Пентест мобильных приложений
Проверка Android- и iOS-приложений: реверс, локальное хранилище, защита трафика и взаимодействие с backend.
Помогаем выпускать мобильное приложение без сюрпризов для безопасности. Проверяем обе стороны: распаковываем приложение и ищем секреты и следы в локальном хранилище, перехватываем трафик и атакуем backend так, как это сделал бы злоумышленник с рутованным телефоном — до того, как это сделает он.
В отчёте по итогам мобильного пентеста — конкретика, а не формальность: где лежат токены и ключи, подменяется ли проверка сертификата, восстанавливается ли чужой пароль через API, какие отладочные эндпоинты остались в коде. Сканеры и стор-ревью такое пропускают — мы находим вручную и показываем, как исправить до релиза.
Что входит в пентест мобильного приложения
- Распаковка и патчинг APK/IPA: анализ кода, обфускации, встроенных секретов и флагов отладки
- Локальное хранилище: keychain/keystore, SharedPreferences, базы SQLite, логи, кэш и временные файлы
- Защита транспорта: TLS, пиннинг сертификатов и возможность его обхода, безопасная работа с токенами
- Backend API, которым пользуется приложение: авторизация, IDOR, избыточные данные в ответах
- Механика платформы: deep links, WebView, экспортируемые компоненты, разрешения, копирование данных в буфер
- Механика восстановления доступа и сессий: можно ли угнать аккаунт через восстановление пароля
Как проходит проект
Скоуп и NDA
Определяем платформы (Android, iOS или обе), роли в приложении и правила тестирования.
Статический анализ
Распаковываем бинарники, анализируем код, конфигурации и хранилище на устройстве.
Динамический анализ
Запускаем приложение в контролируемом окружении, перехватываем и модифицируем трафик, патчим проверки.
Отчёт и демо
Карточки находок с PoC, уровнем риска по CVSS и шагами исправления, демо для команды.
Ретест
Бесплатно проверяем исправления и выдаём финальное заключение.
Что вы получите
- Отчёт для бизнеса и для инженеров с приоритизацией по CVSS
- PoC для каждой находки: репродукция и доказательство влияния
- Рекомендации по защите хранилища, транспорта и API
- Ретест после исправлений включён
- Два месяца поддержки по находкам
Стоимость зависит от платформ и глубины проверки — рассчитываем по объёму и фиксируем после бесплатного скоуп-звонка. Ориентир: полноценный пентест ключевой системы — от 240 000 ₽, 7–10 рабочих дней.