Тестирование на проникновение
То, что сделал бы злоумышленник, мы делаем первыми.
Ручное тестирование на проникновение по методикам OWASP, PTES и NIST. Сертифицированные пентестеры испытывают ваше веб-приложение, API, мобильное приложение, облако, внешнюю и внутреннюю сеть так, как это сделал бы настоящий злоумышленник. Мы вручную находим ошибки бизнес-логики, цепочки эксплойтов и повышения привилегий, которые автоматические сканеры никогда не обнаруживают, и передаём их в отчёте с доказательствами.
Это не услуга, при которой запускают сканер и выдают PDF. Это дисциплина, имитирующая злоумышленника, который проводит в вашей системе несколько дней, с доказуемыми результатами и повторной проверкой после исправлений.
280+
Проектов пентеста
CVSS3.1
Оценка риска
OSCP/CEH
Сертификаты
nmap -sV -p- target.partnerfy.co
443/tcp open https nginx 1.18.0 — TLS 1.2
22/tcp open ssh OpenSSH 7.4 (legacy)
gobuster dir -u https://target -w common.txt
/admin (Status: 200) [Size: 4821]
/api/v1/users (Status: 401) [Size: 38]
/.git/config (Status: 200) [Size: 263]
sqlmap -u 'target/login' --data 'u=a&p=b'
[INFO] testing 'AND boolean-based blind'
[INFO] parameter 'u' is vulnerable
[CRITICAL] SQL Injection — CVE-2024-XXXX — CVSS 9.8
Цепочка атаки
MITRE ATT&CK
Отчёт о пентесте — уязвимости
RPT-2026-0541
SQL-инъекция в форме входа
CVSS 9.8
CRIT
Слабый секрет JWT — перебор
CVSS 9.1
CRIT
Уязвимость IDOR: /api/v1/users/{id}
CVSS 8.2
HIGH
Хранимая XSS в комментариях
CVSS 7.4
HIGH
Ошибка конфигурации CORS
CVSS 6.1
MED
Отсутствует заголовок HSTS
CVSS 3.7
LOW
FIXED
Проблема
Почему автоматических сканеров недостаточно?
Такие сканеры, как Nessus, Acunetix и OWASP ZAP, полезны, но злоумышленника они не заменяют. Злоумышленник выстраивает цепочки эксплойтов, изучает ваши бизнес-правила и обращает их против вас, отсеивает шум и находит настоящий путь внутрь. Сканер проходит по чек-листу, а пентестер выдвигает гипотезы, применимые именно к вашей системе.
Нет цепочек эксплойтов
Сканер показывает уязвимости по отдельности, а злоумышленник объединяет три уязвимости низкого риска в одну критическую цепочку.
Не видит бизнес-логику
Сканер никогда не обнаружит логическую ошибку вроде «умножить сумму заказа на -1».
Нет творческого подхода
Пентестер выдвигает гипотезы под ваше приложение, а сканер лишь ищет сигнатуры.
Гора ложных срабатываний
В 500-страничном отчёте сканера 70% — это шум. Пентестер вручную проверяет каждое срабатывание.
Не понимает границ доступа
Правило «этот пользователь не должен видеть эту запись» может проверить только тот, кто знает вашу предметную область.
Не обходит CAPTCHA и WAF
Злоумышленник обходит WAF, а сканер останавливается на первом ответе 403.
Нет социальной инженерии
Иногда настоящая точка входа — это письмо по электронной почте. Сканер не может провести фишинговую симуляцию.
Нет проверки сокрытия следов
Злоумышленники заметают следы; заметит ли это ваш SOC, может показать только Red Team.
Визуализация атак
Где уязвимости и насколько они критичны?
По каждому проекту мы сводим результаты в три наглядные схемы: тепловую карту по категориям, чек-лист OWASP Top 10 и шкалу времени «сканирование → обнаружение → исправление → ретест → чисто».
Тепловая карта категорий уязвимостей
Critical
High
Med
Low
XSS
SQLi
Auth
CORS
Crypto
Logic
IDOR
CSRF
SSRF
Upload
Headers
Deps
Каждая ячейка — это категория, а точки показывают количество и критичность уязвимостей. Руководитель сразу видит самую рискованную зону.
