Обход авторизации и чужие данные
Смена идентификатора в запросе отдаёт чужой заказ, документ или профиль: проверка прав сделана только в интерфейсе, но не на сервере.
Тестирование на проникновение
Находим уязвимости раньше, чем это сделает атакующий
Проверяем приложение так, как это делает реальный злоумышленник: обходим авторизацию, подменяем параметры, ломаем бизнес-логику. По каждому шагу — воспроизводимый сценарий и рекомендация по исправлению.
Или сразу: +7 (962) 368-39-51 Telegram
OWASP
Top 10 как минимальная планка проверки
ручной
разбор логики, а не только сканер
P1–P4
оценка критичности каждой находки
2 прохода
повторная проверка после исправлений
Что обычно находят на пентесте
Типовые классы уязвимостей в проектах, которые мы тестировали: от интернет-магазинов до корпоративных кабинетов.
Логика платёжных сценариев
Цену, количество или скидку можно изменить на стороне клиента, а сервер доверяет переданному значению — заказ оформляется дешевле.
Утечки через API
Эндпоинты отдают больше полей, чем нужно интерфейсу: внутренние идентификаторы, хеши, стоимость закупки, персональные данные без ограничения выборки.
Загрузка файлов и SSRF
Проверка типа файла обходится подменой заголовка, а серверные запросы по URL пользователя открывают доступ к внутренней сети.
Слабые места админки
Перебор пароля без ограничений, отсутствие второго фактора, предсказуемые ссылки на сброс пароля и восстановление доступа.
Зависимости с известными CVE
Устаревшие пакеты и фреймворки содержат опубликованные уязвимости, которые эксплуатируются автоматическими сканерами в первые дни после раскрытия.
Что входит в пентест
Объём согласуем до начала работ: можно взять только внешний периметр или весь продукт целиком.
Внешний периметр
Проверяем то, что доступно из интернета: сайт, личный кабинет, API, панели администрирования, открытые сервисы.
- Инвентаризация доменов, поддоменов и открытых портов
- Проверка TLS, заголовков безопасности, раскрытия версий
- Поиск доступных извне панелей и служебных эндпоинтов
Веб-приложения
Ручной разбор сценариев использования: регистрация, вход, оплата, личный кабинет, загрузка файлов, поиск и фильтры.
- Инъекции: SQL, NoSQL, командные, шаблонные
- XSS, CSRF, открытые редиректы, кликджекинг
- Нарушения контроля доступа: IDOR, вертикальные и горизонтальные эскалации
- Бизнес-логика: подмена цены, количества, скидки, статуса заказа
API и интеграции
Отдельно проверяем REST и webhooks: именно через них чаще всего утекают данные между системами.
- Аутентификация по токенам, срок жизни и отзыв
- Избыточность ответов и массовое присвоение полей
- Отсутствие ограничений частоты запросов
- Подделка и повтор webhook-уведомлений
Отчёт и перепроверка
Передаём результат в формате, с которым можно работать: разработчику — шаги воспроизведения, руководителю — риски и приоритеты.
- Шаги воспроизведения и доказательства по каждой находке
- Оценка критичности и влияния на бизнес
- Приоритизированный план исправлений
- Бесплатная повторная проверка после фиксов
Как проходит пентест
Работаем на согласованном периметре, в оговорённые окна и с фиксацией всех действий.
-
01 1–3 дня
Согласование правил
Фиксируем периметр, окна проведения, тестовые аккаунты и запрещённые действия. Подписываем соглашение о конфиденциальности.
-
02 2–5 дней
Разведка и анализ
Собираем карту приложения, точки входа и роли. Изучаем логику: что и кому разрешено делать.
-
03 5–15 дней
Эксплуатация
Подтверждаем находки реальной эксплуатацией с минимально необходимым воздействием. Критичное сообщаем сразу, не дожидаясь отчёта.
-
04 1–2 недели
Отчёт и перепроверка
Передаём отчёт, разбираем его с командой, сопровождаем исправления и проверяем фиксы повторно.
Чем пентест отличается от сканирования уязвимостей
Сканер сравнивает версии библиотек и заголовки ответов с базой известных сигнатур. Это полезно, но находит только то, что уже описано. Пентест — это ручная работа человека, который пытается достичь цели: получить доступ к чужому заказу, изменить сумму платежа, выгрузить базу клиентов.
Поэтому в наших отчётах основную ценность несут находки в бизнес-логике и контроле доступа: их не видит ни один автоматический инструмент, и именно они чаще всего приводят к реальным утечкам.
Что нужно подготовить к пентесту
До начала работ нам нужен согласованный периметр и тестовые учётные записи для каждой роли: гость, клиент, менеджер, администратор. Если есть тестовый стенд, максимально похожий на продакшн, — это лучший вариант: тестирование пройдёт без риска для реальных данных.
Если тестового контура нет, работаем на проде в согласованные окна и с ограничениями: не удаляем данные, не выводим систему из строя, не рассылаем письма реальным пользователям. Для критичных операций заранее договариваемся о способе подтверждения.
Как часто нужно проводить тестирование на проникновение
Разумный минимум — один раз в год, а также перед каждым значимым релизом: новая платёжная интеграция, новый личный кабинет, подключение внешнего API меняют поверхность атаки. Если у вас непрерывные релизы, эффективнее сочетать ежегодный пентест с регулярным сканированием и разбором изменений в критичных сценариях.
Для проектов, где требуется соответствие PCI DSS или ISO 27001, периодичность задаётся требованиями стандарта: как правило, не реже одного раза в год и после существенных изменений инфраструктуры.
Частые вопросы
Мы работаем с минимально необходимым воздействием и заранее согласуем запрещённые действия. Опасные проверки, способные повлиять на доступность, выполняются только после отдельного подтверждения и в согласованное окно. По статистике наших проектов воздействие на продакшн ограничивается тестовыми записями, которые мы затем удаляем.
Средний срок для личного кабинета или интернет-магазина — от одной до трёх недель в зависимости от размера функциональности и количества ролей. Простой сайт-визитка проверяется за 2–4 дня, крупная платформа с API и мобильным приложением — от месяца.
Желательно, но не обязательно. Стенд снижает риски и позволяет проверять разрушительные сценарии. При его отсутствии работаем на продакшене в согласованные окна, исключая операции, которые могут повредить данные или пользователям.
Исправить находки в порядке приоритета, начиная с критичных. Мы разбираем отчёт с вашей командой, при необходимости помогаем с исправлениями и после фиксов бесплатно проверяем, что уязвимость действительно закрыта.
Кибербезопасность: другие направления
Смежные задачи, которые обычно решаются в одном проекте с этой.
Нужен пентест вашего продукта?
Опишите периметр и сроки — предложим объём работ и назовём стоимость.