Web / Application security
Пентест
веб-приложений.
Пентест веб-приложений показывает, может ли атакующий получить чужие данные, захватить аккаунт или обойти правила продукта. Проверяем личные кабинеты, SaaS и внутренние системы до и после входа.
Что проверяем
Исследуем реальные действия пользователя: от регистрации до операций с документами, настройками и данными компании.
- Вход и сессии
- Регистрация, восстановление пароля, смена важных настроек и завершение сессий. Проверяем, можно ли получить или сохранить доступ к чужой учётной записи.
- Права пользователей
- Доступ к чужим документам и операциям. Сравниваем возможности обычного пользователя, администратора и сотрудников разных организаций.
- Бизнес-логика
- Повторное выполнение операций, обход подтверждений и обязательных условий. Проверяем сценарии, в которых корректные запросы приводят к неправильному результату.
- Данные и файлы
- Обработка пользовательского ввода, загрузка файлов, поиск и экспорт. Исследуем, как данные проходят между компонентами приложения.
Когда нужен пентест
- Перед запуском продукта или открытием доступа внешним пользователям.
- После изменения авторизации, ролей, платёжных или других важных операций.
- Перед передачей корпоративному заказчику системы, которая работает с его данными.
- Когда проверка сканером не даёт ответа на вопросы о доступе и бизнес-логике.
Что получите
Отчёт с проверенными сценариями и приоритетами исправлений. Для найденных уязвимостей — условия воспроизведения, доказательства и объяснение возможного ущерба.
- Краткая сводка для руководителя: какие данные и операции затронуты.
- Задачи для разработки: что исправить и как проверить результат.
- Перечень исследованных функций и участков, которые не удалось проверить.
Что нужно для оценки
Для оценки нужны адреса приложений, описание их назначения и список пользовательских ролей. Укажите важные операции: работу с документами, изменение прав, оплату или экспорт данных.
Для проверки после входа потребуются тестовые аккаунты. Среду, разрешённые действия и способ передачи доступов определим до старта. Если продукт уже проверяли, полезны предыдущий отчёт и список изменений.
Обсудим ваше приложение
Расскажите, что делает продукт и когда планируется запуск или обновление. Определим объём, сроки и стоимость проверки.