CT
Creepytrixкорпоративный контур
ЗАКРЫТЫЙ ДОСТУП

Вход в панель

Регистрация извне отключена. Учётные записи создаёт владелец сервиса.

CT
Creepytrixконтур проверки Bitrix
ЦЕНТР УПРАВЛЕНИЯ

Проверяйте сайт.
Контролируйте риск.

Два режима запуска: безопасная разведка и полный авторизованный тест.

Разведка: безопасные запросы и определение BitrixПолный тест: может отправлять payload, создавать файлы и менять данные
ЖУРНАЛ ЗАДАНИЙ

История проверок

Автообновление · 30 сек
Проверки ещё не запускались
ИНТЕГРАЦИЯ

API-ключи

Создавайте отдельный ключ для каждой программы. Секрет показывается только один раз и не хранится открытым текстом.

Новый ключ

АКТИВНЫЕ КЛЮЧИ

Подключения

НАСТРОЙКИ ДОСТУПА

Пользователи

Публичной регистрации нет. Владелец и администраторы добавляют коллег вручную.

Добавить коллегу

КОМАНДА

Доступ к сервису

БАЗА ЗНАНИЙ

Как работать с Creepytrix

Практическое руководство по режимам проверки, отчётам и интеграции.

Быстрый стартДва режимаМодулиAPIБезопасность
01

Быстрый старт

  1. Получите письменное разрешение владельца сайта и зафиксируйте границы проверки.
  2. Введите полный URL с протоколом https://.
  3. Начните с «Разведки» и изучите результат.
  4. Для полного теста выберите модуль, подготовьте резервную копию и подтвердите разрешение.
  5. Дождитесь статуса «Завершён» и скачайте JSON-отчёт.

Остановка: у активного задания нажмите «Остановить». Новые модули и запросы запускаться не будут, но уже отправленные запросы отозвать невозможно. Лог сохраняется; неполный JSON-отчёт может быть недоступен.

Восстановление доступа: владелец открывает «Пользователи», нажимает «Сбросить пароль» и передаёт временный пароль коллеге по защищённому каналу. При следующем входе сервис потребует новый пароль.

A

Разведка

Базовый режим для первого прохода. Определяет наличие Bitrix, версию, редакцию, административные маршруты и доступные технические признаки.

  • Не включает агрессивный флаг
  • Не запускает остальные модули
  • Рекомендуется для production
  • Обычно занимает несколько минут
B

Полный тест

Интрузивная проверка. Даже без агрессивного флага отдельные модули могут отправлять формы, проверять пароли, загружать тестовые файлы и payload.

  • Только с явным разрешением
  • Сначала использовать на staging
  • Нужны резервная копия и окно работ
  • Выбирайте конкретный модуль вместо «Все»
СОСТАВ ПОЛНОЙ ПРОВЕРКИ

Что проверяют модули

Recon

Версия, редакция, структура и админ-панель.

Disclosure

Конфигурации, резервные копии, логи и служебные файлы.

Auth

Стандартные учётные данные, сессии, JWT и обход авторизации.

SQLi

Error-, boolean-, union- и time-based SQL-инъекции.

XSS

Отражённый, хранимый, DOM и blind XSS.

Upload

Загрузка файлов, обход расширений, traversal и исполнение.

RCE

Command injection, PHP eval, шаблоны, десериализация и CVE.

XXE / SSRF

XML-сущности, серверные запросы и внутренние сервисы цели.

1C

Обмен с 1С, XML-импорт, утечки и загрузка файлов.

Excel

CSV/DDE/formula injection, макросы и XXE в XLSX.

API

REST, SOAP, GraphQL, IDOR, JWT и mass assignment.

Aggressive

Расширяет проверки реальными попытками эксплуатации.

АВТОМАТИЗАЦИЯ

Подключение API

Поле «Разрешённые цели проверки» относится к сайтам, которые будет проверять ключ, а не к адресу программы-клиента. Укажите * для пассивной разведки любых публичных сайтов: localhost, частные сети, metadata-адреса и опасные порты всё равно блокируются SSRF-защитой. Передавайте ключ в заголовке Bearer. Полный тест требует отдельного scope scan:full и поля authorized: true. Кнопка JSON ↓ скачивает полный машинный отчёт для интеграций. Кнопка PDF ↓ формирует понятный документ с итогом, приоритетами, доказательствами и рекомендациями.

curl -X POST https://creepytrix.wr1.ru/api/v1/scans \
  -H "Authorization: Bearer ctx_live_..." \
  -H "Content-Type: application/json" \
  -d '{"target":"https://example.ru","profile":"recon"}'

Статус: GET /api/v1/scans/{scan_id}. Остановка: POST /api/v1/scans/{scan_id}/cancel с пустым JSON-объектом. JSON: GET /api/v1/scans/{scan_id}/report. PDF: GET /api/v1/scans/{scan_id}/report.pdf. OpenAPI: /api/v1/openapi.json.

ОБЯЗАТЕЛЬНЫЕ УСЛОВИЯ

Безопасность и ответственность

  • Проверяйте только собственные сайты или ресурсы с явным письменным разрешением.
  • Не запускайте полный режим во время пиковых нагрузок.
  • Не передавайте один API-ключ нескольким системам; создавайте отдельные ключи и отзывайте неиспользуемые.
  • Отчёты могут содержать чувствительные пути, версии и фрагменты ответов — ограничивайте доступ.
  • Локальные и приватные IP-адреса через публичный API заблокированы.