Як працює сканер ZNIMOK

Що надсилає безкоштовна перевірка

• Запити DNS, TLS-рукостискання і запити до публічних баз, як-от логів сертифікатів і реєстрів доменів.
• Запити HTTPS і HTTP GET, а за потреби HEAD, лише до введеного домену та його піддоменів.
• Запити до фіксованого списку відомих шляхів, як-от /.env, /.git/config чи /admin, щоб побачити, чи вони доступні публічно.
• Сторінку, яка є лише оболонкою на JavaScript або показує сторінку-перевірку, можемо відкрити в браузері Chromium без інтерфейсу, для невеликої кількості сторінок за перевірку. Це не інструмент для розвʼязування капч.
• Жодних експлойтів, підбору паролів, входу в акаунти чи надсилання форм.

Що запускається лише на підтверджених сайтах

Ці перевірки запускаються лише для домену з підтвердженим правом власності. На такому домені вони можуть бути частиною будь-якої перевірки, а їхні результати бачить лише підтверджений власник:

• Активна перевірка відібраного списку службових портів TCP і UDP.
• Поглиблений аудит, який може також надсилати запити POST до API і форм самого власника.
• Тести open redirect і заголовка Host, а також читання версії поштового сервера.

Як ідентифікуються наші запити

За замовчуванням запити до сайту, що перевіряється, мають набір заголовків настільного Chrome, той самий профіль, що в нашого браузерного обробника. Так перевірки, на які власник дав дозвіл, не блокуються лише через те, що схожі на простий скрипт.

Ми можемо також перемкнути сканер на відкриту ідентифікацію. Тоді він надсилає такий User-Agent:

Znimok-SecurityDiagnostics/2.1 (+https://znimok.com/security-scanner-info)

Деякі запити завжди надсилають цей User-Agent, наприклад наші запити до публічних баз вразливостей.

Навантаження і темп

• Невелика паралельність, паузи з випадковим відхиленням і пригальмовування, коли сайт відповідає HTTP 429 або перевіркою файрвола.
• За замовчуванням без ротації проксі. Вихідний проксі використовуємо лише тоді, коли самі його налаштували.
• Якщо ваш сайт просить сканер сповільнитися або блокує його, ми це поважаємо і позначаємо цю частину звіту як неповну або неоднозначну.

Підтвердження права власності

Власник доводить, що керує доменом, одним із трьох способів: TXT-запис DNS znimok-site-verification=… на домені, файл /.well-known/znimok-ownership.txt із токеном або meta-тег znimok-site-verification на головній сторінці. Токен показано в кабінеті ZNIMOK.

Відмова, скарги і контакт

Якщо ви не хочете, щоб ZNIMOK перевіряв ваш сайт, напишіть на security@znimok.com з адреси на цьому домені, додайте адресу сайту і IP-адресу сканера, якщо ви її бачили. Кожне звернення ми опрацьовуємо вручну і відповідаємо.

Цей самий контакт опубліковано в нашому файлі security.txt.