Ostorlab Team

安全

本文深入、实操地分析并在真实环境中利用了一个在 HackerOne 移动应用中发现的、拥有过高 Pub/Sub 权限的硬编码 GCP 服务账户。文章详细说明了 Ostorlab 的 AI 驱动渗透测试引擎如何自动完成从身份验证、权限枚举到端到端消息注入/拦截的完整流程，使问题在四天内得到修复。

安全

本技术分析揭示了精巧的攻击链——结合路径遍历、符号链接操纵和 Android SDK 的怪异行为——如何能够突破 Signal Android 的防御以窃取敏感的内部文件，即便其传奇般的加密依然完好无损。尽管 Signal 在数天内修复了这些漏洞，但这些发现提供了至关重要的经验：看似微不足道的缺陷如何能被串联成强大的漏洞利用，以及为什么即便是最出色的安全架构也需要多层防御

安全

本文对 Report Portal 中一个带外 XXE 漏洞 CVE-2021-29620 的利用进行了深入的实操分析与概念验证。文章详细说明了 Ostorlab 的 AI 驱动渗透测试引擎如何被用来自动化完成整个流程。

产品

Ostorlab 的 AI Monkey Tester 借助自然语言提示词和生成式 AI，自动生成理解上下文的智能测试场景，革新了移动应用安全测试，与传统的基于规则的测试方法相比，应用覆盖率最高可提升 10 倍。

安全

本文对 Zulip 中的存储型 XSS 漏洞 CVE-2025-52559 的利用进行了深入、实操的分析与概念验证（PoC），详细介绍了如何使用 Ostorlab 由 AI 驱动的渗透测试引擎来实现整个流程的自动化。

产品

此次发布大幅增强了我们由 AI 驱动的 UI 探索引擎，为现代应用带来更智能、适应性更强的动态扫描。我们全面重构了 SSL 扫描器，可更精确地检测 15 种以上的严重 SSL/TLS 漏洞，并重建了污点分析引擎，实现更深入、更可靠的漏洞检测。此次发布还扩大了对密钥检测、移动应用错误配置和最新 CVE 的覆盖范围。平台性能也得到全面优化，速度更快、更稳定、更准确。

产品

Ostorlab 2025 年 5 月更新带来了全面的隐私分析能力，新增 21 个数据收集类别并增强了验证工具。此次发布推出了专门的 Attack Surface 扫描配置文件以优化安全评估，新增 GitHub 源代码集成以精确映射漏洞，并实现了 QPS 速率限制以控制扫描。其他改进包括移动扫描的 URL 正则表达式控制、更简洁的 Jira 集成，以及扩展的指纹识别能力，以提高检测准确性。

安全

本研究提出一种开创性的双重方法，将基于签名的匹配（DalvikFLIRT）与 LLM 驱动的代码转换相结合，以绕过复杂的 Android 应用代码混淆，从而对以往难以分析的代码进行自动化安全分析。

产品

此次发布新增了对 CNIL 标准的支持和 SARIF 导出，并通过漏洞位置和高级搜索提供更深入的漏洞洞察。Copilot 功能更强大，性能更快，资产和修复工作流也更加顺畅。

产品

2 月更新推出了 Ticket Aggregation V2 和 Ostorlab Copilot，同时改进了报告功能和检测机制。这些更新增强了整个平台的漏洞管理、用户体验和安全分析。