Пентест веб-приложений
Проверяем права доступа, защиту аккаунтов и бизнес-логику веб-приложений и согласованных API. Доказываем, как ошибки влияют на данные клиентов и доступные действия.
01 / ПРОВЕРКА
Пентест — практическая проверка уязвимости в контролируемых условиях. По OWASP WSTG оцениваем аутентификацию, сессии, права доступа, бизнес-логику и API. Находки сканеров подтверждаем вручную; влияние на данные показываем минимально необходимыми доказательствами.
ПРАКТИЧЕСКИЕ СЦЕНАРИИ / TTP
TTP — тактика атакующего, используемые техники и процедуры. Мы анализируем эти подходы и подбираем сценарии под вашу среду и письменно согласованный объём. Связываем результат каждой проверки с практическими рекомендациями по защите.
Проверяем BOLA/IDOR — доступ к чужому объекту — и BFLA — выполнение функции без нужных прав. Серверный контроль оцениваем на тестовых аккаунтах разных клиентов и ролей. Отчёт показывает, какие данные или действия становятся доступны.
Совместно оцениваем SSO, OAuth/OIDC, восстановление пароля и MFA. Проверяем срок токена, его целевую службу и отзыв после выхода. Показываем случаи, когда один слабый процесс снижает защиту всей учётной записи.
В согласованном объёме проверяем параллельные запросы, SSRF, загрузку файлов и границы прокси. Вручную оцениваем ошибки цены, лимитов и последовательности действий, которые сканер может пропустить. Находки сопровождаются условиями воспроизведения и критериями исправления.
02 / РЕЗУЛЬТАТ
Работаем на основании письменного разрешения владельца, договора и соглашения о конфиденциальности. До начала определяем активы, методы, сроки, условия остановки и порядок хранения данных.
Отправьте задачу через CyberTrust. Мы уточним число активов, глубину проверки и ожидаемый результат, а сроки и стоимость укажем в предложении.