Пентест веб-приложений и API
Тестирование на проникновение сайта, портала или API: ручная эксплуатация уязвимостей по методологии OWASP — не только автоматические сканеры.
Помогаем компаниям находить уязвимости в сайте, портале или API раньше злоумышленников. Проводим пентест веб-приложения как контролируемую атаку этичных хакеров: проверяем гипотезы вручную, безопасно эксплуатируем находки и показываем, какой ущерб реально может нанести атакующий — от утечки базы клиентов до полного захвата учётных записей.
Отдельно закрываем то, что пропускают сканеры, — сбои бизнес-логики: обход оплаты, доступ к чужим заказам, эскалация прав обычного пользователя до администратора. Именно такие уязвимости приносят бизнесу основные потери, поэтому ручная проверка — основа нашего пентеста. По итогам вы получаете понятный план: что чинить в первую очередь и как.
Что входит в пентест веб-приложения
- Карта атаки по OWASP Top 10 и OWASP API Top 10: инъекции (SQL, NoSQL, шаблонов), XSS, SSRF, XXE, десериализация недоверенных данных
- Логика авторизации и доступа: IDOR, обход прав, горизонтальная и вертикальная эскалация привилегий
- Аутентификация и сессии: восстановление пароля, токены, фиксация сессий, политика паролей и MFA
- Бизнес-логика: обход оплаты, отрицательные количества, гонки запросов, лимиты и купоны
- REST и GraphQL API: избыточные данные в ответах, отсутствие ограничений на частоту запросов, массовое присваивание
- Конфигурация окружения: заголовки безопасности, TLS, версии сервисов, панели администрирования, резервные копии в открытом доступе
Как проходит проект
Скоуп и NDA
Согласуем цели, границы тестирования и правила атаки. Подписываем NDA и договор — фиксируем сроки и смету.
Разведка и сканирование
Собираем информацию о приложении и технологиях, прогоняем автоматические сканеры, формируем карту векторов атаки.
Ручная эксплуатация
Проверяем гипотезы вручную: подтверждаем реальные уязвимости, строим цепочки атак, оцениваем влияние на бизнес.
Отчёт и демо
Executive summary для руководства, технические карточки находок с PoC и планом исправлений. Онлайн-демо для вашей команды.
Ретест
После того как вы закроете находки, бесплатно проверяем исправления и выдаём финальное заключение.
Что вы получите
- Отчёт с приоритизацией по CVSS: что чинить первым и почему
- Доказательство эксплуатации (PoC) для каждой находки
- Конкретные рекомендации по исправлению — без общих слов
- Демо для команды разработки с разбором сценария взлома
- Ретест после исправлений и финальное заключение — можно показать клиентам, банку или инвестору
- Два месяца поддержки по находкам: отвечаем на вопросы разработчиков
Стоимость — от 240 000 ₽ за одно приложение или API, срок 7–10 рабочих дней. Точная смета фиксируется после бесплатного скоуп-звонка и не меняется в процессе.