown — Исправлены исключения Selenium на мёртвом процессе браузера.

• #to_page — Применяет метаданные DOM к элементам страницы.

• #spawn_phantomjs — Включена опция --disk-cache для phantomjs.

• #fire_event — Перекодирует входные значения для исправления ошибок кодирования.

• #to_page — Возвращает пустую страницу при недоступных данных ответа вместо nil.

• #snapshot_id — Обновлён, чтобы учитывать только важные атрибуты элементов (в зависимости от типа), а не все из них.

• ElementLocator:

  • #css — Возвращает локатор CSS.
  • #locate — Обновлён для использования #css.

• Javascript:

  • Добавлен метод .select_event_attributes.

  • DOMMonitor:

    • #digest — Удалено data-arachni-id из дайджеста.

  • TaintTracer:

    • Добавлена поддержка трассировки нескольких загрязнений в группах.
    • Добавлена трассировка для:
      • escape()
      • unescape()
      • String:
        • indexOf()
        • lastIndexOf()
      • jQuery:
        • Плагин cookie().

• BrowserCluster:

  • Worker:
    • #browser_respawn — Отлавливает ошибки Watir/Selenium.

• Session: Обеспечивает закрытие браузера после каждой операции входа в систему.

• Check:

  • Auditor:
    • #each_candidate_dom_element — Выводит элементы DOM вместо родительских элементов.

• Plugin:

  • Manager:
    • #run — Оптимизирована инициализация плагина за счёт использования очереди для сигнализации состояния готовности вместо блокировки на 1 секунду.

• Checks:

  • Активны:
    • Добавлено:
      • unvalidated_redirect_dom — Регистрирует перенаправления на основе DOM без проверки.
      • xxe — Регистрирует уязвимости внешних сущностей XML.
    • trainer — Отключён параметр flip для полезной нагрузки, чтобы избежать загрязнения параметров.
    • os_cmd_injection — Используется только прямая инъекция полезной нагрузки вместо прямой и добавления.
    • code_injection — Используется только прямая инъекция полезной нагрузки вместо прямой и добавления.
    • xss — При аудите ссылок не... Атрибуты

• BrowserCluster

  • Инициировать браузеры последовательно, а не параллельно, чтобы облегчить работу на системах с ограниченными ресурсами.

• Session

  • При отсутствии доступного браузера использовать обработчики DOM уровня 1 фреймворка в качестве запасного варианта.
  • Когда значение параметра OptionGroups::Scope#dom_depth_limit равно 0, не использовать браузер.
  • Настроить свой браузер с помощью ключа :ignore_scope, чтобы обеспечить поддержку единого входа (SSO).
  • Метод `#logged_in?* —* следовать перенаправлениям для проверки входа HTTP-запроса.*

• Element

  • Cookie
    • Добавлен метод `#data* —* предоставление доступа к необработанным данным cookie.*
  • Capabilities
    • Analyzable
      • Differential — принудительно отключить OptionGroups::Audit#cookies_extensively.
      • Timeout — принудительно отключить OptionGroups::Audit#cookies_extensively.
    • Mutable
      • `#each_mutation* —* удалён устаревший метод-переключатель с заданными входными данными по умолчанию.*

Плагины

• uncommon_headers

  • Добавлены keep-alive и content-disposition в общий список.
  • Игнорировать ответы вне области видимости.

• content_types

  • Игнорировать ответы вне области видимости.

• cookie_collector

  • Заголовок Set-Cookie теперь всегда является массивом.

• autologin

  • Не изменять параметры OptionGroups::Session (проверка входа), если они уже установлены.

1.0.2 (13 сентября 2014 года)

• UI::Output — обновлён интерфейс нулевого вывода с методами отладки заполнителей.

• Browser

  • Обновлён для перехвата исключений при попытке манипулировать только для чтения вводами.

• BrowserCluster

  • Добавлены сообщения отладки для обработки заданий.
  • Worker
    • `#run_job* —* очищать кэш @window_responses после каждого задания в дополнение к каждому повторному запуску браузера.*

• Form

  • `#audit* —* обратный вызов :each_mutation теперь игнорирует #mutation_with_original_values и #mutation_with_sample_values.*

Проверки

• Активные
  • xss_dom_inputs — игнорировать страницы браузера вне области видимости.
  • code_injection_php_input_wrapper — очищен обратный вызов :each_mutation.
  • file_inclusion — очищен обратный вызов :each_mutation.
  • path_traversal — очищен обратный вызов :each_mutation.
  • source_code_disclosure — очищен обратный вызов :each_mutation.

1.0.1 (7 сентября 2014 года)

• RPC::Server::Dispatcher

  • Проверять статус экземпляра через адрес привязки, а не внешний.
  • Добавлено больше сообщений о статусе и отладке.
  • Исправлена утечка соединения RPC, когда в конфигурации используется сетка.
  • Node
    • Не вызывать ошибку, если начальный сосед недоступен, просто добавьте его в список мёртвых, как обычно.

• Parser

  • `#link_vars* —* возвращать пустой хеш при работе с не поддающимся анализу URL.*

• HTTP::Client

  • Сообщения отладки теперь включают исполнителя HTTP::Request#performer.

• HTTP::Request

  • `#to_typhoeus* —* преобразовать тип прокси в символ, чтобы предотвратить игнорирование опции.*

• UI::CLI::Utilities

  • `#print_issues* —* обновлено, чтобы включать все входные данные данного вектора в сообщение, если проблема пассивна.*

• Check::Auditor

  • `#log* —* обновлён, чтобы включить все входные данные заданного вектора в успешное сообщение, если проблема пассивна.*

• Hash — переименованы добавленные методы во избежание конфликтов с ActiveSupport.

  • stringify_keys => my_stringify_keys.
  • symbolize_keys => my_symbolize_keys.
  • stringify => my_stringify.

Плагины

• proxy — показывать URL панели управления в выводе.

Репортёры

• stdout

  • Обновлено для печати информации обо всех доступных входных данных вектора.

• html

  • Обновлено, чтобы включать информацию обо всех доступных векторных входах в заголовок проблемы для пассивных проблем.

Проверки

• Активны

  • code_injection_php_input_wrapper — исправлена ошибка nil при манипулировании мутациями.
  • file_inclusion — исправлена ошибка nil при манипулировании мутациями.
  • path_traversal — исправлена ошибка nil при манипуляции мутациями. Входные данные

• RPC

  • Сериализатор — заменил Marshal и YAML в качестве поставщиков сериализации RPC.
    • Передаёт вызовы MessagePack.
    • Поддерживает сжатие сообщений — применяется на основе размера сообщения для минимизации издержек.
  • Обработчик opts переименован в options.
  • Сервер
    • Диспетчер
      • #dispatch — возвращает false, когда пул пуст, в качестве сигнала проверить позже.
      • Удалён метод #proc_info.
      • Из данных о задании удалён proc.
      • Handler переименован в Service.
    • Экземпляр
      • Удалено #output.
    • Фреймворк
      • Удалено #output.
      • #progress
        • :messages теперь возвращает Framework#status_messages вместо выходных сообщений.
        • Очищены возвращаемые данные.
        • Удалён псевдоним #progress_data.

