API Sızma Testi
REST ve GraphQL API'leriniz için yetkilendirme, iş mantığı ve veri ifşası odaklı test.
Hizmetler
Mobil Uygulama Sızma Testi
Mobil uygulama kullanıcınızın cebinde çalışır ve tersine mühendisliğe açıktır. Uygulamanın kendisini ve konuştuğu sunucuları birlikte test ediyoruz.
Mobil uygulamalarda en sık karşılaştığımız sorunlar, cihazda şifresiz saklanan veriler, uygulamaya gömülü API anahtarları ve sunucu tarafında eksik yetkilendirme kontrolleridir.
Statik analizle uygulama paketini inceler, dinamik analizle çalışma anındaki davranışı ve ağ trafiğini izleriz. Bulguları OWASP MASVS kontrol gruplarına göre sınıflandırırız.
Neleri test ediyoruz?
- Cihazda veri saklama: anahtar zinciri, paylaşılan tercihler, önbellek ve loglar
- Ağ iletişimi: TLS doğrulaması ve sertifika sabitleme (pinning)
- Kimlik doğrulama, oturum ve biyometrik doğrulama akışları
- Uygulamaya gömülü sırlar, anahtarlar ve hata ayıklama kalıntıları
- Platform etkileşimleri: derin bağlantılar, intent'ler ve WebView kullanımı
- Uygulamanın konuştuğu arka uç API'leri
Nasıl çalışıyoruz?
Statik analiz
APK/IPA paketini inceler, izinleri, kütüphaneleri ve gömülü verileri değerlendiririz.
Dinamik analiz
Uygulamayı test cihazında çalıştırır, trafiği ve çalışma zamanı davranışını gözlemleriz.
Arka uç testi
Mobil istemcinin kullandığı API'leri yetkilendirme ve iş mantığı açısından test ederiz.
Raporlama
Bulguları MASVS'e eşler, geliştirici ekibe platforma özel düzeltme önerileri sunarız.
Teslim ettiklerimiz
- Yönetici özeti
- MASVS kontrol grubu bazında teknik bulgular
- CVSS v4.0 puanları ve tekrar adımları
- Android ve iOS için ayrı düzeltme önerileri
Kimler için uygun?
- Mağazalarda yayında olan uygulamalar
- Ödeme, sağlık veya kişisel veri işleyen uygulamalar
- Oyun ve sosyal uygulamalar
Sık sorulan sorular
Hem Android hem iOS test ediliyor mu?
İstediğiniz platformu ya da ikisini birden test edebiliriz. Ortak arka uç tek sefer test edildiği için ikisi birlikte genellikle daha verimlidir.
Mağaza sürümünü mü test ediyorsunuz?
Tercihen test ortamına bağlanan bir sürümü test ederiz. Gerekirse mağaza sürümü üzerinde yalnızca pasif analiz yaparız.
İlgili hizmetler
Dış Ağ Sızma Testi
İnternete açık sunucularınız, servisleriniz ve uzaktan erişim noktalarınız için saldırgan bakış açısı.
İç Ağ Sızma Testi
Bir saldırgan ağınıza girdiğinde ne kadar ilerleyebilir? Active Directory ve iç sistemler için test.
Saldırganlardan önce siz görün.
Kapsamı birlikte netleştirelim; size uygun testi ve zaman planını içeren yazılı bir teklif hazırlayalım.