S—01
Безопасность приложений
Мы тестируем приложения так, как ими воспользовался бы злоумышленник: как клиент, как другой арендатор, как анонимный посетитель. В центре внимания — то, что пропускают сканеры: нарушения контроля доступа и бизнес-логики.
01Скоуп
Что мы тестируем.
- 01Аутентификация, сессии и восстановление пароля
- 02Контроль доступа между пользователями, ролями и арендаторами
- 03Бизнес-логика: платежи, лимиты, процессы
- 04Инъекции: SQL, команд, шаблонов и другие
- 05REST и GraphQL API, включая недокументированные эндпоинты
- 06Клиентская сторона: XSS, CSRF, CORS, открытые редиректы
- 07Работа с файлами, SSRF и интеграции
- 08Telegram-боты и их бэкенд
02Процесс
Как проходит проект.
- 01
Скоуп и разрешение
Согласуем цели, правила проведения работ и сроки. Без подписанного разрешения ничего не трогаем.
- 02
Разведка
Определяем, что видно и доступно извне, и решаем, с чего начал бы реальный злоумышленник.
- 03
Эксплуатация
Вручную подтверждаем, что действительно эксплуатируется. Непроверенные результаты сканеров в отчёт не попадают.
- 04
Отчёт и повторная проверка
Отчёт с оценкой рисков, шагами воспроизведения и исправлениями, созвон с разбором и повторная проверка после исправлений.
03Результаты
Что вы получаете.
- 01Краткое резюме для руководства простым языком
- 02Технические находки с уровнем риска, доказательствами и шагами воспроизведения
- 03Конкретные рекомендации по исправлению каждой уязвимости
- 04Созвон с вашей командой для разбора отчёта
- 05Бесплатная повторная проверка после исправлений и обновлённый отчёт