Документация
Коротко: что делает ARGUS, как читать отчёт и какие есть лимиты.
Что проверяем
| Проверка | Как работает |
|---|---|
| SQL-инъекции | Подставляет SQL-конструкции в параметры и следит за ошибками СУБД |
| Отражённый XSS | Отправляет маркер и проверяет, возвращается ли он без экранирования |
| Обход каталогов | Пытается прочитать системные файлы через параметры |
| Выполнение команд | Проверяет, попадает ли вывод команды в ответ |
| Открытые служебные файлы | .env, .git, дампы, бэкапы, phpinfo, админки |
| Заголовки и cookie | CSP, HSTS, X-Frame-Options, флаги Secure/HttpOnly/SameSite |
| TLS | Срок сертификата и версия протокола |
| CORS и редиректы | Открытый CORS с credentials и открытые редиректы |
| Листинги и смешанный контент | Открытые списки файлов и http-ресурсы на https-странице |
Как читать отчёт
- Критично — прямая возможность взлома. Исправляй в первую очередь.
- Высоко — серьёзный риск. Исправляй в ближайшие дни.
- Средне — исправляй в плановом порядке.
- Низко — небольшая недоработка.
- Инфо — к сведению, не уязвимость.
У каждой находки есть объяснение простыми словами: что это, чем грозит и что сделать.
Подтверждение владения
Сканировать можно только свои сайты. Два способа: файл на сайте или DNS-запись. Пошагово — во вкладке «Инструкция». Если ничего не получается — заявка на модерацию из карточки сайта.
Лимиты
- До 60 страниц и 1500 запросов на проверку, пауза между запросами — сайт не перегружается.
- Проверка останавливается по лимиту времени или вручную.
- Проверки не меняют данные и не подбирают пароли.
Статус проверки через API
Статус своей проверки можно получить в JSON (нужна авторизация):
GET /api/scans/{id} → {"id": 1, "status": "done", "progress": "Готово", "requests_made": 19, "pages_found": 6}