Penetrační testy aplikací

Provádíme hloubkové penetrační testy webových, mobilních (iOS, Android), desktopových aplikací a API.

Využíváme metodiku OWASP + vlastní postupy pro maximalizaci kvality testů.

Každý rok provádíme testování 200+ aplikací.

Jaké hrozby pentest aplikace prověřuje?

Penetrační testy aplikací se zaměřují na identifikaci bezpečnostních slabin, které mohou vzniknout nesprávnou konfigurací, chybnými procesy zpracování dat nebo neoptimální implementací. Zvláštní důraz je kladen na odhalení rizik spojených s únikem dat, neoprávněným přístupem, krádeží identity uživatele, eskalací oprávnění a manipulací s citlivými informacemi.

Testování zahrnuje komplexní prověření bezpečnosti všech funkcí, autentizačních a autorizačních mechanismů, obchodní logiky a způsobu práce s daty v rámci testovaných aplikací.

Prověření možnosti úniku dat
Možnosti zavlečení škodlivého kódu
Zneužití nebo krádež identity uživatele
Neoprávněný přístup do systému a k datům

Statická analýza binárního kódu aplikace
Identifikace možností obejití nebo narušení aplikační logiky
Ověření ochrany uživatelských účtů (politika hesel, zamykání účtů, registrační proces, testovací účty)

Nejčastější nálezy

Injection – propašování škodlivého kódu a potenciální vykrádání databází
Nedostatečné zabezpečení uživatelských účtů
Cross-Site Scripting (XSS) – získání přihlašovacích údajů a manipulace s uživatelskými daty

Nedostatečné ověřování uživatelských práv pro kritické akce
Neaktualizovaný software – riziko zneužití známých zranitelností
Přenos citlivých dat nezabezpečeným kanálem nebo jejich ukládání v otevřené formě

Příklad nálezu:

Testované API endpointy webové aplikace odhalily zranitelnost typu error-based SQL injection. Pomocí nástrojů jako sqlmap jsme získali přístup k databázovým strukturám a poté i k tabulce s uživatelskými jmény a hashovanými hesly.

Z analýzy vyplynulo, že aplikace používá zastaralý hashovací algoritmus MD5. Následným crackingem hashů jsme prolomili heslo jednoho z uživatelů. S využitím těchto přihlašovacích údajů jsme se přihlásili do aplikace a získali přístup k citlivým datům spojeným s uživatelským účtem.

Testovací scénáře

Black box

Testování bez znalostí o fungování aplikace, simulující útok zvenčí
Tester nemá přístup k dokumentaci ani zdrojovým kódům
Vhodné pro detekci zranitelností infrastruktury a testování bezpečnosti autorizačního formuláře
Rychlé, efektivní a časově nejméně náročné, ale s omezeným scopem testování

Grey box

Black box test +
Testování aplikace do hloubky z pohledu reálného útočníka, a to jak bez autentizace, tak autentizací
Testerovi je zpřístupněna dokumentace, návody, uživatelské účty do aplikace a support ze strany zadavatele
Optimální forma testování aplikací, kdy se testují všechny vektory útoků
Střední časová náročnost, závisí na komplexnosti aplikace a zvolené metodologii

White box

Grey box test +
Testy s plným přístupem ke zdrojovému kódu aplikace
Potřeba důkladné znalosti zdrojového kódu a vnitřní architektury aplikace
Nejnáročnější z hlediska času a zdrojů, vzhledem k detailnosti a rozsahu testování

Kontaktujte nás

Napište nám na kontaktní formulář a náš specialista se vám ozve do 24 hodin.

Můžeme se společně také sekat v našich kancelářích v Praze nebo Brně.