Projektbeschreibung
ÜbersetztWir starten eine Webanwendung, die Benutzerkonten, Zahlungen und hochgeladene Dokumente verwaltet, und bevor wir sie der Öffentlichkeit zugänglich machen, möchten wir eine unabhängige Sicherheitsüberprüfung. Unsere eigenen Entwickler haben bewährte Praktiken befolgt, sind jedoch nah am Code und könnten blinde Flecken haben. Wir benötigen einen Spezialisten, der die Anwendung aus der Perspektive eines Angreifers betrachtet und uns ehrlich sagt, wo sie angreifbar ist.
Der Umfang ist ein grundlegender Penetrationstest der Webschicht: Authentifizierung und Sitzungsverwaltung, Zugriffskontrolle zwischen Benutzerrollen, Eingangsvalidierung und die üblichen Verdächtigen wie Injection, Cross-Site-Scripting, unsichere direkte Objektverweise und Schwächen beim Datei-Upload. Wir können Testkonten auf verschiedenen Berechtigungsstufen und eine Staging-Kopie bereitstellen, sodass nichts mit echten Kundendaten in Berührung kommt. Wir möchten auch einen kurzen Blick auf Sicherheitsheader, Cookie-Flags und Passwortzurücksetzungsabläufe werfen.
Das wichtigste Ergebnis ist der Bericht. Wir möchten keinen Rohdaten-Scanner-Dump; wir möchten, dass jede Feststellung in einfacher Sprache mit ihrer Schwere, einem konkreten Beispiel, wie sie ausgenutzt wird, der potenziellen Auswirkung und einer klaren Empfehlung zur Behebung beschrieben wird. Eine kurze Zusammenfassung für das Management und ein technischer Abschnitt für Entwickler wären ideal. Bitte teilen Sie uns Ihre Methodik mit, wie lange die Arbeit ungefähr dauert und wie Sie mit sensiblen Feststellungen verantwortungsbewusst umgehen.
Der Umfang ist ein grundlegender Penetrationstest der Webschicht: Authentifizierung und Sitzungsverwaltung, Zugriffskontrolle zwischen Benutzerrollen, Eingangsvalidierung und die üblichen Verdächtigen wie Injection, Cross-Site-Scripting, unsichere direkte Objektverweise und Schwächen beim Datei-Upload. Wir können Testkonten auf verschiedenen Berechtigungsstufen und eine Staging-Kopie bereitstellen, sodass nichts mit echten Kundendaten in Berührung kommt. Wir möchten auch einen kurzen Blick auf Sicherheitsheader, Cookie-Flags und Passwortzurücksetzungsabläufe werfen.
Das wichtigste Ergebnis ist der Bericht. Wir möchten keinen Rohdaten-Scanner-Dump; wir möchten, dass jede Feststellung in einfacher Sprache mit ihrer Schwere, einem konkreten Beispiel, wie sie ausgenutzt wird, der potenziellen Auswirkung und einer klaren Empfehlung zur Behebung beschrieben wird. Eine kurze Zusammenfassung für das Management und ein technischer Abschnitt für Entwickler wären ideal. Bitte teilen Sie uns Ihre Methodik mit, wie lange die Arbeit ungefähr dauert und wie Sie mit sensiblen Feststellungen verantwortungsbewusst umgehen.
Softwareentwicklung Bargeld, Banküberweisung