• HTTP расширен до полной оболочки вокруг Typhoeus, предоставляя:

  • Заголовки
  • Сообщение
  • Запрос
  • Ответ
  • Клиент
    • Опции #request:
      • :params => :parameters
      • :async => :mode (со значениями :async и :sync)
      • Добавлен :http_max_response_size.
  • Прокси-сервер — перемещён из плагина Proxy и обновлён для работы с объектами Arachni::HTTP.

• Браузер — реальный драйвер браузера с поддержкой DOM/JS/AJAX.

• Кластер браузеров — поддерживает пул экземпляров Arachni::Browser и распределяет рабочую нагрузку анализа нескольких ресурсов.

• Страница

  • Очищенные атрибуты.
  • Атрибуты (#links, #forms, #paths и т. д.) лениво анализируются по требованию.
  • Добавлено:
    • #response — связанный HTTP::Response.
    • #dom — связанный Arachni::Page::DOM.

• Page::DOM — статический снимок DOM, вычисленный реальным браузером.

• Парсер — обновлён, чтобы работать только в контексте HTTP::Response, с которым он был инициализирован, больше не поддерживает анализ данных из внешних источников.

• Параметры — переписаны с переименованными именами параметров и сгруппированными соответствующими параметрами вместе.

• Отчёт (переименован из AuditStore)

  • #save — обновлён для хранения сжатого дампа Marshal экземпляра.
  • .load — обновлён для загрузки нового формата #save.

• Компонент::Параметры — переработанный инициализатор и API.

  • Enum переименован в MultipleChoice.

• Репортёры (переименованы из Reports)

  • Удалён metareport.
  • Все обновлены до нового формата.

• Плагины

  • Описания были преобразованы в Markdown в стиле GitHub.
  • resolver — удалён, поскольку отчёт теперь содержит эту информацию в ответах, связанных с каждой проблемой.
  • proxy
    • Обновлён для использования HTTP::ProxyServer.
    • Добавлена опция ignore_responses.
      • Принудительно прокси извлекает векторную информацию из наблюдаемых HTTP-запросов и не анализирует ответы.
  • autologin
    • Параметр params переименован в parameters.
    • Результаты изменены, чтобы включать статус (String) и сообщение (String) вместо кода (Integer) и msg (String).
    • Обновлено, чтобы прервать сканирование при неудачном входе в систему.
  • content_types
    • В зарегистрированных результатах переименован параметр params в параметры.
  • cookie_collector
    • В зарегистрированных результатах res переименован в response.
  • waf_detector
    • Результаты изменены, чтобы включить статус (Symbol) и сообщение (String) вместо кода (Integer) и msg (String).
  • healthmap
    • Результаты изменены для использования with_issues и without_issues вместо unsafe и safe.

• Экстракторы путей

  • Добавлены:
    • Извлечение частичных путей из HTML-комментариев (comments).
    • script — извлечение частичных путей из скриптов.

• Все компоненты фреймворка (модули, плагины, отчёты и т.д.) перемещены под components/.

• Модули переименованы в проверки, также:

  • Проверки аудита переименованы в активные проверки.
  • Проверки разведки переименованы. to Passive checks

• Checks

  • Описания и remedy_guidance были преобразованы в уценку GitHub.

• Переименовано:

  • xpath => xpath_injection
  • ldapi => ldap_injection
  • sqli => sql_injection
  • sqli_blind_rdiff => sql_injection_differential
  • sqli_blind_timing => sql_injection_timing
  • htaccess => htaccess_limit

• Активно:

  • Новое:
    • xss_dom — внедряет HTML-код через ссылки, формы и файлы cookie на основе DOM.
    • xss_dom_inputs — внедряет HTML-код с помощью связанных событий DOM для текстовых полей ввода без родительского элемента.
    • xss_dom_script_context — внедряет JavaScript-код через ссылки, формы и файлы cookie на основе DOM.
    • no_sql_injection — NoSQL-инъекция (на основе ошибок).
    • no_sql_injection_differential — слепая NoSQL-инъекция (дифференциальный анализ).
  • Добавлена поддержка анализа taint для браузера.
  • Обновлён xss — добавлена поддержка анализа taint для браузера. Ранее назывался xss_script_tag.
  • Обновлено unvalidated_redirect — теперь также используется полная оценка браузера для обнаружения перенаправлений JS.
  • Добавлено os_cmd_injection — добавлены полезные данные для BSD и AIX.

• Пассивно:

  • Новое:
    • backup_directories — резервные каталоги.
    • cookie_set_for_parent_domain — файл cookie установлен для родительского домена.
  • Grep:
    • hsts — проверяет страницы HTTPS на наличие заголовков Strict-Transport-Security.
  • Обновлены форматы имён файлов.
  • Переименован x_forwarded_for_access_restriction_bypass в origin_spoof_access_restriction_bypass. Теперь использует больше заголовков источника.
  • Также обновлено для использования дополнительных заголовков источника.
  • Grep:
    • emails — обновлён для обработки простой ([at] и [dot]) обфускации.
    • insecure_cookies — проверка только страниц HTTPS.

0.4.7 (12 апреля 2014 года)

• Spider:

  • Исправлены перепутанные сообщения о статусе при перенаправлениях вне области действия.

• HTTP:

  • disable_ssl_host_verification установлено в значение true.

• Element:

  • Capabilities::Auditable::Taint — исправлена ошибка при проверке уровня доверия проблемы при отсутствии совпадения.
  • Form — обновлено для обработки пустых значений базового href.

• Плагины:

  • autologin — обновлён для обработки перенаправлений после входа в систему. Добавлена отладочная информация для неудачных попыток входа.
  • proxy — исправлено переадресация тел запросов.

• Модули:

  • Все — обновлены описания и средства правовой защиты.

0.4.6 (1 января 2014 года)

• Пользовательские интерфейсы командной строки:

  • —lsmod — более длительные паузы каждые 3 модуля, перечисляет все сразу. Обновлён для отображения Severity проблем, регистрируемых модулем.
  • При нажатии Ctrl+C оптимизирован экран для использования меньшего количества ресурсов при печати данных сканирования.

• Опции:

  • —cookie-string — теперь обрабатывает файлы cookie в виде заголовков Set-Cookie.
  • Добавлены:
    • —external-address — внешний адрес диспетчера.
    • —http-queue-size — максимальный объём запросов в очереди. Больший размер означает лучшее планирование и производительность, меньший — меньшее потребление оперативной памяти.

