Пентест веб-приложений и API

Ручная проверка веб-приложений и API на уязвимости, которые не находят сканеры: ошибки авторизации, бизнес-логика, цепочки из нескольких находок. Методология OWASP WSTG, отчёт с CVSS и доказательствами, покрытие видно в платформе Scoper. Проверяют исследователи, нашедшие CVE в популярном ПО ручным анализом — ещё до эпохи ИИ-инструментов.

Получить расчёт Этапы работ

Паспорт услуги

Объект: Веб-приложения, REST/GraphQL/gRPC API, личные кабинеты, админ-панели, SPA и SSR-фронтенды
Методология: OWASP WSTG, OWASP Top 10, OWASP API Security Top 10, SANS CWE Top 25; оценка риска по CVSS 3.1
Модель: Серый ящик (рекомендуем), чёрный ящик, белый ящик с доступом к коду
Сроки: 2–4 недели для одного приложения, 4–6 недель для платформы
Результат: Отчёт с резюме для руководства, находками, PoC и планом устранения; разбор с командой
Перепроверка: Одна контрольная, в течение 10 рабочих дней после запроса, включена в стоимость

Что проверяем и зачем

Пентест веб-приложения — это контролируемая атака на приложение и его API с целью найти уязвимости раньше злоумышленника, оценить их реальные последствия и получить план исправления. В отличие от сканирования, основную работу выполняют специалисты: они изучают логику приложения, роли пользователей и потоки данных, а затем ищут то, что нельзя описать сигнатурой.

В проект входит инструментальное сканирование (DAST и, при наличии исходного кода, SAST), ручной анализ логики, потоков данных и JavaScript-кода, эксплуатация найденных уязвимостей для подтверждения риска и отчёт, по которому команда разработки может сразу планировать работу. Проверяем фронтенд и бэкенд, включая серверные компоненты и интеграции.

Результат — понимание реального уровня защищённости приложения, приоритизированный перечень проблем и документ, который принимают аудиторы по PCI DSS, ГОСТ Р 57580 и требованиям ФСТЭК.

Классы уязвимостей, которые ищем

Перечень соответствует OWASP Top 10 и OWASP API Security Top 10, но не ограничен ими: самые дорогие находки обычно относятся к авторизации и бизнес-логике, которые в стандартах описаны лишь в общем виде.

Класс	Что именно проверяем	Последствия для бизнеса
Инъекции	SQL, NoSQL, команды ОС, LDAP, шаблоны (SSTI), XXE	Чтение и изменение данных, выполнение кода на сервере
Аутентификация и сессии	Слабые пароли и восстановление, отсутствие защиты от перебора, ошибки MFA, JWT и OAuth	Захват учётных записей, обход входа
Авторизация и разграничение доступа	IDOR, подъём привилегий, обход проверок между ролями и тенантами	Доступ к чужим данным и функциям администратора
Бизнес-логика	Манипуляции с ценой, балансом и скидками, обход лимитов, состояния гонки	Прямые финансовые потери, мошенничество
Клиентская часть	XSS, CSRF, clickjacking, небезопасные postMessage и CORS, секреты в JavaScript	Кража сессий, действия от имени пользователя
Серверные запросы и файлы	SSRF, небезопасная загрузка и обработка файлов, path traversal, десериализация	Доступ во внутреннюю сеть и облачные метаданные, выполнение кода
Криптография и данные	Слабые алгоритмы, предсказуемые идентификаторы, утечки в ответах и логах	Раскрытие персональных и платёжных данных
Компоненты и конфигурация	Уязвимые библиотеки, фреймворки, отладочные интерфейсы, заголовки безопасности	Известные эксплойты, расширение поверхности атаки

Этапы тестирования

Порядок отражает реальный проект. Критические уязвимости сообщаем сразу после подтверждения, не дожидаясь отчёта.

01
Сбор информации об объекте
Изучаем документацию и декомпозируем приложение: выделяем контроллеры и API-методы, строим диаграмму потоков данных, определяем роли и наиболее вероятные сценарии компрометации. Результат — карта функций, по которой далее отслеживается покрытие.
02
Инструментальное сканирование
Определяем версии сторонних компонентов и известные уязвимости в них, запускаем DAST-сканеры и, при наличии кода, SAST. Каждое срабатывание верифицируем вручную: отсеиваем ложные и исправляем неверно определённые уровни риска.
03
Ручной поиск уязвимостей
Основная часть проекта. Фаззинг параметров, поиск инъекций, ошибок разграничения доступа, состояний гонки, слабой энтропии идентификаторов, криптографических и логических ошибок. Отдельно проверяем финансовую логику и фронтенд, включая аудит JavaScript-кода.
04
Эксплуатация и построение цепочек
Подтверждаем находки эксплуатацией и демонстрируем реальный эффект: доступ к данным, выполнение кода, компрометацию сервера. Комбинируем уязвимости и полученные учётные записи в цепочки, чтобы показать путь до чувствительных данных.
05
Отчёт
Описание целей, области, модели нарушителя и угроз; результаты инвентаризации модулей, API-методов и потоков данных; каждая находка с уровнем риска, шагами воспроизведения, PoC и рекомендацией; резюме с оценкой защищённости и статистикой; приоритизированный план устранения.
06
Перепроверка исправлений
После устранения уязвимостей проводим одну контрольную перепроверку в течение десяти рабочих дней с момента запроса в рамках гарантийного срока и выдаём обновлённый отчёт со статусами.

