Тестирование на проникновение веб-приложений
Контролируемая атака на ваше веб-приложение с упором на ручную работу, такая, какую провёл бы настоящий злоумышленник. Покрытие строим по OWASP Web Security Testing Guide, средства защиты проверяем по OWASP ASVS и собираем реальные цепочки эксплуатации, которые сканеры пропускают.
Что мы тестируем
Покрытие строится на OWASP Web Security Testing Guide (WSTG v4.2). В разделе 4 руководства описаны двенадцать категорий тестов, от аутентификации и авторизации до бизнес-логики и клиентской части. Глубину подбираем под ваши риски и нужный уровень уверенности, в режиме black-, grey- или white-box.
- Аутентификация, управление сессиями и авторизация (нарушение контроля доступа)
- Инъекции, валидация ввода и небезопасная десериализация
- Изъяны бизнес-логики и небезопасный дизайн
- Криптографические сбои и безопасность транспорта
- Небезопасная конфигурация и раскрытие в обработке ошибок
- Проблемы клиентской части (XSS, DOM, postMessage) и точки взаимодействия с API
Методология с упором на ручную работу
Автоматические инструменты полезны для широты охвата, но сам ASVS отмечает, что они не могут проверить более сложные требования или те, что связаны с бизнес-логикой и контролем доступа. Мы ведём работу прежде всего вручную, используя инструменты как подспорье, и следуем выстроенному процессу работ.
- 1
Определение границ и правил работ
Согласуем границы, модель угроз, учётные записи и окно тестирования и подписываем NDA до любого доступа.
- 2
Картирование и перечисление
Картируем приложение, его роли и точки входа, чтобы спланировать покрытие по WSTG для каждой достижимой поверхности.
- 3
Ручное тестирование
Вручную прорабатываем категории WSTG: аутентификацию, авторизацию, инъекции, бизнес-логику и другие.
- 4
Эксплуатация и построение цепочек
Подтверждаем влияние с помощью proof of concept и связываем по отдельности мелкие проблемы в реалистичные цепочки атак.
- 5
Отчёт и бесплатная повторная проверка
Вы получаете отчёт с приоритетами, а после устранения мы без дополнительной платы повторно проверяем исправленные проблемы в срок, указанный в SoW.
Что вы получаете
Та же глубина результата, что и в нашем образце отчёта: краткое резюме плюс полная запись по каждой находке со ссылками, сопоставленными с признанными стандартами, чтобы покрытие можно было проверить.
- Краткое резюме и общий уровень риска для лиц, принимающих решения
- По каждой находке: описание, влияние, доказательства, шаги воспроизведения и исправление
- Уровень риска по CVSS 3.1 с переводом в бизнес-риск
- Ссылки на CWE, идентификатор теста WSTG и соответствующее требование ASVS
- Находки в рамке категорий риска OWASP Top 10 2025
- Бесплатная повторная проверка устранённых проблем в срок, указанный в SoW; итог попадает в обновлённый отчёт или в сводку по повторной проверке
Опирается на признанные стандарты веб-безопасности
Покрытие мы сопоставляем с OWASP WSTG v4.2 и проверяем по OWASP ASVS 5.0.0; учтите, что ASVS 5.0 переосмыслил Level 1, поэтому уровень проверки мы выбираем по риску, а не считаем L1 проходом в режиме black-box. Риск рассматривается в рамке OWASP Top 10 2025, а находки оцениваются по CVSS 3.1 (FIRST также публикует v4.0; применённую версию мы указываем в каждой находке).