Услуга · Тестирование и QA

Тестирование безопасности

Ищем уязвимости в вашем приложении раньше, чем это сделают снаружи. Проверка идёт по согласованным правилам, в оговорённое время и без разрушающих действий - это не взлом, а контролируемая проверка.

Оставить заявку Что входит

По договору

с письменным разрешением

Без разрушений

щадящий режим

Приоритеты

что чинить первым

Повтор

после исправлений

Что входит

Проверяем то, что чаще всего эксплуатируют: авторизацию, права, ввод данных и зависимости.

Обсудить состав

Проверка авторизации

Обход входа, слабые пароли, некорректное восстановление доступа, время жизни сессий.

Права доступа

Может ли пользователь получить чужие данные, подставив другой идентификатор. Самая частая находка.

Обработка ввода

Внедрение кода в запросы к базе, межсайтовый скриптинг, загрузка файлов.

Зависимости

Библиотеки с известными уязвимостями. В современных проектах их десятки.

Конфигурация

Открытые служебные разделы, отладочные режимы, лишние заголовки, доступные резервные копии.

Отчёт

Находки с оценкой опасности, воспроизведением и рекомендациями по устранению.

Как проходит работа

Проверка типового веб-приложения занимает одну-две недели вместе с отчётом.

Согласование

Письменное разрешение, границы проверки, окно проведения, контакты для связи.

Разведка

Сбор информации о приложении: точки входа, технологии, доступные интерфейсы.

Проверка

Ручная и автоматизированная, в щадящем режиме без разрушающих действий.

Отчёт и повтор

Находки с приоритетами, после исправлений - повторная проверка.

Самая частая находка - доступ к чужим данным по прямой ссылке. Пользователь меняет номер заказа в адресе и видит чужой. Автоматические сканеры это почти не ловят, потому что формально ошибки нет: сервер честно отдаёт то, что попросили. Находится только ручной проверкой.

Частые вопросы

Это законно?

Да, при наличии письменного разрешения владельца системы. Мы работаем строго по договору с обозначенными границами и временем. Проверка чужих систем без разрешения незаконна, и мы такого не делаем.

Не сломается ли приложение?

Мы работаем в щадящем режиме без разрушающих проверок. Тем не менее любое тестирование безопасности несёт риск, поэтому предпочтительно проводить его на копии, а на боевой системе - в согласованное окно с готовой резервной копией.

Чем это отличается от сканера уязвимостей?

Сканер проверяет по базе известных признаков и хорошо находит устаревшие компоненты. Логические ошибки - доступ к чужим данным, обход бизнес-правил, некорректные права - видит только человек. Полноценная проверка сочетает оба подхода.

Другие услуги направления

Всё направление

Проверим приложение на уязвимости

Расскажите, что за приложение и есть ли тестовый контур. Согласуем границы и проведём проверку.

Телефон
+7 (495) 978-63-36

Почта
office@apply.ru

Офис
Москва, Профсоюзная ул., 108

Согласен на обработку персональных данных