Идентификаторы сканеров Noroxi
Отправляя запрос на сайт, инструменты Noroxi представляются в заголовке User-Agent. Строки ниже взяты напрямую из констант в коде сканеров; по ним трафик можно найти в журналах, разрешить или заблокировать.
Идентификаторы и что они делают
Чтение страницы
Пассивно · работает без аккаунта
User-Agent
Mozilla/5.0 (compatible; NoroxiTools/1.0; +https://noroxi.com/tools)- Инструмент проверки заголовков читает ответ главной страницы и её HTML (проверки CSP, CORS, SRI и смешанного содержимого). Для проверки CORS в запросе также передаётся заголовок Origin: https://cors-probe.noroxi.com.
- Определение технологий (поиск поверхности атаки, инвентарь доменов в аккаунте) читает главную страницу и проверяет /.well-known/security.txt.
Поиск и подтверждение
Пассивно · проверки поддоменов только при глубоком сканировании
User-Agent
NoroxiTools/1.0 (+https://noroxi.com/tools)- Поиск поддоменов читает их имена из HTML главной страницы.
- Инструмент безопасности почты читает файл политики /.well-known/mta-sts.txt на mta-sts.<домен>.
- Если добавивший домен в аккаунт запрашивает подтверждение, читается файл /.well-known/noroxi-verify.txt.
- При глубоком сканировании и в задаче инвентаря платного плана на найденные поддомены уходит ограниченное число запросов GET и HEAD: признаки захвата поддомена и используется ли имя.
Инструмент SSL/TLS
Пассивно · работает без аккаунта
User-Agent
NoroxiTools/1.0- На адрес http:// уходит один запрос, чтобы проверить перенаправление на HTTPS; читаются только заголовки ответа, тело не загружается.
- Сведения о сертификате и протоколе берутся из рукопожатия TLS; это не HTTP-запрос, поэтому User-Agent в нём нет.
WP Lens (сканер WordPress)
Лёгкое для всех · глубокое только на платных планах с подтверждением полномочий
User-Agent
Mozilla/5.0 (compatible; NoroxiWP/1.0; +https://noroxi.com/wordpress)- Лёгкое сканирование отправляет не более 12 GET-запросов только на чтение: главная страница, пространства имён REST API и общедоступные файлы.
- Глубокое сканирование отправляет не более 52 запросов: версии readme.txt плагинов и открытые файлы резервных копий или журналов. Содержимое файлов не сохраняется, пароли не подбираются.
Сканирование портов
Активно · подтверждение полномочий при каждом сканировании
User-Agent
NoroxiPorts/1.0 (+https://noroxi.com/port-scan)- Перед сканированием на главную страницу уходит один HEAD-запрос с этим идентификатором; если домен за CDN, WAF или хостинг-платформой, сканирование не выполняется.
- Полное подключение к 106 распространённым TCP-портам, одновременно не более 24. TCP-подключение не несёт User-Agent.
- На открытом порту читается приветствие; порт, отвечающий по HTTP, получает один запрос с этим идентификатором.
- Глубокое сканирование (платный план и подтверждение полномочий) отправляет Redis, Memcached, Elasticsearch, Docker и etcd один запрос версии без аутентификации, только на чтение. Без подбора паролей, эксплуатации и сканирования UDP.
Мониторинг сайта
Когда участник Noroxi ставит сайт на мониторинг
User-Agent
NoroxiMonitor/1.0 (+https://noroxi.com/tools)- Один HTTPS-запрос; читаются только заголовки ответа, перенаправления отслеживаются ограниченное число раз. Частота: на бесплатном плане раз в 30 мин, в Pro — раз в 5 мин, в Team — раз в 5 мин.
- Мгновенная проверка на странице мониторинга использует тот же идентификатор.
Запросы к источникам данных (например, crt.sh, Cert Spotter, rdap.org, Cloudflare DNS, hstspreload.org) тоже несут идентификатор NoroxiTools; на ваш сайт они не попадают.
Уважение к цели
- Государственные домены (gov.tr, .gov, .mil, gov.<страна> и подобные) не сканируются никаким инструментом, даже пассивно.
- Домены за CDN, WAF или общей хостинг-платформой не сканируются на порты: видимый адрес принадлежит провайдеру.
- Активные и глубокие сканирования требуют подтверждения «у меня есть полномочия», и оно сохраняется. Одна цель получает не более 10 активных или глубоких сканирований за 24 часа.
- Мы не скрываем свой идентификатор: браузер не имитируется, чтобы обойти WAF с ответом 403; результат помечается как «не виден».
- Адрес заново проверяется при каждом перенаправлении и в момент подключения; запросы во внутренние сети не отправляются.
IP-адреса
Мы не публикуем фиксированный список исходящих IP-адресов. Узнавайте трафик Noroxi по строкам User-Agent выше.
Заблокировать или сообщить
Чтобы заблокировать трафик, добавьте в межсетевой экран правило для этих строк User-Agent. Если вы считаете, что сканирование было без разрешения, напишите нам: укажите домен, дату и время (с часовым поясом) и строку User-Agent из ваших журналов.