Описание услуги
Я провожу авторизованное тестирование на проникновение ваших веб-приложений и API и нахожу дыры раньше, чем это сделают настоящие злоумышленники. В основе работы лежит методика OWASP Top 10, но я не ограничиваюсь ей: проверяю нарушения контроля доступа, инъекции, ошибки аутентификации и управления сессиями, подделку серверных запросов, небезопасную десериализацию, злоупотребления бизнес-логикой и те ошибки конфигурации, которые автоматические сканеры молча пропускают. Тестирую как неавторизованную, так и авторизованную поверхность, работаю из-под нескольких ролей, чтобы наглядно показать, где обычный пользователь дотягивается до админской функции или читает чужие данные. Каждый запрос осмыслен, залогирован и обратим, потому что я работаю только этично и строго в согласованных границах.
Вы получаете не сырую выгрузку сканера, а приоритизированный отчёт, с которым разработчик может начать работать в тот же день. У каждой находки есть понятная критичность, объяснение реального ущерба человеческим языком, воспроизводимый proof-of-concept и конкретные шаги устранения, написанные под ваш стек, а не скопированные из шаблона. Я отделяю то, что эксплуатируется прямо сейчас, от того, что просто выглядит неаккуратно, чтобы команда тратила силы там, где это действительно снижает риск. О критических проблемах сообщаю сразу после подтверждения, не дожидаясь готового отчёта.
Когда команда выкатит исправления, я перепроверяю каждую проблему и подтверждаю, что она действительно закрыта, а не спрятана, и заодно смотрю, не открыла ли заплатка что-то новое рядом. На выходе у вас приложение, которое атаковали намеренно, в контролируемых условиях, и укрепили против тех приёмов, что реально важны. В работу обычно входит:
— Согласование границ и правил до отправки первого запроса
— Тестирование под несколькими ролями, с авторизацией и без
— Proof-of-concept по каждой подтверждённой уязвимости
— Приоритизированный отчёт с рекомендациями под ваш стек
— Бесплатная перепроверка исправлений в оговорённый срок
Вы получаете не сырую выгрузку сканера, а приоритизированный отчёт, с которым разработчик может начать работать в тот же день. У каждой находки есть понятная критичность, объяснение реального ущерба человеческим языком, воспроизводимый proof-of-concept и конкретные шаги устранения, написанные под ваш стек, а не скопированные из шаблона. Я отделяю то, что эксплуатируется прямо сейчас, от того, что просто выглядит неаккуратно, чтобы команда тратила силы там, где это действительно снижает риск. О критических проблемах сообщаю сразу после подтверждения, не дожидаясь готового отчёта.
Когда команда выкатит исправления, я перепроверяю каждую проблему и подтверждаю, что она действительно закрыта, а не спрятана, и заодно смотрю, не открыла ли заплатка что-то новое рядом. На выходе у вас приложение, которое атаковали намеренно, в контролируемых условиях, и укрепили против тех приёмов, что реально важны. В работу обычно входит:
— Согласование границ и правил до отправки первого запроса
— Тестирование под несколькими ролями, с авторизацией и без
— Proof-of-concept по каждой подтверждённой уязвимости
— Приоритизированный отчёт с рекомендациями под ваш стек
— Бесплатная перепроверка исправлений в оговорённый срок
