Usługi testów penetracyjnych

Kondycja domeny i DNS

Rejestracja, serwery nazw, bezpieczeństwo email SPF/DKIM/DMARC oraz uzależnienie od urzędu certyfikacji.

Ekspozycja sieciowa

Otwarte porty, wyeksponowane usługi oraz wycieki banerów ujawniające atakującym szczegóły wersji i konfiguracji.

TLS i szyfrowanie

Ważność certyfikatu, słabe protokoły, słabości zestawów szyfrów oraz postawa HSTS we wszystkich punktach końcowych.

Nagłówki bezpieczeństwa

HSTS, CSP, opcje ramki, opcje typu treści oraz pełny zestaw nagłówków bezpieczeństwa odpowiedzi HTTP.

Słabości aplikacji webowej

Wyeksponowane ścieżki administracyjne, wycieki kontroli źródła, strony debugowania, otwarte przekierowania oraz podatności wstrzykiwania nagłówka Host.

Sekrety JavaScript

Zakodowane na stałe klucze API, dane uwierzytelniające chmury oraz wewnętrzne adresy URL przypadkowo wysłane w twoim pakiecie front-endowym. Skanujemy też historyczne migawki.

Problemy specyficzne dla CMS

Znane podatne wtyczki i przestarzałe rdzenie dla instalacji WordPress, Drupal, Joomla i Magento.

Ekspozycja API

Punkty końcowe Swagger i GraphQL pozostawione na produkcji, włączona introspekcja oraz nieuwierzytelniona powierzchnia API.

Przechowywanie chmurowe

Przypadkowo publiczne kubełki S3, GCS i Azure powiązane z twoją marką — częste źródło naruszeń danych.

Ryzyko przejęcia subdomeny

Zwisające rekordy DNS wskazujące na nieodebrane usługi — wektor, którego atakujący używają do podszywania się pod twoją markę.

Wady CORS i uwierzytelniania JWT

Uniwersalne pochodzenia CORS, niebezpieczne wybory algorytmów JWT oraz błędy konfiguracji uwierzytelniania.

Znane CVE

Automatycznie korelowane z wykrytymi przez nas wersjami oprogramowania, krzyżowo sprawdzane z najnowszymi bazami danych podatności.

Błędna konfiguracja CORS

Active i Deep — wykrywa dowolne odbicie pochodzenia, obejście przez null origin oraz wyciek danych uwierzytelniających przez nagłówki CORS.

Wstrzyknięcie CRLF

Active i Deep — testuje wstrzyknięcie nagłówka przez ścieżkę URL i parametry zapytania.

Zatruwanie pamięci podręcznej

Active i Deep — wykrywa niekluczowe odbicie nagłówka potwierdzone przez trafienie pamięci podręcznej przy drugim żądaniu.

Wykrywanie WAF

Active i Deep — identyfikuje Cloudflare, Sucuri, F5, Imperva, Akamai lub nieznany WAF poprzez sondy wzorców ataku.

Ograniczanie częstotliwości

Active i Deep — testuje punkty końcowe logowania i API pod kątem brakującego egzekwowania limitu częstotliwości.

Sonda SSRF

Active i Deep — wstrzykuje adresy URL IMDS chmury (AWS, GCP, Azure) oraz adresy loopback do parametrów i nagłówków podobnych do URL, aby wykryć server-side request forgery.

Wstrzyknięcie HTML i treści

Active i Deep — testuje parametry URL i wartości ciała pod kątem odbitego wstrzyknięcia HTML, wstrzyknięcia atrybutu, wstrzyknięcia CSS oraz wstrzyknięcia kontekstu JavaScript.

Głęboka analiza TLS

Tylko Deep — pełna analiza zestawu szyfrów: SSLv2/DROWN, SSLv3/POODLE, BEAST, SWEET32 (3DES), FREAK/EXPORT, LOGJAM (DHE-EXPORT), wsparcie szyfru NULL oraz brak Perfect Forward Secrecy.

Wstrzyknięcie SQL

Active i Deep — sondy SQLi oparte na błędach, boolean-blind i time-based blind w parametrach URL, polach formularza, nagłówkach i wartościach ciała JSON.

Cross-Site Scripting (XSS)

Active i Deep — testowanie odbitego XSS w wektorach wstrzyknięcia znacznika script, przerwania atrybutu, kontekstu JavaScript oraz DOM sink.

Wstrzyknięcie szablonu (SSTI)

Active i Deep — sondy wstrzyknięcia szablonu po stronie serwera dla silników szablonów Jinja2, Twig, Freemarker, ERB i Pug.

Local File Inclusion (LFI)

Active i Deep — sondy path traversal i LFI przez parametry URL i nagłówki; wykrywa odczyt /etc/passwd, konfiguracji serwera web oraz plików źródłowych aplikacji.

XML External Entity (XXE)

Active i Deep — wstrzyknięcie XXE w punktach końcowych akceptujących XML, testowanie pobierania plików, SSRF przez DTD oraz eksfiltracji out-of-band.

Nadużycie przesyłania plików

Active i Deep — testuje punkty końcowe przesyłania pod kątem obejścia rozszerzenia skryptu, przesyłania z podwójnym rozszerzeniem oraz obejścia typu MIME; potwierdza pobranie, aby zweryfikować ryzyko RCE bez fałszywych pozytywów na trasach catch-all SPA.

HTTP Request Smuggling

Active i Deep — sondy desynchronizacji CL.TE, TE.CL i TE.TE. Porównywane z żądaniami kanarkowymi, aby potwierdzić desynchronizację i zminimalizować fałszywe pozytywy.

Domyślne dane uwierzytelniające

Tylko Deep — testuje wykryte panele administracyjne (Jenkins, phpMyAdmin, Grafana, Adminer, Kibana, Tomcat Manager, Airflow, Traefik, RabbitMQ) pod kątem akceptacji domyślnych lub słabych danych uwierzytelniających.

Zarządzanie sesją

Tylko Deep — analizuje entropię ciasteczek, obecność flag Secure/HttpOnly/SameSite, przewidywalność tokenu sesji oraz ryzyko fiksacji.

Błędna konfiguracja OAuth

Tylko Deep — testuje przepływy OAuth pod kątem brakującego parametru state (CSRF), otwartego redirect_uri oraz niewystarczającej walidacji redirect-URI.

Insecure Direct Object References (IDOR)

Tylko Deep — enumeracja IDOR na punktach końcowych API przy użyciu manipulacji sekwencyjnym ID, zgadywania UUID oraz sond eskalacji uprawnień poziomej.

Głęboka analiza GraphQL

Tylko Deep — nadużycie introspekcji, amplifikacja zapytań wsadowych, eksploatacja głębokości i złożoności zapytań oraz sondy autoryzacji na poziomie pola.

Bezpieczeństwo WebSocket

Tylko Deep — walidacja nagłówka Origin, przechwytywanie WebSocket między witrynami (CSWSH) oraz sondy wstrzyknięcia wiadomości na wykrytych punktach końcowych WebSocket.

Dependency Confusion

Tylko Deep — wykrywa wyeksponowane pliki manifestu pakietów oraz wewnętrzne nazwy pakietów, które mogłyby zostać przejęte w publicznych rejestrach dla kompromitacji łańcucha dostaw.

Prototype Pollution

Tylko Deep — sondy zanieczyszczenia prototypu po stronie klienta przez parametry zapytania i wartości ciała JSON, testowanie łańcuchowania gadżetów do XSS opartego na DOM.