OWASP Top 10, редакция 2021
Чек-лист
- A01 Broken Access Control
- A02 Cryptographic Failures
- A03 Injection (SQL/XSS/Cmd)
- A04 Insecure Design
- A05 Security Misconfiguration
- A06 Vulnerable Components
- A07 Identification & Auth Failures
- A08 Software & Data Integrity
- A09 Logging & Monitoring Failures
- A10 SSRF
До и после
Процесс пентеста — сканирование → обнаружение → исправление → ретест → чисто
Каждый этап документируется, а каждая уязвимость после исправления подтверждается бесплатной повторной проверкой.
01
Сканирование
Автоматическая и ручная разведка
02
Обнаружение
Подтверждённые уязвимости
03
Исправление
Рекомендации по исправлению и примеры кода
04
Ретест
Подтверждение закрытия
05
Чисто
Чистый отчёт и сертификат
Для кого?
Кому на самом деле нужен этот пентест?
Пентест обязателен не для каждой компании, но если вы подходите под один из этих профилей, начинать нужно сегодня, а не когда-нибудь. Вот 8 типичных профилей.
Интернет-магазины с приёмом платежей
Данные карт, сценарии 3DSecure, злоупотребление купонами, манипуляции с ценами.
SaaS с данными клиентов
Изоляция арендаторов (multi-tenant), границы прав пользователей, высокий риск IDOR.
Регулируемый финтех
PCI-DSS, требования финансовых регуляторов, GDPR — не менее одного независимого пентеста в год.
Здравоохранение с данными PHI
Данные пациентов, системы записи на приём, защита уровня HIPAA.
Подрядчики госсектора
Перед государственными аудитами требуется независимое подтверждение пентеста.
B2B с API-интеграциями
Партнёрские API, сценарии OAuth, цепочки идентификации.
Мобильные приложения с проверкой App Store
Хранение токенов, обнаружение jailbreak/root, SSL pinning, соответствие MASVS.
Клиенты после инцидента
После взлома: обоснованный ответ на вопрос «открыта ли ещё какая-нибудь дверь?».
Состав услуги
10 направлений пентеста — одна команда
От веба до облака, от мобильных приложений до физической безопасности — одна инженерная команда закрывает всю поверхность атаки. Нужен тест одного приложения — проведём; нужен полноценный Red Team — тоже проведём.
Пентест внешней сети
Все IP-адреса, доступные из интернета, открытые порты, устаревшие сервисы.
Пентест внутренней сети
Изнутри, в роли сотрудника: путь до администратора домена.
Пентест веб-приложений
OWASP Top 10, бизнес-логика, сценарии аутентификации и авторизации.
Пентест API
REST, GraphQL и gRPC; OWASP API Top 10, ограничение частоты запросов, BOLA.
Пентест мобильных приложений
iOS и Android, MASVS, Frida, реверс-инжиниринг.
Пентест облака (AWS/Azure/GCP)
Ошибки настройки IAM, публичные бакеты, IAM в Lambda, RBAC в K8s.
Социальная инженерия
Фишинговые кампании, вишинг, подброшенные USB-накопители — проверка осведомлённости сотрудников.
Физический пентест
Проникновение в офис, клонирование пропусков, проход за сотрудником, доступ в серверную.
Учения Red Team
Полный сценарий: от письма до администратора домена. Заметит ли это ваш SOC?
Ретест после исправления
Бесплатная проверка того, что исправления действительно закрыли уязвимости.
Процесс
Наш метод пентеста из 6 шагов
Каждый проект строится по одной схеме: документ об объёме работ (RoE), разведка, оценка уязвимостей, реальная эксплуатация, отчётность с доказательствами и, наконец, бесплатная повторная проверка.
01
Объём работ и правила тестирования (RoE)
Какие системы, какие сценарии, разрешённые часы и лимиты запросов — всё это подписывается в официальном документе RoE. Рабочая среда или staging, входит ли социальная инженерия — всё решается заранее.
02
Сбор информации (разведка)
OSINT, перебор поддоменов, картирование портов, определение технологий, поиск утёкших учётных данных. Мы снимаем картину поверхности глазами злоумышленника.
