AppSpider 7.5.027 发布 - Web 应用程序安全测试

AppSpider 7.5.027 for Windows - Web 应用程序安全测试

Rapid7 Dynamic Application Security Testing (DAST) released July 2026

请访问原文链接：https://sysin.org/blog/appspider/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

appspider

没有任何应用程序未经测试，没有未知风险

Rapid7 AppSec Solutions

Rapid7 应用安全解决方案

AppSpider 是一款动态应用安全测试（DAST）解决方案，可用于扫描 Web 与移动应用中的漏洞。

AppSpider 的核心技术是 Universal Translator（通用转换器），它能够解析现代 Web 与移动应用所使用的新技术（如 AJAX、HTML5 和 JSON），同时也能爬取传统应用。

AppSpider 可部署在本地、托管环境或作为托管服务使用 (sysin)，能够帮助你有效管理应用安全计划，提供深入分析、全面覆盖以及复杂的攻击方法。

AppSpider 的优势包括：

应用程序安全 AppSpider

AppSpider 7.5.027

软件发布日期：2026 年 6 月 30 日｜发行说明发布日期：2026 年 6 月 30 日

🆕 新增功能

• AI 漏洞验证器（Blind NoSQL）：集成基于 AWS Bedrock 的大语言模型（LLM）验证能力，可自动分析并分类基于内容和时间的盲 NoSQL 注入（Blind NoSQL Injection）检测结果，减少人工验证工作量。
• 支持 OpenAPI 3.1 解析：新增对 OpenAPI 3.1 文档中 API 端点的解析支持 (sysin)。
• 更严格的 JSON 解析要求：Swagger 2.0 和 OpenAPI 3.0 的 JSON 格式文档现需符合标准 JSON 规范。

✨ 改进

Application Security 扫描引擎

• Blind NoSQL 稳定性检测：为 BNoSQL03a 路径攻击新增响应稳定性验证循环，可避免因 WAF 中间页或负载均衡响应差异导致的误报。
• 攻击数据定义：更新分析数据配置文件，新增对最新版本 Drupal 的识别支持。
• 爬取结果优化：优化扫描引擎缓存机制，对非活跃的 Crawl Results 保持缓存管理，在控制内存占用的同时提升系统稳定性。

R7 Crawler / Automatic Login Framework（ALF）

🐞 修复

Application Security 扫描引擎

• 反射型 XSS 执行验证：升级跨站脚本（XSS）检测模块，引入基于浏览器的脚本执行验证，可过滤不可执行上下文中的普通反射内容，并将已验证漏洞标记为高可信度（High Confidence）。
• X-Frame-Options 与 CSP frame-ancestors：重构检测逻辑，可同时评估 X-Frame-Options（XFO） 响应头和 Content-Security-Policy（CSP）frame-ancestors 配置，并根据实际防护缺失情况智能生成修复建议。例如，仅配置 CSP 时会建议为兼容旧版 Internet Explorer 增加 XFO；若两者均缺失，则建议同时配置 (sysin)。
• SOAP/WSDL 漏洞检测覆盖：修复结构元素和无参数方法耗尽攻击预算的问题，扫描引擎现可准确分析 WSDL Web 服务中隐藏于字符串参数内的 SQL 注入漏洞。
• SQL 参数检查模块：修复在分析包含等号（=）字符的参数结构时可能导致漏报的问题。
• JavaScript 被动扫描卡顿：修复处理大型静态 JavaScript 文件时，被动 SQL 信息泄露检测可能持续运行数小时的扫描循环异常。
• LLM 限流优化：在 Chatbot 宏执行过程中引入请求限流机制，修复复杂 LLM 应用扫描时因网络超时导致的故障，提高扫描稳定性。

AppSpider v7.5.027 for Windows x64 - released July 2026

更多相关产品：

更多：HTTP 协议与安全