Защищённость веб-приложений и API
Ищем уязвимости, через которые злоумышленник читает чужие данные, обходит оплату или получает права администратора. Проверяем вручную по OWASP, с учётной записью и без неё.
- Запрос
GET /api/orders/10482Клиент A - Ответ200 OK: заказ клиента B с именем, телефоном и адресомУтечка
- ПричинаAPI не проверяет, кому принадлежит заказOWASP API1
- ИсправлениеПроверять владельца объекта на сервере при запросеРекомендация
IDOR с оценкой CVSS 7.5, воспроизведено на тестовом стенде
Что проверяем
- Веб-приложения
- Сайты, личные кабинеты, интернет-банкинг, порталы для клиентов и партнёров.
- API
- REST, GraphQL и SOAP: авторизация, доступ к объектам, ограничение запросов.
- Мобильные приложения
- Android и iOS: хранение данных на устройстве, обмен с сервером, защита от анализа.
- Исходный код
- Ручной и автоматический анализ кода, проверка зависимостей и секретов в репозитории.
Фотографии
Фото: Sai Kiran Anagani, CC0; Christopher Bowns, CC BY-SA 2.0; Syced, CC0; Markus Spiske, CC0, Wikimedia Commons.
Модели тестирования
Чёрный ящик
Тестируем как посторонний: без учётной записи и сведений о системе.
Серый ящик
Получаем учётные записи разных ролей и проверяем, может ли одна роль действовать за другую.
Белый ящик
Получаем исходный код и документацию API и находим ошибки, которые снаружи не видны.
Как проходит работа
- 01
Границы
Согласуем адреса, роли, тестовые учётные записи и окно работ. Тестируем на копии или в рабочей среде, по вашему выбору.
- 02
Карта приложения
Изучаем функции, роли, точки ввода данных и вызовы API.
- 03
Тестирование
Проверяем по OWASP ASVS: авторизацию, бизнес-логику, инъекции, загрузку файлов и работу сессий.
- 04
Отчёт
Описываем уязвимости с запросами, ответами и шагами воспроизведения. Разработчикам даём конкретные исправления.
- 05
Перепроверка
После исправлений повторно проверяем найденные уязвимости.
Что вы получаете
- Список уязвимостей с оценкой CVSS и доказательствами.
- Рекомендации для разработчиков на уровне кода и конфигурации.
- Повторную проверку после исправлений.
- Отчёт для руководства и для аудиторов.
Вопросы
Задать свой вопросМожно ли тестировать рабочий сайт?
Да, если согласовать окно работ и исключить проверки, которые меняют данные клиентов. Для глубоких проверок лучше подходит копия на тестовом стенде.
Нужен ли вам исходный код?
Для чёрного и серого ящика код не нужен. С кодом проверка находит больше за то же время, особенно ошибки авторизации и бизнес-логики.
Подходит ли отчёт для проверки по PCI DSS?
Отчёт описывает методику, границы и результаты так, как этого ждут аудиторы. Требования к тестированию согласуем с вашим аудитором заранее.
Обсудить задачу
Опишите задачу и сроки. Мы ответим, уточним границы работ и предложим план.
- Договор. Начинаем с договора и соглашения о конфиденциальности. Границы работ и разрешения фиксируем письменно.
- Границы. Цели, системы, сроки и контакты на случай сбоя согласуем до начала работ.
- Работа. Держим вас в курсе хода работ и сразу сообщаем о критичных находках.
- Отчёт. Передаём отчёт для руководства и технический отчёт с доказательствами и рекомендациями.
Или напишите нам: info@dozorsecurity.kz