• Session — #ensure_logged_in — повтор при сбое входа.

• Spider — не применять ограничения области к начальному URL.

• Framework — аудит — сохранённые страницы теперь выгружаются на диск для снижения потребления оперативной памяти.

• Trainer — #push — печатает подробные сообщения в случае нарушения области.

• HTTP — уменьшен максимальный размер очереди запросов с 5000 до 500 для уменьшения использования оперативной памяти за счёт предотвращения хранения большого количества запросов в течение длительного времени. Обновлён для использования нового класса Support::Signature для пользовательских подписей 404.

• RPC::Server::Dispatcher — теперь поддерживает указание внешнего адреса для развёртывания за NAT.

• Element::Capabilities::Auditable::RDiff — обновлён для использования нового класса Support::Signature для выполнения ответа. Сравнение блоков.

• Обновлён алгоритм для использования значения false в качестве контрольного.
• Добавлена проверка целостности процесса анализа.
• Оптимизировано планирование сбора данных.
• Сокращено общее количество выполненных запросов.
• Значительно снижено потребление оперативной памяти для хранения и анализа данных.

Element::Capabilities::Auditable::Timeout

• Алгоритм обновлён для использования приблизительного времени обработки веб-приложения вместо HTTP-таймаута на основе общего процесса запроса-ответа.
• Усилены проверки на целостность анализа, чтобы уменьшить вероятность ложных срабатываний.
• Исправлена ошибка, из-за которой непроверенные входные данные иногда достигали финальных этапов анализа, что приводило к ложным срабатываниям.
• После фазы 2 добавлен период охлаждения для обеспечения отзывчивости веб-приложений после атаки.
• Улучшены сообщения о состоянии.

Element::Capabilities::Auditable::Taint

• Добавлен метод оптимизации по самому длинному слову — проверяется наличие самого длинного слова регулярного выражения в теле ответа перед сопоставлением полного регулярного выражения.

Element::Capabilities::Auditable#audit

• Добавлена опция :skip_like, принимающая блоки, используемые для фильтрации мутаций, которые должны быть проверены.
• Исправлена ошибка, приводившая к сбою аудита при постоянно меняющихся токенах.
• Обновлено использование #each_mutation вместо #mutations.

Element::Capabilities::Mutable

• Добавлен #each_mutation для генерации мутаций на лету вместо использования #mutations для создания массива мутаций.
• Обновлено использование #mutations, теперь оно делегируется #each_mutation.

Element::Cookie#encode

• Разрешено сохранение знака = в значении cookie без кодирования.

Элемент::Форма — кнопки теперь также рассматриваются как входы.

Options#load — обновлено для поддержки сериализованных объектов Hash.

Добавлена поддержка::Подпись — класс подписи, используемый для создания и уточнения подписей из объектов String.

Модули

Аудит

• path_traversal — обновлён с использованием двойных слешей для *nix-полезных нагрузок.
• file_inclusion — добавлены уклончивые полезные нагрузки с использованием символа \.
• source_code_disclosure — увеличено покрытие путём следования по дереву каталогов каждого файла на один уровень за раз.
• xss_script_tag — обновлён для проверки существования операций кодирования.
• sqli — обновлены для кэширования скомпилированных регулярных выражений.
• sqli_blind_rdiff — значительно сокращены внедряемые полезные нагрузки.
• os_cmd_injection_timing — уменьшено время задержки.

Разведка

• localstart_asp — проверка платформы ASP вместо Windows.
• Fixed LocalJumpError.

Плагины

Удалённые:

• libnotify
• profiler
• rescan

Обновлённые:

• autologin — изменено print_bad на print_error, чтобы ошибки записывались в журнал ошибок. Сканирование приостанавливается и ожидает действий пользователя после сбоя.
• proxy — обновлённое кодирование URL-запросов для обработки искажённых URL-адресов. Отключён обратный поиск DNS для запросов для повышения производительности.
• content_types — перемещён из defaults/.
• cookie_collector — добавлен параметр filter, используемый для определения того, какие файлы cookie регистрировать на основе шаблона, соответствующего именам файлов cookie.

Отчёты — добавлено content_type ко всем отчётам с опцией outfile в .info.

• xml — экранированные значения параметров в XML-отчёте.

0.4.5.2 (18 сентября 2013 г.)

gemspec — добавлен bundler как зависимость во время выполнения.

Извлечённые пути

Удалённый:

• comments — извлекает частичные пути из HTML-комментариев. Может привести к бесконечным обходам, требуется дальнейшее исследование.

0.4.5.1 (14 сентября 2013 г.)

Element::Capabilities::Auditable::Taint — исправлена ошибка, возникающая, когда модули не имеют полезных нагрузок для каждой платформы.

0.4.5 (12 сентября 2013 г.)

Element::Capabilities::Auditable::Taint. Паттерны теперь могут быть специфичными для платформы, что улучшает распознавание отпечатков пальцев на этапе аудита и снижает нагрузку на процессор при анализе ответов.

Модули:

• Аудит:
  • Обход пути (path_traversal):
    • Обновлены подписи /etc/passwd, чтобы они были более общими.
    • В полезные нагрузки MS Windows добавлено усечение точек.
    • Паттерны обнаружения организованы для каждой платформы.
    • Необходные полезные нагрузки перемещены в модуль file_inclusion.
  • SQL-инъекция (sqli):
    • Добавлена поддержка: Firebird, SAP Max DB, Sybase, Frontbase, IngresDB, HSQLDB, MS Access.
  • Инъекция команды ОС (os_cmd_injection):
    • Паттерны обнаружения организованы для каждой платформы.
  • Добавлено:
    • Включение файла (file_inclusion) — извлечено из path_traversal. Использует распространённые файлы на стороне сервера и ошибки для выявления проблем.
• Рекон:
  • Добавлено:
    • localstart.asp (localstart_asp) — проверяет доступность localstart.asp.

Плагины:

• Добавлено:
  • Необычные заголовки (uncommon_headers) — регистрирует необычные заголовки.

Извлечение путей:

• Добавлено:
  • Извлечение частичных путей из комментариев HTML (comments).

0.4.4 (10 августа 2013 г.)

Опции:

• Добавлено:
  • --http-username — имя пользователя для HTTP-аутентификации.
  • --http-password — пароль для HTTP-аутентификации.
• Element::Capabilities::Auditable::RDiff — оптимизирована и повышена точность анализа.

Отчёты:

• HTML — исправлено отображение ненадёжных проблем.