Покрытие видно заказчику

Платформа DeteAct Scoper фиксирует, что именно было проверено. Это ответ на главный вопрос к любому пентесту: «а точно ли смотрели всё?»

О платформе Scoper

Активность специалистов и покрытие по эндпоинтам, параметрам и ролям в реальном времени
Визуализация протестированных функций приложения, включая те, где уязвимостей не найдено
Статистика по количеству запросов, методам и типам проверок на каждом этапе
Подтверждение полноты тестирования для внутренних аудиторов и регуляторов

Что получает компания

Пентест заказывают не ради отчёта. Ниже — результаты, которые обычно важны руководителю ИБ, разработке и бизнесу.

Уязвимости найдены до злоумышленника

Критические проблемы в приложении и API подтверждены эксплуатацией и устранены по понятному плану.

Защита данных клиентов

Проверены пути утечки персональных и платёжных данных через ошибки авторизации, инъекции и утечки в ответах.

Соответствие требованиям

Отчёт принимают по PCI DSS, ГОСТ Р 57580, 152-ФЗ и GDPR; работы выполнены лицензиатом ФСТЭК.

Защита финансовой логики

Отдельно проверяем платежи, балансы, скидки и лимиты — классы ошибок, которые приводят к прямым потерям.

Доверие партнёров и заказчиков

Подтверждённый уровень безопасности для тендеров, due diligence и интеграций с банками и маркетплейсами.

Ясный план для разработки

Каждая находка с приоритетом, шагами воспроизведения и рекомендацией; разбор результатов с командой.

Вопросы о пентесте веб-приложений

Сколько стоит пентест веб-приложения?

Стоимость фиксируется после скоупинга и зависит от числа приложений и API-методов, количества ролей пользователей, наличия исходного кода и требуемой глубины: от проверки одного сервиса в формате «серый ящик» до полного анализа экосистемы с несколькими ролями. Коммерческое предложение с ценой и сроками готовим за один-два рабочих дня.

Сколько длится пентест веб-приложения?

Типовое приложение с API и двумя-тремя ролями проверяется за две-три недели активной фазы плюс до недели на отчёт. Крупные платформы с десятками микросервисов занимают четыре-шесть недель; при необходимости делим работу на этапы по приоритетным модулям.

Чем пентест отличается от сканирования уязвимостей?

Сканер находит известные сигнатуры: устаревшие версии, типовые инъекции, ошибки конфигурации. Пентест выполняют специалисты, которые понимают логику приложения: они находят ошибки авторизации между ролями, манипуляции с ценами и балансами, состояния гонки, цепочки из нескольких низкорисковых находок. Сканирование у нас входит в пентест как один из этапов, а не заменяет его.

Чёрный, серый или белый ящик: что выбрать?

Для большинства веб-приложений оптимален серый ящик: тестовые учётные записи всех ролей и описание функций дают максимум покрытия за выделенное время. Чёрный ящик имитирует внешнего злоумышленника без доступа и полезен как дополнение. Белый ящик с доступом к исходному коду позволяет подтвердить находки и найти то, что снаружи не видно; его мы совмещаем с аудитом кода.

Нужен ли отдельный стенд? Можно ли тестировать продакшен?

Предпочтителен тестовый стенд, идентичный продакшену, с тестовыми данными. Тестирование продакшена возможно: мы согласуем окна, исключаем разрушающие проверки, не трогаем реальные платежи и персональные данные, а нагрузку ограничиваем. Правила фиксируются в договоре.

Подходит ли отчёт для PCI DSS, ГОСТ Р 57580 и 152-ФЗ?

Да. Отчёт содержит область, методику, модель нарушителя, перечень находок с CVSS и статусами, а также подтверждение перепроверки — то, что запрашивают QSA-аудиторы и проверяющие по ГОСТ Р 57580 и требованиям ФСТЭК. Работы выполняются лицензиатом ФСТЭК.

Как вы подтверждаете, что приложение действительно проверено, если уязвимостей не нашли?

Покрытие фиксируется платформой DeteAct Scoper: заказчик видит проверенные эндпоинты, параметры, роли и объём отправленных запросов. В отчёте приводим перечень проверенных функций по OWASP WSTG и использованные методы.

Что происходит при обнаружении критической уязвимости?

Сообщаем в день обнаружения по согласованному каналу, даём временную рекомендацию по снижению риска и, если нужно, помогаем проверить исправление до завершения проекта.

Заказать пентест веб-приложения

Пришлите адрес стенда или описание приложения, список ролей и желаемые сроки. Уточним границы работ, предложим модель тестирования и зафиксируем стоимость в течение одного-двух рабочих дней. NDA подписываем до получения любых данных.

Почта: info@deteact.ru
Телефон: +7 499 444-12-46
Офис: Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия: ФСТЭК России №Л024-00107-00/00581935

Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.