# Пентест веб-приложений — DESTINY

Источник: [https://destiny.by/web-pentest.html](https://destiny.by/web-pentest.html)

Обновлено: 2026-10-31

Web / Application security

## Пентест *веб-приложений.*

Пентест веб-приложений показывает, может ли атакующий получить чужие данные, захватить аккаунт или обойти правила продукта. Проверяем личные кабинеты, SaaS и внутренние системы до и после входа.

[Посмотреть пример находки](https://destiny.by/report-example.html#web-example)

## Что проверяем

Исследуем реальные действия пользователя: от регистрации до операций с документами, настройками и данными компании.

- **Вход и сессии:** Регистрация, восстановление пароля, смена важных настроек и завершение сессий. Проверяем, можно ли получить или сохранить доступ к чужой учётной записи.
- **Права пользователей:** Доступ к чужим документам и операциям. Сравниваем возможности обычного пользователя, администратора и сотрудников разных организаций.
- **Бизнес-логика:** Повторное выполнение операций, обход подтверждений и обязательных условий. Проверяем сценарии, в которых корректные запросы приводят к неправильному результату.
- **Данные и файлы:** Обработка пользовательского ввода, загрузка файлов, поиск и экспорт. Исследуем, как данные проходят между компонентами приложения.

## Когда нужен пентест

- Перед запуском продукта или открытием доступа внешним пользователям.
- После изменения авторизации, ролей, платёжных или других важных операций.
- Перед передачей корпоративному заказчику системы, которая работает с его данными.
- Когда проверка сканером не даёт ответа на вопросы о доступе и бизнес-логике.

## Что получите

Результат

Отчёт с проверенными сценариями и приоритетами исправлений. Для найденных уязвимостей — условия воспроизведения, доказательства и объяснение возможного ущерба.

- Краткая сводка для руководителя: какие данные и операции затронуты.
- Задачи для разработки: что исправить и как проверить результат.
- Перечень исследованных функций и участков, которые не удалось проверить.

[Посмотреть пример находки](https://destiny.by/report-example.html#web-example)

## Что нужно для оценки

Для оценки нужны адреса приложений, описание их назначения и список пользовательских ролей. Укажите важные операции: работу с документами, изменение прав, оплату или экспорт данных.

Для проверки после входа потребуются тестовые аккаунты. Среду, разрешённые действия и способ передачи доступов определим до старта. Если продукт уже проверяли, полезны предыдущий отчёт и список изменений.

## Обсудим ваше приложение

Расскажите, что делает продукт и когда планируется запуск или обновление. Определим объём, сроки и стоимость проверки.