Аудит безопасности сайта
Мы ежедневно сталкиваемся с последствиями взломов: утекшие базы данных, дефейс сайта, кража платежных данных. SQL-инъекция в параметре id, XSS через поле отзыва, подбор пароля к админке — это не теория, а реальные бреши, которые мы закрываем. По данным OWASP, 43% уязвимостей в веб-приложениях связаны с SQL-инъекциями, а 22% — с XSS. Наш аудит безопасности сочетает автоматическое сканирование и ручной пентест. Результат — приоритизированный список уязвимостей с конкретными шагами по их устранению. Оцениваем проект за 1 день — свяжитесь для консультации. За 7 лет работы мы провели более 50 аудитов, каждый из которых предотвращал потенциальные угрозы.
OWASP Top 10 определяет 10 наиболее критичных угроз для веб-приложений.
OWASP Top 10: что ищем
Каждое приложение мы проверяем по методологии OWASP. Основные категории уязвимостей:
- A01: Broken Access Control — можно ли получить доступ к чужим данным? Подмена параметров, обход прав.
- A02: Cryptographic Failures — хранение паролей в открытом виде, отсутствие HTTPS, слабые алгоритмы.
- A03: Injection — SQL, NoSQL, OS Command. Тестируем все входные точки приложения.
- A04: Insecure Design — логические ошибки в бизнес-процессах, например, сброс пароля без подтверждения.
- A05: Security Misconfiguration — открытые директории, дефолтные учетки, лишние сервисы.
- A07: Identification and Authentication Failures — слабая аутентификация, отсутствие rate limiting, предсказуемые токены.
85% проектов содержат хотя бы одну XSS-уязвимость, а 60% — проблемы с аутентификацией (по данным нашей статистики).
Почему автоматические сканеры упускают 20% уязвимостей?
Автоматические инструменты, такие как OWASP ZAP, Nikto, Nuclei, отлично находят известные CVE и типовые инъекции. Но они бессильны против логических ошибок. Например, IDOR — когда пользователь получает доступ к чужим данным, просто подменив ID в URL. Или бизнес-уязвимость: можно ли оформить заказ с отрицательной суммой? Сканер этого не поймёт. Поэтому мы всегда дополняем автоматику ручным тестированием.
Вот пример быстрой автоматической проверки:
# Комплексное сканирование OWASP ZAP, Nikto, Nuclei docker run -v $(pwd):/zap/wrk/:rw ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t https://mysite.com -r zap-report.html -a nikto -h https://mysite.com -output nikto-report.html -Format htm nuclei -u https://mysite.com -severity critical,high -o nuclei-results.txt Как мы ищем SQL-инъекции и XSS вручную?
Ручное тестирование начинается с анализа всех входных точек. Для SQL-инъекций мы проверяем параметры запросов, POST-данные, заголовки. Используем символ ' для провокации ошибки, а затем пытаемся извлечь данные. Пример проверки:
GET /users?id=1' # Если сервер возвращает 500 — уязвимость GET /search?q=1' OR '1'='1 Для XSS мы пробуем внедрить скрипты в поля форм, URL-параметры и заголовки:
<script>alert(1)</script> "><img src=x onerror=alert(1)> javascript:alert(1) Каждая находка документируется с PoC (proof of concept) и CVSS-оценкой.
Как мы тестируем аутентификацию и управление сессиями?
Мы проверяем стойкость паролей, наличие rate limiting на login, валидность токенов и защиту от перебора. Например, если сервер не блокирует аккаунт после 5 неудачных попыток — это уязвимость. Также тестируем механизм сброса пароля: можно ли перехватить ссылку или подменить токен.
Что входит в аудит безопасности сайта
| Этап | Что делаем | Результат |
|---|---|---|
| Анализ архитектуры | Изучаем схему потоков данных, точки входа, стэк | Техническая схема с зонами риска |
| Автоматическое сканирование | Используем ZAP, Nuclei, Nikto, sqlmap | Отчёт инструментов с первоначальными находками |
| Ручное тестирование | SQLi, XSS, IDOR, аутентификация, business logic | Детальный отчёт с PoC и CVSS |
| Проверка Security Headers | CSP, HSTS, X-Frame-Options, Permissions-Policy | Чеклист настроек |
| Подготовка отчёта | Приоритизированный список уязвимостей | PDF/XLS с рекомендациями |
| Повторная проверка (опц.) | После исправлений проверяем устранение | Фиксация закрытия |
Сравнение методов: ручной и автоматический
| Метод | Покрытие | Примеры находок | Время |
|---|---|---|---|
| Автоматический | 80% известных CVE | SQLi, XSS, открытые порты | Часы |
| Ручной | +15% уникальных уязвимостей | IDOR, бизнес-логика, bypass аутентификации | Дни |
| Комбинированный | 95% типовых уязвимостей | Полный спектр | 3–7 дней |
Security Headers: чеклист настроек
Неверная конфигурация заголовков безопасности — одна из самых частых проблем. Вот эталонные настройки для Nginx:
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'nonce-{RANDOM}'; style-src 'self'; img-src 'self' data: https://cdn.mysite.com; frame-ancestors 'none';" always; add_header X-Frame-Options "DENY" always; add_header X-Content-Type-Options "nosniff" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always; add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always; add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; Мы проверяем заголовки с помощью Mozilla Observatory, а также анализируем CSP на предмет возможных bypass-векторов.
Пример отчёта: критическая уязвимость
В финальном отчёте каждая находка имеет приоритет. Пример:
### CVE-001: SQL Injection в /api/search - CVSS: 9.8 (Critical) - Вектор: Параметр `q` не санируется, возможно извлечение всей БД - PoC: `GET /api/search?q=1' UNION SELECT table_name FROM information_schema.tables--` - Исправление: Параметризованные запросы Типичные ошибки безопасности, которые мы часто встречаем
- Использование устаревших библиотек с известными CVE.
- Хранение паролей в открытом виде или с MD5.
- Отсутствие CSP и HSTS.
- Чрезмерное доверие к пользовательскому вводу (SQLi, XSS).
- Открытые панели управления (PHPMyAdmin, Jenkins) с дефолтными учетками.
Сроки и как заказать
Стандартный аудит среднего веб-приложения занимает 3–7 рабочих дней. Для микросервисных архитектур и highload-проектов срок увеличивается. Мы гарантируем конфиденциальность и подписываем NDA. Оценим ваш проект бесплатно за 1 день — свяжитесь для консультации. Закажите аудит под ключ и получите детальный отчёт с рекомендациями по исправлению. Наши клиенты экономят до 40% на исправлении уязвимостей благодаря раннему выявлению.
При проверке мы опираемся на OWASP Testing Guide и используем Mozilla Observatory для оценки заголовков. Получите консультацию уже сегодня — свяжитесь с нами для обсуждения вашего проекта.