Kybernetická bezpečnost • Penetrační testy

Penetrační test webové aplikace

Nespoléháme na automatizované skenery. Každý test vede certifikovaný pentester, který chápe jak aplikace funguje a hledá chyby tam, kde skript nic nenajde. Aplikaci procházíme ručně, funkci po funkci stejně jako reálný útočník. Z pohledu nepřihlášeného návštěvníka i přihlášeného uživatele zkoumáme, jestli jdou obejít pravidla, na kterých aplikace stojí.

Konzultace zdarmaUkázka reportu

Testy webových aplikací

Nespoléháme na automatizované skenery. Skener neví, že objednávka nemá jít odeslat se zápornou cenou, my ano. Každý test vede certifikovaný pentester, který chápe, jak aplikace funguje, a hledá chyby tam, kde skript nic nenajde.

Aplikaci procházíme ručně, funkci po funkci, stejně jako reálný útočník. Z pohledu nepřihlášeného návštěvníka i přihlášeného uživatele zkoumáme, jestli jdou obejít pravidla, na kterých aplikace stojí.

Testujeme systematicky dle metodiky OWASP WSTG a pokrýváme všech 12 oblastí od sběru informací po business logiku. Každý nález dostane CVSS 4.0 skóre a konkrétní proof of concept. Na každém projektu pracují minimálně dva testeři s certifikacemi OSCP, OSWP a CEH.

Tato křížová kontrola nálezů eliminuje slepá místa. Zaměřujeme se na autorizaci, role a business logiku, tedy na nejčastěji zneužívané oblasti. Na konci získáte report s reprodukovatelnými PoC a doporučeními přímo pro vývojáře.

Rozsah testování

Pokrýváme celou metodiku OWASP WSTG.

  1. Průzkum a konfigurace

    Technologie, skryté endpointy, administrační rozhraní, chybné konfigurace a TLS.

  2. Autentizace a relace

    Hesla, brute-force, 2FA, reset hesla, cookies, expirace a CSRF.

  3. Autorizace

    IDOR, eskalace oprávnění a obcházení autorizace — nejčastěji zneužívaná oblast.

  4. Validace vstupů

    SQL injection, XSS, template a command injection, XXE i GraphQL.

  5. Business logika

    Obcházení workflow, manipulace s cenami a limity, race conditions.

  6. Klientská strana

    DOM XSS, CORS, clickjacking, nebezpečná přesměrování a únik dat v chybách.

Cena testu

U webové aplikace cenu tvoří počet rolí, obrazovek a funkčních toků, které je potřeba projít.

Orientační cena od

140 000 Kč

Typická délka testu

1-3 týdny

Co určuje cenu

  • Počet uživatelských rolí a oprávnění k prověření
  • Rozsah aplikace - počet obrazovek, formulářů a funkčních toků
  • Napojené API a integrace třetích stran
  • Režim black box vs. grey box (přístup ke zdrojovému kódu, dokumentaci)
  • Prostředí (produkce vs. staging) a zahrnutý retest

TrustScope — spočítejte si cenu sami

TrustScope je naše interaktivní kalkulačka penetračních testů. Vyberete typ testu, rozsah a režim přístupu a během pár minut vidíte, jak se cena skládá — bez obchodního tlaku.

Spočítat cenu v TrustScope

Nejčastější zranitelnosti

  • Broken Access Control 15,0 %
  • Security Misconfiguration 12,2 %
  • Supply Chain Failures 10,9 %
  • Cryptographic Failures 9,5 %
  • Injection (SQLi, XSS, SSTI) 8,1 %
  • Broken Authentication 7,2 %
  • Business Logic Flaws 6,3 %
  • Sensitive Data Exposure 5,4 %
  • SSRF 4,1 %
  • Insecure Deserialization 3,2 %

Časté otázky k penetračním testům

Co od vás potřebujeme?

Testovací účty pro vybrané role (nejběžnější, nejvyšší a nejnižší oprávnění). Rozsah — URL a domény aplikace a které funkce jsou v rozsahu. Prostředí — ideálně produkce a whitelist naší IP u WAF / SOC. Kontakt pro rychlou koordinaci v případě kritického nálezu.

Jaký je rozdíl proti automatickému skenu?

TODO: odpověď ve Figmě chybí.

Co je chyba v business logice?

TODO: odpověď ve Figmě chybí.

Potřebujete přístup ke zdrojovému kódu?

TODO: odpověď ve Figmě chybí.

Testujete i na produkci?

TODO: odpověď ve Figmě chybí.

Dejte nám vědět!

Domluvte si bezplatnou konzultaci, navrhneme rozsah testu přesně na míru vaší aplikaci a do 24 hodin pošleme nabídku.

Související testy