Модули:

• Рекон:
  • Добавлено:
    • Уклонение от ограничения доступа X-Forwarded-For (x_forwarded_for_access_restriction_bypass) — повторяет запрещённые запросы с заголовком X-Forwarded-For, пытаясь обмануть веб-приложение, заставив его думать, что запрос исходит от localhost, и проверяет, удалось ли обойти ограничения.
    • Загрузка на основе форм (form_upload) — помечает формы загрузки файлов как требующие ручного тестирования.
  • .htaccess LIMIT misconfiguration (htaccess_limit) — обновлён для использования также подмены глаголов.
• Аудит:
  • Добавлено:
    • Раскрытие исходного кода (source_code_disclosure) — проверяет, можно ли заставить веб-приложение раскрыть исходный код.
    • Выполнение кода через оболочку php://input (code_execution_php_input_wrapper) — внедряет PHP-код в тело HTTP-запроса и использует оболочку php://input, чтобы попытаться загрузить его.
  • Слепая SQL-инъекция (логический анализ) (sqli_blind_rdiff) — улучшена точность результатов.
  • Обход пути (path_traversal) — уровень опасности установлен на «Высокий». Обновлён, начиная с / и заканчивая /../../../../../../. Добавлены отпечатки для /proc/self/environ. Улучшено покрытие для MS Windows.
  • Удалённое включение файла (rfi) — обновлено для обработки случаев, когда веб-приложение добавляет собственное расширение к внедряемой строке.

0.4.3.2 (16 июля 2013 г.)

• Плагины:
  • Прокси — исправлена ошибка, из-за которой он игнорировал URL завершения работы.

0.4.3.1 (14 июля 2013 г.)

• Session#find_login_form — сохраняет файлы cookie, установленные страницей, содержащей форму входа.

• Плагины:

  • Автологин — все ответы теперь обновляют фреймворк-файлы cookie.
  • Прокси — исправлена ошибка выхода за рамки для класса помощника TemplateScope.

• Модули:

  • Аудит:
    • Обход пути (path_traversal) — добавлены дополнительные отпечатки для /etc/passwd.

Версия 0.4.3 (6 июля 2013 г.):

• Протокол RPC:

  • Сериализация YAML переключена с Syck на Psych (текущий стандарт Ruby по умолчанию).

• Исполняемые файлы:

  • Добавлен arachni_multi — порождает и контролирует экземпляр. Slave instances

• RPC::Server::Framework::Master — содержит API и утилиты для master-экземпляров.

Master seed crawl выполняется в отдельном потоке, чтобы избежать блокировки во время начального процесса заполнения.

Убрана концепция сводок по проблемам — использовались для облегчённой передачи данных о проблемах для обратной связи в реальном времени. Вместо этого полные проблемы буферизуются и сбрасываются мастеру после проверки каждой страницы.

• RPC::Server::Framework::Distributor#distribute_elements оптимизирован для работы с большими наборами данных.

• RPC::Server::Spider обновлена стратегия буферизации для уменьшения вызовов RPC.

Очищены и удалены переменные @@ из:

• Module::Manager,
• Module::KeyFiller,
• Plugin::Manager,
• Parser.

Перемещены вспомогательные классы в Arachni::Support.

• Классы Support::Cache теперь хранят значения #hash ключей для экономии места.

Добавлены:

• Пространство имён Support::LookUp для хранения оптимизированных структур данных с:

  • Support::LookUp::HashSet — хранит хешированные элементы в наборе;
  • Support::LookUp::Moolb — обратное фильтру Блума;

• Support::Queue::Disk — дисковая очередь с буфером в памяти.

Добавлено:

• Arachni::Platform — содержит ресурсы, относящиеся к идентификации платформы, хранению и фильтрации.

  • Fingerprinters — пространство имён, в котором находятся все компоненты фингерпринтеров.
  • List — структура списка, содержащая применимые платформы для данного WWW-ресурса.
  • Manager — коллекция списков для удобного управления платформами разных типов.

• IO#tail — возвращает указанное количество строк снизу файла.

Вспомогательные процессы для серверов экземпляров и диспетчеров RPC:

• Arachni::Processes::Dispatchers — порождает и убивает диспетчеры;
• Arachni::Processes::Instances — порождает и убивает экземпляры;
• Arachni::Processes::Manager — разветвляет и убивает процессы.

Тесты RSpec:

• Основная очистка с использованием вышеупомянутых вспомогательных процессов для удаления дублирующегося кода.
• Вспомогательные компоненты перемещены в spec/support/.

Модули:

• Аудит:

  • code_injection — удалён код на Ruby, так как он не применялся. Обновлён для категоризации полезных нагрузок по платформе.
  • code_injection_timing — очистка кода. Удалён файл payloads.txt, полезные нагрузки теперь находятся в модуле. Обновлён для категоризации полезных нагрузок по платформе.
  • os_cmd_injection — очистка кода. Удалён файл payloads.txt, полезные нагрузки теперь находятся в модуле. Обновлён для категоризации полезных нагрузок по платформе.
  • os_cmd_injection_timing — очистка кода. Удалён файл payloads.txt, полезные нагрузки теперь находятся в модуле. Обновлён для категоризации полезных нагрузок по платформе.
  • path_traversal — очистка кода. Обновлён для категоризации полезных нагрузок по платформе.
  • sqli_blind_timing — очистка кода. Файл payloads.txt разделён на отдельные файлы для каждой платформы. Обновлён для категоризации полезных нагрузок по платформе.

• Разведка:

  • html_objects — обновлено описание.

Плагины:

• Прокси:

  • Страницы вне области действия больше не возвращают ошибку 403 Forbidden, а вместо этого загружаются, хотя и игнорируются.
  • Исправлена ошибка, из-за которой заголовок Content-Length иногда содержал неправильное значение.
  • Исправлена ошибка, вызывающая зацикливание панели управления.
  • Добавлена поддержка методов PUT и DELETE.
  • Поддерживает экспорт обнаруженных векторов в формате YAML, подходящем для использования с плагином vector_feed.
  • Исправлена ошибка с запросами POST, приводящая к тайм-ауту соединений из-за пересылки заголовка запроса Content-Length на исходный сервер.

• Автологин:

  • Обновлён, чтобы разрешить доступ к ресурсам вне области видимости, таким как единый вход. Версия 0.4.2 (26 апреля 2013)

Опции

• Добавлено --https-only, чтобы запретить переход на HTTP, если начальный URL использует HTTPS.
• Добавлено --exclude-page, чтобы исключить страницы, тела которых соответствуют заданным шаблонам.
• Добавлено --version для отображения информации о версии.

Обновления исключений, генерируемых фреймворком: Убраны пространство имён Arachni::Exceptions и использование исключений этого пространства имён. Вместо этого используется базовое исключение Arachni::Error, от которого наследуются все специфические исключения компонентов.

