Мобильные · iOS · Android

Пентест вашего мобильного приложения

Приложение на чужом телефоне можно разобрать, изменить и прослушать. Мы проверяем, что узнает тот, кто сделает именно это, — и что он сможет сделать с API за ним.

iOS и AndroidOWASP MASVSСерверные API по запросу
Запросить предложение →Как мы работаем
Что мы тестируем

Приложение, телефон и сервер

Мы начинаем с пакета APK или IPA (black-box) или также с исходного кода и документации (graybox).

Локальное хранение

Что остаётся на телефоне: токены, персональные данные, временные файлы, кэш и журналы — и защищены ли они системой или лежат на виду.

Секреты в приложении

API-ключи, пароли и внутренние адреса, зашитые в код (hardcoded), которые обнаруживаются при первой декомпиляции.

Связь с сервером

TLS, закрепление сертификата (certificate pinning) и что видит тот, кто перехватывает трафик между приложением и сервером.

Аутентификация и сессии

Биометрическая аутентификация, сохранение сессии, выход и что происходит с данными при потере телефона.

Защита кода

Устойчивость к декомпиляции и модификации, обнаружение root/jailbreak и что может изменить тот, кто запускает изменённую сборку.

Серверные API

Если вы включите их в тест: REST и GraphQL, аутентификация, авторизация, инъекции и доступ к объектам других пользователей (IDOR).

Запрос предложения

Соберите запрос за две минуты

Три шага, без угадывания цен: расскажите, что у вас есть, и в течение рабочего дня вы получите периметр, длительность и график теста.

  1. 1 Что тестируем
  2. 2 Как и когда
  3. 3 Куда ответить
Какие платформы?
Тестируем ли и API, с которым работает приложение?
Что делает приложение?
Сколько функций или экранов?
Как тестируем?
В какой среде?
Касается ли вас регулирование или аудит?
Когда нужен отчёт?
По одному в строке. Ничего не тестируется до подписанного разрешения.

Мы используем ваши данные только для ответа на этот запрос. Политика конфиденциальности

Методология

Как проходит проект

По OWASP MASVS и MASTG, со статическим (код) и динамическим (работающее приложение) анализом, на iOS, Android или обеих платформах.

  1. Периметр и предложение

    Вы сообщаете, что входит в тест; в течение одного рабочего дня вы получаете предложение с периметром, сроками и графиком.

  2. Разрешение на тестирование

    Вы подписываете разрешение в портале: цели, окно тестирования и правила. Без него ни один тест не начинается.

  3. Разведка и тестирование

    Мы изучаем приложение и серверы, с которыми оно общается, затем тестируем вручную, используя автоматические инструменты лишь как вспомогательные. Статус тестирования виден в портале.

  4. Отчёт и разбор

    Вы получаете отчёт для руководства и технический отчёт; о серьёзных находках мы сообщаем сразу, а не в конце.

  5. Устранение и повторная проверка

    После исправления вы запрашиваете повторную проверку из портала: мы проверяем каждую находку и закрываем её с доказательством.

Что вы получаете

Результаты

  • Отчёт для руководства: риск понятным языком, без жаргона
  • Технический отчёт: каждая находка с критичностью, доказательством и шагами воспроизведения
  • Конкретные шаги по устранению для вашей технологии
  • Находки в портале: ответственный, срок, история и повторная проверка в один клик
  • Письмо-подтверждение для аудиторов с публичной проверкой
Дальше

Руководства по этой услуге

Руководство по OWASP Top 10Как подготовиться к пентестуРуководство по PCI DSS v4.0.1Пентест или сканирование уязвимостей?
Частые вопросы

Что нас спрашивают клиенты

Что нужно для начала?
Пакет приложения (APK или IPA либо доступ через программу тестирования, например TestFlight) и тестовые учётные записи. Для graybox — также исходный код или документация API.
Тестируете ли вы перед релизом?
Да, и это лучший момент. Обычный срок — 2–3 недели; для скорого релиза в срочном режиме — 5–7 дней.
Есть ли риски для наших систем?
Мы работаем с максимальной осторожностью: тесты планируются вместе с вами после подписанного разрешения на тестирование, а действия, способные повлиять на работу систем, согласуются заранее или выполняются на тестовой среде.
Что мы получаем в конце?
Отчёт для руководства и технический отчёт для команды: каждая находка с уровнем критичности (критический, высокий, средний, низкий), доказательством и шагами по устранению. Находки также отслеживаются в портале, где вы запрашиваете повторную проверку после исправления.

Хотите знать, что найдёт тот, кто разберёт ваше приложение?

Опишите периметр — мы ответим предложением в течение одного рабочего дня.

Запросить предложение →