Mobil Uygulama Sızma Testi
Android ve iOS uygulamalarınız ile arka uç servisleri için OWASP MASVS tabanlı güvenlik testi.
Hizmetler
Web Uygulama Sızma Testi
Web uygulamanız işletmenizin vitrini ve çoğu zaman en kolay saldırı noktasıdır. Uygulamanızı bir saldırganın izleyeceği yollarla, ama kontrollü ve yetkili biçimde test ediyoruz.
Otomatik tarayıcılar bilinen kalıpları yakalar; ancak bir kullanıcının başka bir müşterinin siparişini görebilmesi veya indirim kodunun sınırsız kullanılabilmesi gibi iş mantığı hatalarını kaçırır. Testlerimizin ağırlığı bu yüzden manueldir.
Kimliği doğrulanmamış ziyaretçi ve farklı yetki seviyelerindeki kullanıcı rolleriyle test yaparız. Böylece hem dışarıdan bir saldırganın hem de kötü niyetli bir kullanıcının neler yapabileceğini görürsünüz.
Neleri test ediyoruz?
- Kimlik doğrulama, parola sıfırlama, çok faktörlü doğrulama ve oturum yönetimi
- Yetkilendirme hataları (IDOR, yatay ve dikey yetki yükseltme)
- SQL, NoSQL, komut ve şablon enjeksiyonları; XSS ve CSRF
- İş mantığı: ödeme, sepet, kupon ve sipariş akışları
- Dosya yükleme, SSRF, XXE ve güvensiz deserialization
- Güvenlik başlıkları, TLS yapılandırması ve hassas veri ifşası
Nasıl çalışıyoruz?
Keşif
Uygulamanın haritasını çıkarır, rolleri, uç noktaları ve kullanılan teknolojileri belirleriz.
Analiz
OWASP WSTG test senaryolarını uygulamanıza uyarlar, otomatik ve manuel testleri birlikte yürütürüz.
Kontrollü istismar
Bulguların gerçek etkisini, veriye ve hizmete zarar vermeden kanıtlarız.
Raporlama ve doğrulama
Düzeltme önerilerini önceliklendirir, düzeltme sonrasında yeniden test ederiz.
Teslim ettiklerimiz
- Yönetici özeti ve risk tablosu
- Ekran görüntüleri ve tekrar adımlarıyla teknik bulgular
- CVSS v4.0 puanı ve OWASP eşleştirmesi
- Geliştiriciye yönelik düzeltme önerileri
Kimler için uygun?
- E-ticaret siteleri ve rezervasyon sistemleri
- SaaS ürünleri ve müşteri panelleri
- Yayın öncesi yeni sürümler
Sık sorulan sorular
Test canlı sistemimi etkiler mi?
Testleri sizinle belirlediğimiz zaman aralığında, servis dışı bırakma saldırısı yapmadan yürütürüz. Mümkünse canlıya yakın bir test ortamı öneririz.
Kaynak koduna ihtiyacınız var mı?
Hayır. Varsayılan yaklaşımımız gri kutu testtir: test hesapları yeterlidir. Kaynak kod erişimi sağlanırsa bazı bulgular daha hızlı ve derinlemesine doğrulanabilir.
Ne kadar sürer?
Uygulamanın büyüklüğüne ve rol sayısına bağlıdır. Küçük bir site için birkaç gün, kapsamlı bir platform için birkaç hafta sürebilir; süreyi teklifte netleştiririz.
İlgili hizmetler
API Sızma Testi
REST ve GraphQL API'leriniz için yetkilendirme, iş mantığı ve veri ifşası odaklı test.
Dış Ağ Sızma Testi
İnternete açık sunucularınız, servisleriniz ve uzaktan erişim noktalarınız için saldırgan bakış açısı.
Saldırganlardan önce siz görün.
Kapsamı birlikte netleştirelim; size uygun testi ve zaman planını içeren yazılı bir teklif hazırlayalım.