RPC

• Обработчики
  • opts — теперь представляет интерфейс RPC::Server::ActiveOptions, который активно настраивает определённые параметры в нескольких системных компонентах.
  • service — обновлён следующими удобными методами, чтобы предоставить более простой интерфейс для пользователей, которые не хотят использовать более специализированные обработчики (opts, modules, framework и т. д.):
    • #errors — возвращает содержимое журнала ошибок.
    • #scan — настраивает и запускает сканирование.
    • #progress — агрегирует информацию о прогрессе.
    • #busy? — проверяет, продолжается ли сканирование.
    • #pause — приостанавливает сканирование (делегируется RPC::Server::Framework#pause).
    • #resume — возобновляет сканирование (делегируется RPC::Server::Framework#resume).
    • #abort_and_report — очищает фреймворк и возвращает отчёт.
    • #abort_and_report_as — очищает фреймворк и возвращает результат указанного компонента отчёта.
    • #status — возвращает статус экземпляра.
    • #report — возвращает отчёт о сканировании как Hash.
    • #report_as — возвращает отчёт сканирования в одном из доступных форматов (как String).
    • #shutdown — завершает работу экземпляра/останавливает сканирование.
  • framework — клиентам больше не нужно вызывать framework.clean_up, если только они не отменяют запущенное сканирование.
  • Протокол — теперь поддерживает Marshal и YAML автоматически:
    • Marshal по умолчанию, поскольку он во много раз быстрее, чем YAML.
    • YAML как автоматический запасной вариант для обеспечения обратной совместимости и простоты интеграции с третьими сторонами. Обновлён для использования механизма Ruby по умолчанию Psych.
  • Framework
    • Обновлённое получение статуса ведомого — как только ведомый завершает работу, он сообщает об этом ведущему.
    • Очистка происходит автоматически, клиентам больше не нужно вызывать #clean_up (как упоминалось ранее).
    • Теперь ведомые экземпляры буферизуют свои зарегистрированные проблемы и сообщают о них ведущему пакетами.
    • #issues теперь возвращает первый вариант каждой проблемы для предоставления дополнительной информации/контекста.
  • Dispatcher
    • Добавлен #workload_score, возвращающий оценку рабочей нагрузки диспетчера как Float.
    • Расчёт оценки рабочей нагрузки больше не использует использование ресурсов ЦП/ОЗУ (поскольку эти данные недоступны на всех платформах), а вместо этого количество запущенных экземпляров и вес узла.
• Trainer — добавлен жёсткий лимит тренировок на страницу, чтобы избежать длительных циклов.
• Spider
  • Обновлён, чтобы повторить попытку несколько раз при сбое ответа сервера. Неудачные запросы возвращаются #failures.
• Framework
  • Обновлён, чтобы повторять попытку несколько раз при сбое запроса на аудит сервера. Неудачные попытки возвращаются #failures.
  • Следующие методы были обновлены для применения критериев области действия:
    • #audit_page
    • #push_to_page_queue
    • #push_to_url_queue
• HTTP
  • Исправлена ​​повреждение двоичных тел ответов из-за агрессивной очистки.
  • Обнаружение пользовательской страницы 404 было обновлено следующим образом:
    • Возврат к соотношению различий слов уточнённых ответов, если прямое сравнение не удаётся.
    • Ведение ограниченного кэша сигнатур для снижения потребления памяти.
• Arachni::Element::Capabilities::Auditable
  • Добавлено Использование анонимного аудитора для устранения необходимости назначения специального аудитора при написании сценариев.

• Обновлены #submit и #audit, чтобы по умолчанию использовать #use_anonymous_auditor, когда аудитор не был предоставлен.

Плагины:

• AutoLogin — больше не экранирует заданные аргументы URI. [Проблема № 314].

• Profiler — больше не является членом плагинов по умолчанию.

• Метаанализ:

  • Атаки по времени: обновлено, чтобы добавить замечание к затронутым проблемам о неоптимальном состоянии сервера во время выявления проблемы.
  • Обнаружение: обновлено, чтобы добавить примечание к затронутым вопросам об экстремальном сходстве между проблемами аналогичного типа.

Удалено:

• Ручной анализ метаанализа — этот плагин теперь избыточен, функциональность теперь обрабатывается другими компонентами/слоями.

Методы анализа:

• Taint — обновлён, чтобы добавлять замечания к проблемам, требующим проверки.
• Timeout — обновлён для значительного снижения потребления памяти и повышения надёжности/точности. Больше не планирует аудит элементов в конце сканирования, а ищет кандидатов вместе с другими запросами аудита. Кандидаты проверяются в конце каждой проверки страницы. Гарантируется дедупликация кандидатов после обнаружения. Добавлена третья фаза: первоначальные кандидаты, прошедшие проверку, проверяются снова.

Модули:

Общие:

• Обновлены названия модулей, некоторые описания и названия проблем.

• Ограничено максимальное количество проблем до 25 для следующих модулей разведки:

  • Captcha;
  • Пользователи CVS/SVN;
  • Электронная почта;
  • HTML-объекты;
  • Интересные ответы.

• XSS в теге скрипта: требуется ручная проверка — Arachni не может проверить среду выполнения JS. Добавлено замечание, информирующее пользователей об этом.

• Утечка пути: добавлено больше полезных нагрузок для Windows.

• Инъекция команды ОС: добавлено больше полезных нагрузок для Windows.

Добавлено:

• Автозаполнение полей формы пароля.

Удалён:

• Модуль совместимости xss_uri.

Плагин:

• Прокси: добавлен параметр session_token, позволяющий пользователям ограничивать доступ к своему прокси-сеансу с помощью настраиваемого токена. Обновлены панель и URL-адреса управления.

Отчёты:

• Если каталог был передан в качестве опции outfile, отчёт будет записан в этот каталог с использованием значения по умолчанию outfile в качестве имени файла.
• Обновлённые описания отчётов.
• Отчёт теперь включает замечания по проблеме.

Проблемы:

• Добавлен атрибут remarks, содержащий хеш замечаний по этой проблеме с сущностью, сделавшей замечание, в качестве ключа и массив замечаний в качестве значения.
• Добавлен метод #add_remark, позволяющий добавлять новые замечания к проблеме.

Исполняемые файлы:

• arachni_script — обновлён, чтобы ожидать один скрипт и передавать ARGV.
• arachni_rpc:
  • Массовый рефакторинг кода.
  • Обновлён для использования нового упрощённого API RPC.
  • Обновлён для поддержки новых высокопроизводительных вариантов распространения.
  • Удалены сообщения о статусе, отображается только список проблем.

Добавлены:

• Кэш: Arachni::Cache::Preference — выполняет мягкое сокращение на основе предпочтения, определяемого заданным блоком.
• Классы буфера:
  • Arachni::Buffer::Base — базовый класс буфера.
  • Arachni::Buffer::AutoFlush — реализация буфера, которая сбрасывает себя, когда становится полной или достигается количество попыток заполнения между сбросами.

Удалены:

• Веб-пользовательский интерфейс — новый интерфейс является проектом сам по себе и не является частью фреймворка — появится только в пакетах, но не в драгоценных камнях.

