Sprawdzamy aplikację tak, jak zrobiłby to atakujący z kontem użytkownika: czy da się wyjść poza swoje uprawnienia, obejść proces biznesowy i dotrzeć do cudzych danych.
Najczęstsza i najgroźniejsza kategoria. Testujemy z dwoma kontami w każdej roli, bo bez tego nie wykryje się sytuacji, w której użytkownik A widzi dane użytkownika B.
Obejście kroku płatności, ujemne kwoty, wielokrotne użycie kodu rabatowego, cofanie się w procesie. Tego nie znajdzie żaden skaner, bo technicznie aplikacja działa poprawnie.
Limity prób logowania, unieważnianie sesji, reset hasła, drugi składnik, przejęcie konta przez mechanizmy pomocnicze.
SQL, polecenia systemowe, XSS w kontekście HTML i JavaScript, wstrzyknięcia w szablonach i generatorach dokumentów.
Wystawione panele, tryb debugowania, listingi katalogów, kopie zapasowe, nagłówki bezpieczeństwa, komunikaty błędów zdradzające szczegóły.
Wgrywanie plików, ścieżki, pobieranie zasobów z adresów podanych przez użytkownika i dostęp do zasobów wewnętrznych.
Aplikacja webowa jest dostępna dla każdego, kto zna adres, i zwykle jest najbardziej rozbudowanym systemem w firmie. Rośnie latami, przechodzi przez ręce kilku zespołów, a funkcje dokładane pod presją terminu rzadko wracają do przeglądu. Stąd bierze się jej pozycja w statystykach znalezisk.
Największa część poważnych podatności to nie egzotyczne techniki, tylko kontrola dostępu. Aplikacja poprawnie sprawdza, kim jesteś przy logowaniu, a potem zakłada, że skoro widzisz przycisk, to masz do niego prawo. Wystarczy podmienić identyfikator w adresie albo wywołać żądanie, którego interfejs nie pokazuje.
Druga kategoria, całkowicie niedostępna dla narzędzi automatycznych, to logika biznesowa. Możliwość cofnięcia się w procesie zamówienia po zapłacie, zamówienia towaru za ujemną kwotę, wielokrotnego użycia kodu rabatowego. Skaner tego nie zgłosi, bo z technicznego punktu widzenia aplikacja działa dokładnie tak, jak ją napisano. Zgłosi to człowiek, który zrozumiał, do czego ta aplikacja służy.
Dlatego test prowadzimy manualnie, z kontami w każdej roli, a narzędzia traktujemy jako wsparcie przy rozpoznaniu i przy powtarzalnych zadaniach. Raport zawiera kroki reprodukcji dla każdego znaleziska, żeby Wasz zespół mógł je odtworzyć bez zgadywania.
Definiujemy, co testujemy, w jakim trybie i w jakich godzinach. Doprecyzowujemy, co jest poza zakresem.
Pełna poufność na każdym etapie. Znalezione podatności zostają między nami.
Testy manualne wsparte narzędziami. Krytyczne znaleziska zgłaszamy od razu, nie czekamy z nimi do raportu.
Raport z oceną ryzyka, krokami reprodukcji i rekomendacjami. Po wdrożeniu poprawek sprawdzamy je ponownie.
Napisz, co testujemy i ile jest ról użytkownika - odpiszemy w 24 h z wyceną i szacowanym czasem.
Zapytaj o wycenęPozostałe rodzaje testów