03
Оценка уязвимостей
Результаты сканирования вручную фильтруются, проектируются сценарии для бизнес-логики. Каждый результат превращается в гипотезу.
04
Эксплуатация
Гипотезы подтверждаются так, как это сделал бы настоящий злоумышленник: цепочки эксплойтов, повышение привилегий, вывод данных — в этических рамках и с полной фиксацией действий.
05
Отчётность
Резюме для руководства, доказательства по каждой уязвимости, оценка CVSS и приоритизированная дорожная карта исправлений. Разработчики могут дойти до уровня примеров кода.
06
Исправление и повторная проверка
После выпуска исправлений (обычно через 4–8 недель) все уязвимости уровня Critical/High бесплатно проверяются повторно, и их закрытие подтверждается.
Инструменты
Инструменты, которые мы используем в работе
Инструменты важны, но ещё важнее голова, которая ими пользуется. Ручное тестирование всегда идёт впереди сканера.
Burp Suite Pro
OWASP ZAP
Metasploit
Nmap
Nessus
Acunetix
Nuclei
Wireshark
John the Ripper
Hashcat
Cobalt Strike
Postman
ffuf
BloodHound
SQLmap
Frida
MobSF
Kali Linux
Responder
CrackMapExec
Из практики
Несколько реальных уязвимостей, которые мы обнаружили
Имена клиентов мы не раскрываем, но делимся техническими деталями. Каждая уязвимость была закрыта до вывода в рабочую среду или до того, как ею могли злоупотребить.
Электронная коммерция
CRIT
SQL-инъекция до запуска
Слепая SQL-инъекция в поиске товаров: можно было выгрузить всю таблицу заказов. Обнаружена за 4 дня до запуска, код переведён на ORM.
SaaS-продукт
CRIT
Обход аутентификации
JWT принимал «alg:none»: злоумышленник мог войти в любой тенант как администратор.
Мобильный банк
CRIT
Небезопасное хранение токенов
Токен сессии записывался открытым текстом в NSUserDefaults и читался на устройстве с root-доступом. Хранение перенесено в Keychain с биометрией.
API для B2B
HIGH
IDOR — данные другой компании
Эндпоинт /api/invoices/{id} не проверял владельца: по последовательным ID открывались счета конкурентов.
Медицинский портал
HIGH
Неслучайная ссылка для сброса
Токен сброса пароля формировался из epoch + user_id: перебором можно было захватить любую учётную запись.
Корпоративный AWS
MED
Публичный бакет S3
Логи CI/CD записывались в публичный бакет и содержали временные учётные данные БД.
Часто задаваемые вопросы
Самые частые вопросы о пентесте
Автоматический сканер (Nessus, ZAP, Acunetix и др.) работает по сигнатурам: ищет известные шаблоны, большинство его результатов — ложные срабатывания, а ошибки бизнес-логики он не находит никогда. Пентестер, напротив, выдвигает гипотезы под ваше приложение, объединяет три слабых места в критическую атаку, вручную пробует повысить привилегии и подтверждает каждую уязвимость воспроизводимыми шагами. На практике половина из «10 critical» в отчёте сканера — шум, а каждая уязвимость в отчёте о пентесте проэксплуатирована и доказана, поэтому команда разработки может не спорить, а сразу переходить к исправлению.
Все три варианта рабочие и измеряют разное. Black-box (чёрный ящик) начинается с того, что атакующий ничего о вас не знает: это ближе всего к реальной атаке, но дорого по времени и объёму работ. При white-box (белый ящик) тестировщик получает исходный код, схемы архитектуры и административные учётные записи: это самый глубокий тест в пересчёте на час работы, идеальный перед запуском в рабочую среду. Gray-box (серый ящик) находится посередине: обычная учётная запись пользователя и общее представление об архитектуре. Для большинства корпоративных пентестов это самый практичный компромисс, потому что в одном проекте он охватывает модели и внешнего, и внутреннего злоумышленника. Правильный выбор зависит от цели, и мы делаем его вместе с вами на первой встрече.
