Сканер уязвимостей сервера

Находит то, что веб-сервер отдаёт наружу: утёкшие конфиги и бэкапы, открытые каталоги, версии ПО в заголовках, устаревший TLS, опасные точки входа и ошибки в DNS.

• Все услуги

Большинство взломов начинается не с хитрой уязвимости нулевого дня. Они начинаются с того, что сервер отдаёт любому, кто попросит: забытый файл .env, архив бэкапа в корне сайта, версия ПО в заголовке, которая указывает прямо на известную уязвимость. Сканер уязвимостей сервера ищет именно такие слабые места — те же, что каждый день ищут автоматические боты на каждом публичном адресе.

Что проверяет сканер

Утёкшие файлы и секреты. Сканер запрашивает адреса, где деплой чаще всего что-то забывает: .env и другие конфигурационные файлы, каталог .git, дампы базы данных, архивы сайта .zip и .tar.gz, резервную копию wp-config.php, .DS_Store, страницы phpinfo и server-status. Находка попадает в отчёт, только если её подтверждает содержимое ответа — настоящий .git/HEAD, настоящий список переменных, — поэтому сайт, который отвечает «200 OK» на любой адрес, не даёт ложных тревог.

Открытые каталоги и исходный код. Листинг директорий превращает папку в публичный каталог всего, что туда когда-либо загружали. Публичные source maps JavaScript отдают неминифицированный код вместе с комментариями и внутренними путями. И то и другое легко выключить, и обе находки приходят с точным адресом.

Версии ПО в заголовках. Заголовки вроде Server: Apache/2.4.29 или X-Powered-By: PHP/7.2.5 подсказывают атакующему, какие известные уязвимости пробовать первыми. Сканер перечисляет каждый заголовок и фрагмент страницы с точной версией и показывает, как скрыть её в конфигурации сервера.

Протоколы и шифрование. Проверяем, какие версии TLS и какие сертификаты принимает сервер, полна ли цепочка, перенаправляется ли HTTP на HTTPS, поддерживаются ли HTTP/2 и HTTP/3. Старые протоколы — уязвимость сами по себе и частая причина провала аудитов PCI DSS и аналогичных.

Опасные методы и кросс-доменный доступ. Сервер, который отвечает на TRACE или отражает любой источник в Access-Control-Allow-Origin вместе с учётными данными, можно использовать против ваших же посетителей. Сканер отправляет безвредные тестовые запросы и сообщает, что пришло в ответ.

Точки входа CMS. Для сайтов на WordPress проверяем маршруты, которые отвечают кому угодно: REST-маршрут со списком логинов всех авторов и xmlrpc.php — точку, через которую подбирают пароли, потому что она позволяет сотни попыток за один запрос. Для других платформ ищем открытые страницы администрирования и установки.

DNS и периметр. Wildcard-записи DNS, висящие CNAME, указывающие на уже несуществующие сервисы (классический сценарий захвата поддомена), отсутствие записей CAA, состояние DNSSEC и IPv6 — всё, что описывает, как настроен сам домен.

Безопасное сканирование

Сканер ничего не эксплуатирует. Он не подбирает пароли, не отправляет атакующие нагрузки, не пытается обойти авторизацию и не перегружает сервер: запросов немного, они разнесены во времени и не отличаются от запросов обычного браузера. Поэтому его безопасно запускать на рабочем сайте в рабочее время. Но это же означает, что сканер находит слабости конфигурации и утечки, а не ошибки глубоко в логике приложения — для них нужен пентест с вашим разрешением и доступами.

Как выглядит отчёт

У каждой находки есть уровень — критический, высокий, средний или низкий — и объяснение простым языком: что именно найдено, по какому адресу, что с этим может сделать атакующий и как это закрыть. Где возможно, исправление дано готовой конфигурацией для nginx, Apache или платформы. Критические находки, например скачиваемый .env или .git, показаны в самом верху: их нужно закрыть сегодня, а не в следующем спринте.

Регулярные проверки

Сервер не настраивается раз и навсегда: новый релиз, обновление плагина или переезд на другой хостинг могут вернуть старую проблему. Добавьте сайт в мониторинг — и сканирование будет повторяться автоматически, а новая критическая находка придёт письмом или сообщением в Telegram. Через API то же сканирование можно запускать из CI после каждого деплоя, чтобы утёкший файл нашёлся раньше, чем его найдёт бот.