Версия 0.4.1.2 (3 ноября 2012 г.)

HTTP:

• Обновлено пользовательский алгоритм обнаружения 404 для использования меньшего объёма памяти путём хранения только хэшей сигнатур вместо самих сигнатур. Опция cookie_string теперь декодируется перед... Будучи разобранным в объект Cookie.

• Исправлена ошибка в Cookie#expires_to_time, теперь возвращает nil, если время истечения срока действия равно «0».
• Arachni::URI.cheap_parse — обновлено для очистки кодировки каждого имени и значения параметра по отдельности. [Проблема №303]
• Плагины
  • Прокси
    • Исправлена регрессия, вызванная тем, что парсер требовал, чтобы HTTP-ответ включал исходный запрос.
    • Поведение SSL-перехватчика при перенаправлении исправлено — теперь всё делегируется пользовательскому прокси.
• Модули
  • Аудит
    • CSRF — обновлён, чтобы помечать формы с обнаруженным одноразовым номером как безопасные.

Версия 0.4.1.1 (14 октября 2012 г.)

• Auditor#log и Auditor#log_remote_file — исправлены ошибки, теперь передают хэш заголовков ответа вместо строки — также решена ещё одна ошибка, из-за которой тела ответов не регистрировались в системе отслеживания проблем. [Проблема №294]
• Issue — заголовки ответов теперь всегда являются хэшем.
• Отчёты
  • HTML — код обработки заголовков ответов удалён и добавлена опция не включать тела HTTP-ответов. [Проблема №296]
  • XML — код обработки заголовков ответов удалён и добавлена опция не включать тела HTTP-ответов. [Проблема №296]
• Выходные данные отладки HTTP теперь включают данные ответа. [Проблема №297]
• Исполняемые файлы
  • arachni_rpcd_monitor — смягчены стандарты, применяемые к аргументу Dispatcher URL. [Проблема №293]
• Экстракторы пути
  • Добавлен экстрактор пути для тега area HTML (атрибут href). [Проблема №300]

Версия 0.4.1 (2 октября 2012 г.)

• Лицензия — перенесена с GPLv2 на Apache License Version 2.
• Крупный рефакторинг
  • Arachni::Parser::Element::Auditable и Arachni::Module::Auditor.
    • Техники анализа перенесены из Auditor в Auditable, чтобы включить аудит и анализ для каждого элемента и упростить написание сценариев.
    • Методы Auditor теперь просто перебирают элементы-кандидаты и делегируют анализ им.
  • Обновлены методы нормализации URL и добавлено кэширование для ресурсоёмких операций синтаксического анализа, что привело к общему улучшению, особенно во время начального процесса сканирования. (Новое)
  • Перенос из библиотеки URI Ruby в Arachni::URI (Новое).
  • Глобальная очистка кода, улучшение документации и стиля.
  • Замена Set на Arachni::BloomFilter, где это возможно, для минимизации потребления памяти и ускорения сравнений поиска.
  • Очистка пространства имён
    • Классы Parser::Element перемещены непосредственно под Arachni;
    • Класс Parser::Page перемещён непосредственно под Arachni;
    • Auditable и Mutable перемещены в Element::Capabilities;
    • Добавлен Element::Capabilities::Refreshable — обновляет входные значения ссылки/формы;
    • Анализ перенесён из Analysis и непосредственно под Element::Capabilities::Auditable;
    • Добавление констант для каждого элемента непосредственно в пространство имён Arachni для облегчения доступа (например, Arachni::Link, Arachni::Form и т. д.).
• Фреймворк — можно настроить для обнаружения выхода из системы и повторного входа между аудитами страниц. (Новое)
• Опции
  • Удалённые
    • --http-harvest-last
  • Добавленные
    • --login-check-url — URL-адрес, используемый для проверки того, что сканер всё ещё вошёл в веб-приложение.
    • --login-check-pattern — шаблон, используемый против тела «login-check-url» для проверки того, что сканер всё ещё вошёл в веб-приложение.
    • --auto-redundant — игнорирует указанное количество URL-адресов с идентичными именами параметров запроса.
    • --fuzz-methods — аудит ссылок, форм и файлов cookie с использованием методов GET и POST HTTP.
    • --audit-cookies-extensively — отправляет все ссылки и формы страницы вместе с перестановками файлов cookie.
    • --cookie-string — позволяет указать файлы cookie в виде строки в форме: name=value; name2=value2
    • --exclude-vectors — исключает векторы (параметры) по имени из аудита. --exclude-binaries — исключает страницы с нетекстовыми типами контента из аудита.

Dispatcher: — добавлена модульность путём поддержки компонентов обработчиков, чей API может быть представлен через RPC (в разделе rpcd_handlers/).

Модули: — каждый модуль был очищен и добавлены тесты RSpec. Планирование: дорогие модули теперь запланированы для запуска после более дешёвых модулей аналогичного типа, и только элементы аудита, пропущенные более дешёвыми модулями, проверяются. API: — обновлён для предоставления доступа к запущенным плагинам. — обновлены удалённые средства обнаружения файлов и помощники ведения журнала для повышения производительности и точности в случае пользовательских 404. — операции аудита по умолчанию следуют перенаправлениям. Небезопасные формы паролей: проверка полей форм на ненулевое значение перед итерацией. [Проблема №136]. SSN: улучшено регулярное выражение и ведение журнала. [Проблема №170]. Незащищённые файлы cookie: регистрирует файлы cookie без флага «secure». (Новое). Файлы cookie HttpOnly: регистрирует файлы cookie без флага HttpOnly. (Новое). SQL-инъекция: теперь игнорирует нерелевантные сообщения об ошибках, чтобы уменьшить количество ложных срабатываний. XSS: улучшена точность обнаружения. RFI: добавлен начальный URL без протокола. Обход пути: добавлены начальные значения с URL-адресами file:// и для веб-приложений Tomcat. Добавлено: — фиксация сеанса; — много информации об обновлениях для таких вещей, как руководства по исправлению и ссылки. (Спасибо Самилу Кумару).

Плагины: — каждый плагин был очищен, и были добавлены тесты RSpec. AutoLogin: — добавлено обязательное регулярное выражение верификатора, чтобы убедиться, что вход выполнен успешно. (Новое); — теперь настраивает Framework для обнаружения выходов из системы и повторного входа во время аудита. (Новое). Proxy: — исправлена опечатка в коде, которая мешала правильной переадресации заголовков, что приводило к несуществующим типам контента, которые препятствовали правильному анализу. [Проблема № 135]; — обновлено для использования HTTP-интерфейса фреймворка вместо Net::HTTP; — теперь внедряет удобную маленькую панель управления в каждый ответ, который позволяет записывать последовательности входа и проверять обнаруженные страницы/элементы. VectorFeed: считывает векторные данные, из которых создаёт элементы для аудита. Может использоваться для выполнения чрезвычайно специализированных/узких аудитов для каждого вектора/элемента. Полезно для модульного тестирования или множества других вещей. (Новое). Script: загружает и запускает внешний скрипт Ruby в рамках плагина, используется для отладки и общего взлома. (Новое).