При правильной организации — нет. В документе Rules of Engagement (RoE) прописаны разрешённые часы, лимиты параллельных подключений, изолированные тестовые учётные записи и запрещённые действия (DoS, безвозвратное удаление данных и т. д.). В большинстве проектов разрушающие проверки (например, перебор, вызывающий блокировку учётных записей, или загрузка полезных нагрузок) выполняются только на staging, а в рабочей среде мы собираем доказательства в режиме только для чтения. План отката есть всегда: снимки перед тестом и дежурный инженер на случай аномалий. Более 280 проектов без единого простоя в рабочей среде, потому что этого требует сама дисциплина.
Всё зависит от объёма работ. На одно веб-приложение обычно уходит 5–10 рабочих дней, на API среднего размера — 7–12 дней, на мобильное приложение — 8–14 дней, на полный сценарий Red Team — 4–8 недель. Кроме того, после выпуска исправлений (обычно в течение 4–8 недель) бесплатная повторная проверка занимает около 2–3 рабочих дней. Длительность определяют три фактора: широта охвата, количество проверяемых ролей и прав и доступность тестовой среды. На первой встрече мы фиксируем объём работ и называем точные сроки в рабочих днях и фиксированную цену, которые потом не меняются.
Отчёт состоит из трёх уровней. Первый — резюме для руководства: 1–2 страницы, нетехническая таблица рисков, количество уязвимостей и общее состояние защищённости. Второй — технические детали: по каждой уязвимости описание, затронутый компонент, шаги эксплуатации со скриншотами, оценка CVSS 3.1 и рекомендуемое исправление (с примерами кода). Третий — приоритизированный план действий: что исправлять первым, а что потом, с учётом ритма ваших спринтов. Весь отчёт передаётся в форматах Markdown и PDF, а после повторной проверки выпускается заново с пометками «remediated». Клиенты напрямую представляют его на аудитах ISO 27001, SOC 2 и PCI-DSS.
Нет. Повторная проверка всех уязвимостей уровней Critical и High из основного проекта включена в стоимость договора. Единственное условие: исправления должны быть развёрнуты в течение 4–8 недель (по договорённости срок можно продлить до 12 недель), а тестируемая среда должна быть доступна. Закрытые уязвимости получают пометку «remediated», открытые попадают в отчёт снова. Это наша гарантия качества: мы не передаём отчёт, чтобы исчезнуть, а остаёмся до полного закрытия. Повторная проверка уязвимостей уровней Medium и Low выполняется по желанию и стоит лишь небольшую долю основного проекта.
В одном проекте мы используем все три. Для веб-приложений — OWASP Top 10 (2021) и OWASP ASVS Level 2, для API — OWASP API Top 10, для мобильных приложений — OWASP MASVS. Методология следует этапам PTES (Penetration Testing Execution Standard): предварительное взаимодействие, сбор информации, моделирование угроз, анализ уязвимостей, эксплуатация, постэксплуатация, отчётность. Для оценки рисков используем CVSS 3.1, а структура отчёта опирается на NIST SP 800-115. Работа соответствует ISO 27001, SOC 2 и PCI-DSS, то есть отчёт имеет ту форму, которую ожидает ваш аудитор. Сочетание трёх стандартов гарантирует и техническую глубину, и готовность к аудиту.
Да, в каждом проекте у ведущего инженера есть как минимум один признанный в отрасли сертификат: OSCP (Offensive Security Certified Professional), OSWE (Offensive Security Web Expert), CEH (Certified Ethical Hacker), CRTP (Certified Red Team Professional) или GPEN (GIAC Penetration Tester). Для мобильных проектов мы также предпочитаем eMAPT, для облачных — AWS Security Specialty или AZ-500. Сертификаты не обязательны, но когда клиент их запрашивает (особенно в тендерах финансового и государственного секторов), мы можем приложить их к закупочной документации. Важнее, чтобы команда выдавала воспроизводимые результаты. Сертификаты на это указывают, но не гарантируют, а мы обеспечиваем и то и другое.
Найдём ваши уязвимости
раньше злоумышленников.
На бесплатной 30-минутной встрече мы вместе составим план пентеста: целевые системы, RoE, сроки и фиксированная цена.