我们的 AI 引擎 Neutron 在加州大学伯克利分校的 CyberGym 基准测试中取得了 97.1% 的成绩。 了解更多

产品

产品

SSL 扫描器全面重构，以及由用户自定义提示词驱动的 UI 调用覆盖率提升

此次发布大幅增强了我们由 AI 驱动的 UI 探索引擎，为现代应用带来更智能、适应性更强的动态扫描。我们全面重构了 SSL 扫描器，可更精确地检测 15 种以上的严重 SSL/TLS 漏洞，并重建了污点分析引擎，实现更深入、更可靠的漏洞检测。此次发布还扩大了对密钥检测、移动应用错误配置和最新 CVE 的覆盖范围。平台性能也得到全面优化，速度更快、更稳定、更准确。

Ostorlab Team

🔒 SSL/TLS 安全增强

SSL 扫描器全面重构

我们从零开始重建了 SSL 扫描器，以最大限度地减少误报并提高检测准确性。新扫描器可识别多种严重的 SSL/TLS 漏洞，包括：

  • SSL Bleichenbacher 攻击

  • 不支持 TLS Fallback SCSV

  • TLS Heartbleed（影响全球 500,000 多台服务器）

  • 弱密码套件

  • SSL POODLE 攻击

  • TLS CCS 注入

  • TLS Ticketbleed

  • TLS CRIME 攻击

  • TLS FREAK 攻击

  • TLS Logjam（常见素数及完整攻击）

  • TLS DROWN 攻击（严重级别）

  • 主机名不匹配

  • 不安全的前向保密

  • 弱密钥（密钥长度与签名算法）

TLS 漏洞报告

🧬 UI 调用覆盖率（动态扫描）

Monkey Tester 已升级，除传统的 UI 自动化规则外，还支持基于提示词的输入。作为用户，您现在可以编写文本来测试应用中的特定用例。 例如“Navigate to the Transfer menu and add an account using the provided custom credentials.”（进入 Transfer 菜单，使用提供的自定义凭据添加一个账户。）

该功能可以：

  • 更好地适应复杂的身份验证流程

  • 更精确地控制对应用功能的探索

  • 改善移动应用和 Web 应用动态扫描的结果

📱 iOS 与 Android 安全分析

增强数据保护分析（iOS）

新增规则，通过分析 IPA 应用权利（entitlements）中 com.apple.developer.default-data-protection 属性的值，检测配置不当的文件保护类。该属性配置错误会削弱 iOS 设备上的数据保护，可能导致敏感用户数据遭到未经授权的访问或泄露。

动态扫描器增强（iOS 与 Android）

直接从设备中获取移动应用的数据文件并对其进行扫描。该功能可以扫描数据库、shared preferences、plist 文件，确保存储的数据已加密，且设备中不存在任何敏感信息。

数据文件

新的 iOS 漏洞检测

新增对关键移动应用错误配置的检测，包括：

  • 文件共享错误配置
  • 文档编辑漏洞
  • 敏感权限过度使用（IDFA 访问跟踪）
  • 缺少强加密声明

⚡ 性能与 IDE 改进

IDE 性能大幅提升

我们对分析 IDE 进行了广泛的性能优化，使其能够高效加载从应用中收集的数十万个工件，以及日志和逆向得到的应用数据，在不牺牲全面可见性的前提下显著提升了响应速度。

🧠 AI 驱动的密钥检测

扩大密钥覆盖范围

  • 更广泛的检测：新增规则以识别敏感凭据，包括 Salesforce 令牌、Filestack API 密钥和 SmartyStreets 凭据，帮助发现代码和配置中此前未被检测到的密钥。

  • 更高的准确性：采用先进的密钥验证技术，大幅减少误报告警，减轻告警疲劳，让安全团队能够专注于真正的风险。

🛡️ Threat Center 更新

新的 CVE 检测

我们新增了对多个高影响 2025 年 CVE 的检测，包括：

  • CVE-2025-48827：PHP 8.1+ 上 vBulletin 的未经身份验证 API 访问 - 影响 50,000 多个安装

  • CVE-2025-4322：Motors WordPress 主题中的账户接管 - 100,000 多个活跃站点

  • CVE-2025-32756：通过 HTTP 溢出在 Fortinet 产品中实现 RCE

  • CVE-2025-23016：astCGI fcgi2（2.x 至 2.4.4）中的堆溢出

Cisco ISE 指纹识别

引入了新的指纹识别模块，可在侦察扫描期间检测 Cisco Identity Services Engine（ISE）。

🔍 隐私分析增强

高级机器人检测绕过

改进了爬虫逻辑以模拟人类交互，从而能够成功收集受机器人防御保护的隐私政策。

多格式隐私政策解析

扩展了文档解析能力，支持 PDF 及其他格式，提升隐私合规审计的覆盖范围。

⚙️ 污点分析优化

  • 更快的大型代码库扫描 - 针对企业级应用进行了优化
  • JavaScript Interface 支持 - 全面覆盖混合移动应用
  • 优化检测规则 - 在保留关键漏洞检测的同时尽量减少噪声

🧰 API 与平台稳定性

后端修复

解决了此前影响 API 可用性和工作流一致性的多个后端问题。这些修复增强了集成的稳定性，减少了扫描中断，并提升了平台的整体响应速度。

📚 文档改进

Web 扫描与自定义 User-Agent 支持

更新了文档，说明如何使用自定义 User-Agent 运行经过身份验证的 Web 扫描，包括：

访问管理文档

新增一份指南，介绍如何管理访问权限以及如何使用 Attack Surface Auditors：
访问管理教程 →

标签：

UI, ssl/tls, performance