Дополнительно: все модули в разделе /extras пришлось удалить, поскольку они распространяли контент под лицензией GPLv3.

HTTP: — улучшено обнаружение пользовательских страниц 404. — теперь принимает глобальный тайм-аут (—http-timeout) в миллисекундах. — обновлённый хук #add_on_queue (вызывается #queue), который позволяет перехватывать и изменять HTTP-запросы перед их отправкой. — исправлен расчёт среднего количества запросов в секунду. — реализован Cookiejar. (Новое). — удалены теги запросов с системным семенем. — добавлен максимальный предел размера очереди — как только лимит запросов будет достигнут, поставленные в очередь запросы будут отправлены, чтобы разгрузить очередь. — добавлено #sandbox — изолирует данный блок от остальной части HTTP env и выполняет его.

Паук: переписан, гораздо более чистый дизайн и код. (Новое): — игнорирует параметры пути, чтобы избежать бесконечных циклов (например, http://stuff.com/deep/path;jsessid=deadbeef).

Парсер: — удалена путаница путём перемещения анализа элементов в соответствующие классы (Form, Link, Cookie). — заменены хаки для очистки на очистку Nokogiri — более чистый код, лучшая производительность. — Form: автоматически обнаруживаются и обновляются одноразовые токены перед отправкой.

WebUI: удалён аддон AutoDeploy — нет. Инстансы (New)

• Добавлены индикаторы выполнения для каждого инстанса (New).
• Добавлен статус для каждого инстанса (New).
• Добавлено оценочное оставшееся время (New).

Настройки

• Добавлены настройки прокси [Issue #74] (New).
• Добавлены параметры настроек для опций ограничения и расширения путей (New).

Исправлена небольшая опечатка на экране «Настройки» [Issue #62].

Отчёты — теперь отчёт AFR подаётся напрямую, чтобы избежать повреждения [Issue #55].

Дополнения — обновлены для использования новых асинхронных библиотек.

Добавлены кнопки помощи (New).

Интерфейс командной строки (CLI)

Улучшен обработчик прерываний:

— теперь он завершается более аккуратно и послушно;

— добавлено оценочное оставшееся время (New);

— добавлен индикатор выполнения (New).

HTTP-клиент

— добавлена поддержка включения пользовательских заголовков [Issue #90] (New);

— реорганизован так, что все методы используют request().

— исправлена ошибка сохранения файлов cookie.

Паук

Опция spider-first удалена и установлена по умолчанию в true.

Добавлен параметр "--depth" (New).

Исправлена некорректная реализация фильтров включения.

Теперь следует за заголовками "Location" напрямую и обходит тренер.

Добавлена поддержка расширения области сканирования файлом, содержащим URL-адреса, разделённые символами новой строки (New) [Issue #67].

Добавлена поддержка ограничения области сканирования файлом, содержащим URL-адреса, разделённые символами новой строки (New).

Сделан более устойчивым к искажённым/нестандартным URL-адресам [Issue #57].

Парсер

Закодированные URL с фрагментами сразу после хоста приводили к сбою URI.parse [Issue #66].

Аудируемые элементы:

Если в форме есть 2 или более полей пароля, добавляется дополнительная вариация с одинаковыми входами для всех паролей на случай, если это «пожалуйста, повторите свой пароль» (New) [Issue #59].

Плагины

API — добавлены методы класса distributable?() и merge(), которые объявляют, может ли плагин быть распространён на все инстансы при работе в режиме Grid, и объединяют массив своих результатов соответственно.

Распространяемые плагины:

— Content-Types;

— Cookie collector;

— Healthmap;

— Profiler;

— AutoThrottle.

Профилировщик — удалена регистрация времени отклика и перемещена в defaults.

Прокси — исправлена ошибка, из-за которой некоторые заголовки не пересылались [Issue #64].

Обнаружение (сопровождается соответствующими форматерами отчётов) (New) [Issue #81]:

Выполняет обнаружение аномалий в проблемах, зарегистрированных модулями обнаружения, и предупреждает о возможности ложных срабатываний, где это применимо.

Добавили подкаталог «defaults», который содержит плагины, которые должны загружаться по умолчанию.

Добавлено: (New)

— ReScan — использует отчёт AFR предыдущего сканирования для извлечения карты сайта, чтобы избежать избыточного сканирования.

— BeepNotify — издаёт звуковой сигнал, когда сканирование завершается.

— LibNotify — использует библиотеку libnotify для отправки уведомлений о каждой обнаруженной проблеме и сводки в конце сканирования.

— EmailNotify — отправляет уведомление (и, возможно, отчёт) по SMTP в конце сканирования.

— Manual verification — помечает проблемы, требующие ручной проверки, как ненадёжные, чтобы уменьшить соотношение сигнал/шум.

— Resolver — разрешает уязвимые имена хостов в IP-адреса.

Отчёты

HTML-отчёт:

— Исправлены формы воспроизведения, чтобы включить параметры URL в атрибут action [Issue #73].

— Реорганизован и разбит на частичные файлы erb.

— Организованы подразделы на вкладках (New).

— HTML-ответы зарегистрированных проблем теперь отображаются по запросу [Issue #88].

— Добавлен график, показывающий общее количество доверенных проблем (New).

— Основной график проблем показывает доверенные и недоверенные проблемы в 2 разных сериях.

— Весь код JavaScript и CSS теперь включён в отчёт для автономного просмотра.

— Удалена круговая диаграмма ручной проверки, заменённая на диаграмму доверия.

— Highcharts заменены на jqPlot по причинам лицензирования.

— Удалён отчёт о ложных срабатываниях — был. Причиной ошибок сегментации в Mac OSX. [Проблема №126]

• Добавлено (Новое):

  • JSON — экспорт результатов аудита в виде сериализованного хэша JSON.
  • Marshal — экспорт результатов аудита в виде сериализованного хэша Marshal.
  • YAML — экспорт результатов аудита в виде сериализованного хэша YAML.

• Учтены предупреждения Ruby (ruby -w).

• Модули:

  • API:
    • Auditor:
      • Добавлены вспомогательные методы для проверки существования удалённых файлов и каталогов. (Новое)
      • Добавлены вспомогательные методы для регистрации проблем. (Новое)
  • Рефакторинг модулей с заменой дублирующегося кода новыми вспомогательными методами.
  • Аудит:
    • XSS — обновлено, чтобы фактически внедрить элемент, проанализировать ответ HTML и искать этот элемент перед регистрацией, чтобы исключить ложные срабатывания. [Проблема №59]
    • Обход пути — исправлены некорректные регулярные выражения
    • SQL-инъекция — исправлены некорректные регулярные выражения
    • XSS Path — обновлено для проверки внедрения с помощью анализа HTML
    • XSS URI — устарело и будет удалено из будущих версий — загружает и запускает XSS Path вместо этого.
  • Recon:
    • Добавлен модуль обнаружения смешанных ресурсов (Ссылка) (Новое) [Проблема №56]

• Метамодули:

  • Все были преобразованы в обычные плагины, чтобы упростить распространение по сети.

