Repository navigation
Web Audit and Proxy
把审计目标交给 Agent，由它组织扫描、浏览器和代理，推进到可复查的证据、报告与整改复测。你可以在当前页面唤出悬浮球，也可以从完整对话发起任务；各面板用于查看执行情况和介入处理。
请组织这次预发布应用审计，目标和测试身份以我提供的范围为准。
先读取现有 HAR、JS 与接口资料，梳理业务路径，再选择合适的检查、浏览器和代理工具。
把疑点转成待办，在约定范围内完成验证，并把证据关联到任务。
持续推进到报告与复测计划，输出已核实问题、待验证项和未覆盖内容。
查看已有扫描任务时，可以直接要求“读取我当前任务的状态和发现，继续处理下一项待办”。分析某条代理请求时，提供它的 flow ID、方法和 URL，或把相关内容引用给 Agent。下面说明各环节的输入、结果和界面核对方法。
准备目标环境、允许测试的主机、测试身份和操作限制。已有的接口文档、OpenAPI/Postman 材料、HAR、Burp 日志、JS 文件或代码仓库都可以作为起点。
在线探测必须针对你拥有或获准测试的目标。测试身份的 Cookie、Token 和流量文件可能含业务数据，应按团队数据规则处理。
- 在 任务列表 新建扫描，填写目标与作用域。
- 先选信息收集、安全头、TLS、密钥泄露等与当前目标相符的检查。需要浏览器或 AI 的检查，应先确认对应依赖可用。
- 查看任务状态和事件日志，再逐条核对发现的 URL、证据与修复建议。
- 将疑点转为验证待办，保留请求、响应或页面状态等原始材料。
- 整理报告；整改后在相同范围内复测并比较结果。
让 Agent 创建基础任务时，可明确检查范围：
只对已授权的预发布主机执行 recon、headers、tls、secrets 基础检查。
先核对作用域和限速，不启用全量主动扫描。
完成后按证据整理已核实问题与待验证线索，列出缺失信息。
内置 Check 包括认证、访问控制、上传、注入、XSS、业务逻辑与协议类检查。选择应根据接口和业务证据决定；模糊测试、深度 SQLi 或协议探针可能产生更多请求，需要额外评估允许的方法和影响。
默认浏览器自动化使用隐藏的托管浏览器。侧栏 浏览器 显示正在使用的标签页，打开可查看实时视图，并在需要时接管或归还控制。
建议先完成一个有代表性的路径，例如登录后的查询、详情页或允许的只读操作，再让 Agent 对照页面、DOM 与网络请求判断认证方式和参数含义。浏览器结果应保存为截图、请求 trace 或证据，不要把仍打开的页面当作唯一记录。
只有在需要已经登录的 Chrome/Edge、MFA 或特定当前页面时，才选择附着。先查看附着状态；已有可用连接时复用，不必每一步重新附着。
启动带调试端口的浏览器和真正建立附着连接是两个步骤。需要重启真实浏览器的操作可能关闭用户当前窗口，应先保存草稿并确认影响。已有用户自行启动的调试实例时，应直接连接，避免不必要重启。
真实浏览器附着在同一进程内共享，相关 Agent 工具和成员可能使用同一浏览器。多个角色并行时应约定标签页与控制权，避免争抢。详细行为见浏览器附着技能。
在 被动代理 面板使用 HAR 或 Burp 日志导入，先筛选代表性接口：主机、方法、状态码、内容类型、认证身份与业务路径。查看单条请求与响应，把关键流量关联到 Case 或逆向任务。
导入只是读取已有材料，不表示请求已重新发送。需要重放时，应再次核对目标、身份和写入影响。把一个请求变成可复现材料时，记录必要的上下文，敏感头与正文在交付前脱敏。
- 在代理面板核对监听地址、端口和拦截范围。常用本机地址是
127.0.0.1:8866。 - HTTPS MITM 需要信任 ArgusAI 根证书。界面可安装或卸载根证书；自动信任管理支持 Windows 与 macOS，其他环境需按系统方式配置。
- 启动代理。若启用了系统代理，确认它确实生效；否则手动把测试浏览器的 HTTP/HTTPS 代理指向监听地址。
- 在授权测试浏览器中操作目标，查看流量和被动发现。
- 停止代理，确认系统代理已恢复；测试结束后按环境要求撤销根证书信任。
HTTPS 证书固定、自定义 TLS 栈或某些原生客户端可能拒绝 MITM。不要把拦截失败解释为没有流量或没有问题；必要时先采用导入、日志或其他已获授权的分析方式。
代理 CA 私钥与签发材料保存在数据目录的代理子目录中，不能加入仓库、发给他人或当作普通报告附件。强制结束进程可能来不及恢复系统代理，此时应在系统网络设置中手动恢复。
断点用于观察和调整正在经过的请求。按主机、URL 或方法筛选，匹配请求会挂起，然后可以编辑方法、URL、头或正文，选择放行或丢弃。断点超时会自动放行，仍应在使用后关闭不需要的断点。
改写规则会持续影响匹配请求或响应，包括头、状态码、参数、正文、短路返回或阻断。它需要明确启用，保存规则也是高风险操作。首次验证建议使用隔离测试目标，检查过滤条件，并保留关闭或回滚方案。
CLI 可在一个终端运行代理，在另一个终端控制断点。操作语法见CLI 参考。
- WebSocket 帧以被动方式转发和记录；查看流量详情中的帧信息，不要据此认为已完成 WebSocket 业务验证。
- HTTP/2 的浏览器侧连接可被捕获为流，代理到源站使用 HTTP/1.1；gRPC 二进制正文不会自动变成完整业务解码。
- 请求和响应转发可大于保留的分析正文。捕获存在正文大小与内存预算，旧正文可能被截断或回收；“保存正文”不能恢复未保留的完整文件。
- 被动发现与扫描信号都需要业务复核，特别是认证、访问控制和业务逻辑问题。
将发现与具体请求、响应差异、页面状态和角色条件关联，说明已验证内容与仍待确认的假设。扫描任务可生成 HTML、Markdown、JSON 报告；代理可导出 HAR，单条正文和证据按实际需要另存。
报告中至少交代：测试范围、时间与环境、复现条件、证据引用、影响判断和修复建议。整改后保留同类证据进行复测，不只比较严重性计数。
ArgusAI 文档首页 · 项目仓库 · 达瓦科技