Skip to content

v1.3.1

Latest
Latest

Choose a tag to compare

View all tags
@github-actions github-actions released this 23 Jun 15:48
· 1 commit to master since this release
v1.3.1
bd24575

Changelog

Features

  • [feat] 支持在所有请求字段中直接嵌入 mask 表达式（{?...} / {$...}），包括 -u URL、-H Header、--host、--cookie、--path，自动提取 mask 生成字典并在请求构建时替换 {{FUZZ}} 占位符；同时支持显式 -w 搭配 {{FUZZ}} 占位符在任意字段中引用同一字典
  • [feat] 新增 --keys 插件，内嵌 156 条 proton found/keys 模板（覆盖 AWS/GCP/Azure/OpenAI/Slack/GitHub/Stripe 等），-a 自动启用
  • [feat] 增强 extract 系统：新增 severity 分级、上下文捕获（--extract-context）、word matchers 预过滤，新增 9 条 HaE 规则（lfi-indicator/upload-form/url-as-value 等），模板总数 35→45
  • [feat] 新增 ResourceLoader 机制，SDK 场景可控制资源加载行为，避免重复初始化

Bug Fixes

  • [fix] 修复 Handler 处理中 wg 计数不完整导致 crawl-only 模式下提前 drain 的问题
  • [fix] 修复 invalid baseline 跳过 extract 导致敏感数据（keys/recon）丢失的问题
  • [fix] 修复 crawl source baseline 被 BaseCompare 误判为 invalid，导致递归爬虫中断
  • [fix] 修复 RunWithCheck 中 OutputCh 在 pool goroutine 结束前被关闭导致 panic

Dependencies & CI

  • [deps] 升级 proxyclient 至 v1.1.0，更新 chainreactors 全系依赖
  • [ci] 新增 dependabot 自动依赖更新配置

使用示例

# URL 内嵌 mask（等价于 -u http://example.com -w '{$l#3}'）
spray -u 'http://example.com/{$l#3}'

# Header 内嵌
spray -u http://example.com -H 'Token: {$d#6}'

# Host 内嵌
spray -u http://example.com --host '{$l#3}.internal.com'

# Cookie 内嵌
spray -u http://example.com --cookie 'sid={$hex#16}'

# 显式 -w + {{FUZZ}} 占位符（多字段同时替换）
spray -u 'http://example.com/{{FUZZ}}' -w '{$d#6}' -H 'Token: {{FUZZ}}'

# 敏感信息检测
spray -u http://example.com --keys
spray -u http://example.com -a  # advance 模式自动启用 keys

Full Changelog: v1.3.0...v1.3.1

Assets 10
Loading