Тестування безпеки вебзастосунку

Ми запускаємо вебзастосунок, який працює з обліковими записами, платежами й завантаженими документами, і перед відкриттям для публіки хочемо незалежну перевірку безпеки. Наші розробники дотримувалися добрих практик, але вони надто близькі до коду, і в них можуть бути сліпі зони. Потрібен фахівець, який подивиться на застосунок очима зловмисника й чесно скаже, де його можна зламати.

Обсяг — базовий пентест вебшару: автентифікація й робота із сесіями, розмежування доступу між ролями, перевірка введення та типові проблеми на кшталт ін'єкцій, міжсайтового скриптингу, небезпечних прямих посилань на об'єкти й слабкостей завантаження файлів. Ми дамо тестові акаунти з різними правами та копію стенду, щоб ніщо не торкалося бойових даних клієнтів. Також хочемо швидкий погляд на заголовки безпеки, прапорці cookie й процес скидання пароля.

Найважливіше — звіт. Нам не потрібне сире вивантаження сканера; потрібно, щоб кожна знахідка була описана зрозумілою мовою, з рівнем критичності, конкретним прикладом експлуатації, можливими наслідками й чіткою рекомендацією щодо усунення. Ідеально — короткий підсумок для керівництва й технічний розділ для розробників. Опишіть вашу методику, орієнтовні терміни й те, як ви відповідально поводитеся з чутливими знахідками.