Перейти к содержимому
Левицкий Концепт
Инициализация систем000%
Левицкий Концепт

Пентест веб-приложения по OWASP WSTG на заказ

Ручная проверка личных кабинетов, SaaS и внутренних систем: ищем то, что сканер не видит, — ошибки прав и логики.

от 29 900 ₽

стоимость пакетов

2–3 недели

срок типового проекта

4

отраслевых модуля в калькуляторе

В веб-приложении опаснее всего не устаревшая библиотека, а ошибка в правах. Менеджер одного клиента меняет число в адресе заказа и видит чужой заказ. Пользователь с бесплатным тарифом вызывает метод, предназначенный для администратора. Такие дыры не ловит ни один автоматический сканер, потому что для него оба ответа выглядят «нормально».

Пентест — это работа специалиста, который понимает, как устроен ваш продукт. Мы получаем тестовые учётные записи для каждой роли, разбираем, кто что должен видеть, и пытаемся выйти за эти границы: через интерфейс, через прямые запросы к серверу, через подмену идентификаторов и порядок шагов.

Испытываем систему так же, как свои продукты: Auto555 и Homade — многоарендные платформы, где ошибка изоляции означает, что один автопрокат увидит клиентов другого. Поэтому проверке изоляции арендаторов уделяем отдельное время.

Чем пентест отличается от автоматической проверки

Сканер отправляет тысячи типовых запросов и сравнивает ответы с известными шаблонами. Он хорошо находит старые версии и забытые файлы, но не знает, что заказ номер 1042 принадлежит другой компании и его не должно быть видно.

Пентестер сначала изучает продукт как пользователь, составляет карту ролей и действий, а затем целенаправленно ищет нарушения этой карты. Поэтому результат пентеста — несколько десятков осмысленных находок, а не сотни ложных срабатываний.

Какие роли обычно проверяем

Гость

Что доступно без входа: регистрация, восстановление пароля, публичные ссылки на документы.

Обычный пользователь

Свои данные видит, чужие нет; не может повысить себе тариф или права.

Администратор компании

Управляет только своими сотрудниками и не выходит за пределы своей организации.

Оператор платформы

Служебные функции закрыты от всех остальных, действия записываются в журнал.

Калькулятор

Пентест веб-приложения — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

1

Выберите пакет

2

Добавьте нужное

+ 29 900 ₽
+ 34 900 ₽
+ 19 900 ₽
+ 14 900 ₽
от 14 900 ₽ за роль1
от 24 900 ₽ за 50 методов
+ 69 900 ₽
+ 79 900 ₽
+ 49 900 ₽
+ 39 900 ₽
от 24 000 ₽ за 10 ч
+ 14 900 ₽
3

Ваша смета

  • Пакет «Орбита»129 000 ₽
  • Сценарии бизнес-логики29 900 ₽
  • Дополнительные роли пользователей · 1 роль14 900 ₽

Стоимость работ

0 ₽

Срок: 2–3 недели

Счёт сейчас: 86 900 ₽ — предоплата 50%, остаток после приёмки

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Как идёт пентест

  1. День 1

    Периметр и разрешение

    Подписываем договор, фиксируем адреса, роли, окно работ и контакт для экстренной остановки.

  2. Дни 2–3

    Карта приложения

    Проходим все сценарии под каждой ролью, собираем список методов и параметров.

  3. Недели 1–2

    Ручная проверка

    Права, логика, инъекции, файлы, сессии. Критичное сообщаем сразу.

  4. Неделя 3

    Отчёт и разбор

    Созвон с разработчиками: показываем каждую находку и способ исправления.

  5. После исправлений

    Повторная проверка

    Проверяем закрытие и выдаём обновлённый отчёт со статусами.

Пакеты

Пакеты для веб-приложений

Спутник

29 900 ₽

Экспресс-аудит сайта · 1 неделя

  • Внешняя проверка сайта без доступа к коду
  • SSL, заголовки, открытые файлы и панели
  • Версии CMS и плагинов с известными уязвимостями
  • Почта: SPF, DKIM, DMARC
  • Отчёт с приоритетами исправлений

Орбита

129 000 ₽

Пентест веб-приложения · 2–3 недели

  • Ручная проверка по OWASP WSTG
  • До 3 ролей пользователей и 50 API-методов
  • Проверка прав доступа и бизнес-логики
  • Отчёт для руководителя и для разработчиков
  • Повторная проверка после исправлений

Галактика

289 000 ₽

Комплексный пентест: приложение + инфраструктура · 3–5 недель

  • Всё из «Орбиты»
  • Серверы, сеть, облако и резервные копии
  • Анализ исходного кода (white-box)
  • Мобильное приложение или второй сервис
  • Разбор с командой и план защиты на год

Вопросы технического директора

Нужен ли вам исходный код?

Для «Орбиты» нет — работаем методом серого ящика с учётными записями. Код ускоряет поиск причин и входит в «Галактику».

Будете ли вы нагружать сервер?

Нагрузочное тестирование и имитация отказа в обслуживании не входят в пентест и без отдельного согласования не проводятся.

Вопросы и ответы

Частые вопросы

Можно тестировать прямо на рабочей версии?

Можно, но лучше на копии с обезличенными данными. На рабочей версии работаем в согласованное окно, без массовых запросов и без изменения реальных заказов.

Сколько ролей у нас считается?

Роль — это набор прав: гость, клиент, менеджер, администратор компании, суперадминистратор платформы. В «Орбиту» входят три, остальные добавляются опцией.

Отчёт подойдёт для крупного заказчика?

Да. Даём отчёт с методикой, периметром, датами, находками и статусом повторной проверки. Его обычно прикладывают к ответу на анкету безопасности.

Что если найдёте критичную дыру в середине работ?

Сообщаем сразу, не дожидаясь отчёта. Критичные находки обсуждаем с ответственным разработчиком в тот же день.

Помощник по заказуЦены, сроки, оплата, договор — отвечает сразу

Спросите что угодно о заказе: сколько будет стоить ваш проект, что входит в пакет, как платить, какие документы получите.

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →