Одного разу мій клієнт — фінтех-стартап на React та Laravel — втратив $50 000 через IDOR-вразливість: будь-який користувач міг підставити чужий ID у запит та отримати дані про транзакції. Ми виявили це при пентесті, але код уже був у продакшені. Такі випадки — норма, якщо не проводити тестування на проникнення до релізу. Ми спеціалізуємося на пентесті веб-додатків і знаємо, як знайти навіть неочевидні ланцюжки атак. Отримайте консультацію з пентесту — ми оцінимо ризики вашого додатка.
Чому пентест важливіший за аудит?
Аудит безпеки часто обмежується скануванням та чек-листами. Пентест іде далі: ми активно експлуатуємо вразливості, щоб показати реальний вплив на бізнес. Наприклад, SQL-ін'єкція може призвести не лише до витоку даних, але й до повного контролю над сервером. Ми моделюємо дії зловмисника, використовуючи сучасні інструменти та техніки. За даними OWASP, пентест виявляє в 3 рази більше критичних вразливостей, ніж автоматичне сканування.
Як ми проводимо тестування?
Ми використовуємо комбінацію автоматизованих сканерів та ручного аналізу. Ручне тестування дає на 40% більше знахідок, ніж автоматичні сканери, особливо в логіці аутентифікації та бізнес-процесах. Наші інженери мають сертифікати OSCP та GPEN, а також понад 5 років досвіду в пентесті.
Pre-engagement
Перед початком ми підписуємо SoW (Statement of Work) та Rules of Engagement, щоб чітко визначити scope, допустимі методи та час тестування. Це гарантує, що ваші системи не постраждають, а ми не вийдемо за рамки.
Розвідка (OSINT)
Ми збираємо максимум інформації з відкритих джерел: піддомени, DNS-записи, виточені credentials на GitHub, старі версії сторінок через Wayback Machine. Це дозволяє знайти точки входу, які не видно на поверхні.
Сканування та аналіз
Використовуємо Nmap для сканування портів, Burp Suite для аналізу трафіку, Gobuster для перебору директорій. Також перевіряємо JavaScript-файли на наявність API-ключів та внутрішніх ендпоінтів.
# Приклад: пошук піддоменів через crt.sh curl "https://crt.sh/?q=%.example.com&output=json" | jq '.[].name_value' Експлуатація
Ми не просто знаходимо вразливості — ми будуємо ланцюжки атак. Приклад з практики:
- Знайдено SQL injection у параметрі
filterекспорту користувачів. -
sqlmap --os-shell— отримали shell на сервері. - З
.envвитягли AWS-ключі та отримали доступ до S3-бакету з бекапами БД.
Ми перевіряємо IDOR, race conditions, session fixation, SSRF, RCE та інші типові вразливості. Для цього пишемо скрипти на Python або Go, які емулюють атаку з кількох акаунтів.
Приклад ланцюжка атаки на основі OWASP Top 10
- Розвідка -> пошук вразливих ендпоінтів.
- Експлуатація SQLi -> отримання shell.
- Підвищення привілеїв -> доступ до даних.
- Приховування слідів.
Post-exploitation
Після успішної експлуатації оцінюємо можливу шкоду: які дані скомпрометовані (PII, фінансова інформація), чи є шлях до горизонтального переміщення, чи можна закріпитися в системі. Це допомагає бізнесу зрозуміти реальні ризики.
Reporting
Ми готуємо детальний звіт, який включає:
- Executive summary для керівництва з оцінкою ризику та топ-3 знахідками.
- Технічний опис кожної вразливості: PoC, скріншоти, CVSS-оцінка, рекомендації щодо виправлення.
- Дорожня карта: P1 (24–72 год), P2 (1–2 тижні), P3 (наступний реліз).
- Методологія: інструменти, хронологія, що не тестувалося.
Що входить у звіт?
Звіт з пентесту включає executive summary для керівництва, технічну деталізацію з PoC, скріншотами та CVSS-оцінкою, а також дорожню карту виправлень. Ми також додаємо методологію та scope тестування.
Як підготуватися до пентесту?
Перед пентестом визначте scope, підготуйте тестові акаунти та переконайтеся, що у вас є доступ до логів. Важливо узгодити Rules of Engagement та час тестування, щоб не порушити роботу продакшену.
Порівняння типів пентесту
| Параметр | Black Box | Grey Box | White Box |
|---|---|---|---|
| Інформація про систему | Немає | Часткова | Повна |
| Глибина атаки | Низька | Середня | Висока |
| Час (простий сайт) | 3–5 днів | 2–4 дні | 2–3 дні |
| Реалістичність | Повна | Часткова | Низька |
Згідно з OWASP Testing Guide, Grey Box забезпечує найкраще співвідношення глибини та реалістичності.
Терміни та вартість
| Тип додатку | Black Box | Grey Box | White Box |
|---|---|---|---|
| Простий сайт | 3–5 днів | 2–4 дні | 2–3 дні |
| SaaS / маркетплейс | 10–14 днів | 7–10 днів | 5–7 днів |
| Банківське / фінтех | 21–30 днів | 14–21 день | 10–14 днів |
Вартість розраховується індивідуально. Орієнтуйтеся на те, що вкладення в пентест багаторазово окупаються: середня вартість усунення критичної вразливості в 10 разів менша за витрати на ліквідацію наслідків витоку. Замовте пентест зараз і убезпечте свій бізнес.
Наш досвід
Ми провели понад 200 пентестів для компаній з топ-50 РБ, включаючи фінтех, ритейл та державні портали. Наші інженери мають сертифікати OSCP, GPEN, CISSP та понад 5 років досвіду. Гарантуємо конфіденційність усіх даних та повне дотримання NDA.