• Зависимости:

  • Добавлено:
    • Arachni-RPC
    • EventMachine
    • EM Synchrony
    • AsyncSinatra
  • Обновлено:
    • Typhoeus => 0.3.3
    • Sys-proctable => 0.9.1
    • Nokogiri => 1.5.0
    • Sinatra => 1.3.1
    • Datamapper => 1.1.0
    • Json => 1.6.1
    • Datamapper SQLite adapter => 1.1.0
    • Net-SSH => 2.2.1
  • Удалено:
    • Rack-CSRF
    • JSON (предоставляется DataMapper)

Версия 0.3 (26 июля 2011 г.)

• HTTP-клиент:

  • Исправлена ошибка состояния гонки в параметрах тайм-аута.

• Паук (Новый):

  • Заменён Anemone на лёгкий собственный паук.

• WebUI:

  • Крупный рефакторинг.
  • Улучшена обработка ошибок соединения во время обновления хода сканирования.
  • Добавлена поддержка надстроек. (Новый)
  • Надстройки (Новый):
    • Планировщик сканирования
    • Авторазвёртывание — автоматически преобразует любой Linux-компьютер с поддержкой SSH в диспетчер Arachni.
  • Исправлена ошибка, когда использовались IP-адреса вместо имён хостов для диспетчеров.

• Парсер:

  • Атрибуты действия формы теперь очищаются с использованием итеративного декодирования URI.
  • Переменные ссылок извлекаются до того, как происходит очистка URL, чтобы сохранить значения с закодированными URL-символами нетронутыми.
  • Теперь переменные ссылок текущей страницы помещаются в «page.links».

• Аудитор:

  • Абстрагированы методы аудита rDiff от модуля «Слепая (rDiff) SQL-инъекция» и перемещены в аудитор.
  • Техника атаки по времени значительно улучшена, и все атаки по времени теперь запланированы на конец сканирования.

• Модули:

  • API:
    • добавлен метод «redundant()» — позволяет модулю предотвратить аудит элементов, которые ранее были зарегистрированы другими модулями.
    • Модулям теперь передаётся экземпляр фреймворка.
  • Аудит:
    • Слепая (rDiff) SQL-инъекция:
      • обновлено для поддержки всех типов элементов (ссылки, формы, файлы cookie, заголовки).
      • оптимизировано с использованием нового метода «redundant()» — больше не будет проверять элементы, которые были ранее зарегистрированы модулями «sqli» или «sqli_blind_rdiff».
    • Инъекция команды ОС (по времени):
      • Оптимизировано с использованием нового метода «redundant()» — больше не будет проверять элементы, которые были ранее зарегистрированы модулем «os_cmd_injection».
    • Кодовая инъекция (по времени):
      • Оптимизирована с использованием нового метода «redundant()» — больше не будет проверять элементы, которые были ранее зарегистрированы модулем «code_injection». Ссылки

• META refresh.
• Скрипт «src» и код скрипта.
• Карта сайта.

Поддержка плагинов — позволяет расширять функциональность фреймворка практически любыми возможностями (Новое).

Добавлены плагины: (Новое)

• Пассивный прокси.
• Автоматизированный вход.

Добавленные модули: (Новое)

• Аудит:
  • XPath-инъекция.
  • LDAP-инъекция.
• Рекон:
  • Раскрытие информации о пользователях CVS/SVN.
  • Раскрытие частного IP-адреса.
  • Робот-ридер файлов (в модуле Common Files).
  • XST.
  • Обнаружение WebDAV.
  • Разрешённые методы HTTP.
  • Огласка номера кредитной карты.
  • Поддержка HTTP PUT.

Расширенная поддержка прокси (SOCKS4, SOCKS4A, SOCKS5, HTTP/1.1 и HTTP/1.0) (Новое).

Версия 0.2 (14 октября 2010 года)

Улучшенный вывод:

• Повышенная контекстная осведомлённость.
• Расширенные возможности отладки.
• Добавлена простая статистика в конце сканирования.

Переписанный HTTP-интерфейс:

• Высокопроизводительные асинхронные HTTP-запросы.
• Регулируемый предел параллелизма HTTP-запросов.
• Регулируемые сборы ответов HTTP.
• Пользовательское обнаружение страницы 404.

Оптимизированная подсистема Trainer:

• Вызывается, когда наиболее вероятно обнаружение новых векторов.
• Может быть вызван отдельными модулями по требованию, заставляя Arachni учиться на ответах HTTP, которые они вызывают — большое преимущество для Fuzzers.

Реорганизованный и улучшенный Auditor:

• Нет избыточных запросов, кроме случаев, когда это требуется модулям.
• Улучшенное управление параметрами.
• Оптимизация скорости.
• Добавлен дифференциальный анализ, чтобы определить, нуждается ли уязвимость в ручной проверке.

Рефакторинг и улучшение API модуля:

• Значительное улучшение чистоты API.
• С возможностями, предоставляющими больше контроля и мощности над процессом аудита.
• Существенно увеличена простота разработки.
• Модули имеют полную гибкость и контроль над комбинациями ввода, значениями инъекций и их форматированием — если им это необходимо.
• Модули могут выбрать синхронные или асинхронные запросы HTTP (по умолчанию: асинхронный).

Улучшенное управление прерываниями:

• Сканирование можно приостановить/возобновить в любое время.
• В случае выхода из системы или отмены пользователем отчёты всё равно будут созданы с использованием данных, собранных во время выполнения.
• Когда сканирование приостановлено, пользователю будет представлен результат, собранный к настоящему времени.

Улучшенная обработка профиля конфигурации:

• Добавлены предварительно настроенные профили.
• Можно загрузить сразу несколько профилей.
• Возможность показывать текущие профили в качестве аргументов CLI.

Общие улучшения и оптимизации модулей.

Новые модули для:

• Слепой SQL-инъекции с использованием анализа обратного различия.
• Trainer, проверяет все входные данные данной страницы, чтобы выявить новые входные векторы, и заставляет Arachni обучаться на основе ответов.
• Непроверенных перенаправлений.
• Форм, передающих пароли открытым текстом.
• CSRF, реализующий 4-проходный анализ rDiff для значительного снижения шума.

Общее улучшение и оптимизация отчётов.

Новые отчёты:

• Отчёт в виде простого текста.
• XML-отчёт.