Веб-пентест · анализ защищённости
Проверю, может ли пользователь получить чужие данные, изменить заказ или попасть в административные функции. Веб-пентест охватывает согласованные сценарии сайта: от регистрации и входа до операций с документами, файлами и оплатой.
Объект проверки
Программа строится вокруг данных и действий пользователей. Вместе определим, какие функции критичны для бизнеса, какие роли должны быть изолированы и что будет считаться подтверждённым риском.
Проверка безопасности интернет-магазина включает корзину, скидки, оформление и отмену заказа, доступ к истории покупок и действия менеджеров. Работу с оплатой проверяем в согласованной тестовой среде или с безопасными ограничениями.
Для личного кабинета важно, какие документы и операции доступны клиенту, сотруднику и администратору. Проверяю регистрацию, восстановление доступа, смену реквизитов, скачивание файлов и границы полномочий каждой роли.
В SaaS и корпоративных порталах проверяю разделение организаций, приглашения участников, совместный доступ, права подрядчиков и административные настройки. Особое внимание — функциям, где несколько пользователей работают с одним объектом.
Состав работ
Состав веб-пентеста фиксируем до начала активных действий. При подготовке программы использую направления OWASP WSTG и сценарии конкретного продукта. Проверка охватывает согласованные функции и роли; ограничения отражаю в отчёте.
Вход, восстановление пароля, многофакторная аутентификация, завершение сессии и поведение после изменения учётных данных.
Доступ к чужим заказам, документам и профилям; разделение обычных пользователей, сотрудников и администраторов.
Обработка пользовательского ввода, взаимодействие с базой данных и безопасное отображение данных в браузере.
Загрузка и скачивание файлов, ограничения путей, импорт по ссылке и риски SSRF в согласованных функциях.
Цены, скидки, лимиты, повторное выполнение операций и обход ожидаемой последовательности действий.
Служебные файлы, подробные ошибки, настройки cookies и HTTP-заголовков, лишние административные интерфейсы.
Как выглядит риск
Пример риска: покупатель входит в свой аккаунт, но приложение разрешает скачать документ другого клиента. Пароль и MFA могут работать корректно, а контроль доступа к самому документу оказывается недостаточным. В отчёте такая находка связывается с конкретной функцией, затронутыми данными и проверкой прав, которую нужно исправить.
Пройдите путь от разведки до доступа к данным и изучите мини-отчёт с рекомендациями.
Попробовать пентест в игреДо старта
Для предварительной оценки достаточно описать систему и задачу. Письменное разрешение, доступы, тестовые данные и ограничения согласуем до активной проверки.
Стоимость
Стоимость пентеста небольшого сайта начинается от 40 000 ₽. Точная цена зависит от функций, пользовательских ролей, числа приложений, интеграций и выбранной глубины. Интернет-магазин с оплатой и ролями менеджеров требует другого объёма, чем небольшой сайт с одной формой.
После брифа фиксируем программу, срок, стоимость, формат отчёта и условия ретеста. Если нужно исследовать одновременно сайт и его API, объединим границы проверки и исключим дублирование одинаковых функций в оценке.
Получить оценкуПеред заказом
Сканер помогает найти известные признаки уязвимостей. Ручная проверка добавляет контекст: кто выполняет действие, какие данные ему принадлежат и как связаны операции. Например, корректность скидки, права на документ и изоляцию клиентов SaaS нужно оценивать с учётом правил самого продукта.
Да, программу можно согласовать для сайта на готовой CMS или собственной разработки. Проверяю доступные функции, роли, расширения и интеграции в выбранных границах. Объём зависит от конфигурации и доработок, поэтому название CMS само по себе не определяет цену.
Работы начинаются после согласования ограничений. Операции, способные менять данные, отправлять сообщения или затрагивать оплату, отдельно обсуждаем. Для потенциально опасных сценариев используем тестовое окружение. Нагрузочные проверки и DDoS в стандартный веб-пентест не входят.
Для black box код не требуется. Grey box обычно использует тестовые аккаунты и описание функций. White box добавляет исходный код и архитектурную документацию. Подход выбираем по цели: внешний взгляд, подробная проверка ролей или анализ критичного компонента.
Список проверенных функций и ограничений, подтверждённые уязвимости, условия воспроизведения, доказательства и влияние на данные или операции. Для команды — рекомендации и приоритеты исправления; для руководителя — краткое резюме. После согласованного ретеста отмечаю статус находок.
Проверка даёт оценку согласованного объёма на конкретный момент. После новых функций, изменения ролей или интеграций могут появиться другие риски. В отчёте явно указываю ограничения и рекомендую, что перепроверить после значимых изменений.
Исполнитель и подход
ExZuperi · Head of Security. Работаю с заказчиками удалённо по России, в том числе с компаниями Челябинска. Обсуждаю критичные находки по согласованному каналу и разбираю рекомендации с командой разработки.
Материалы OWASP помогают систематизировать проверки. Конкретное покрытие, версии компонентов и ограничения фиксируются в программе и итоговом отчёте.
Следующий шаг
Пришлите описание продукта, роли, цель проверки и желаемый срок. Я уточню детали и предложу состав работ.