API пентест (тест за проникване)

API са гръбнакът на съвременните приложения - и най-експлоатираната повърхност за атака. Нашето тестване за проникване на API надхвърля далеч автоматизираното сканиране, за да предостави задълбочена, ръчна оценка на вашите REST, GraphQL и gRPC крайни точки спрямо OWASP API Security Top 10 2023. Фокусираме се върху уязвимостите, които автоматизираните инструменти постоянно пропускат: Broken Object Level Authorization (BOLA) - уязвимост №1 на API - където една неправилно конфигурирана крайна точка може да разкрие данните на всеки клиент. Тестваме за Broken Authentication, включително неправилни конфигурации на JWT, изтичане на токени и манипулация на OAuth потоци. Проверяваме за Broken Object Property Level Authorization (mass assignment), Server-Side Request Forgery (SSRF) и инжекционни атаки, специфични за API контекст. Тестването на бизнес логиката е основна част от нашата методология. Анализираме как вашият API обработва гранични случаи: заобикаляне на ограничения на заявки, условия на състезание, ескалация на привилегии чрез верижни API повиквания и манипулация на логиката за плащания или абонаменти. Тестваме както удостоверени, така и неудостоверени повърхности за атака, включително комуникация между услуги в микросервизни архитектури. Нашето тестване обхваща сигурност на версиите на API, валидация на уебхуукове, обработка на качване на файлове и манипулация на пагинация. За GraphQL API тестваме за разкриване на интроспекция, атаки чрез дълбочина и сложност на заявки, злоупотреба с пакетиране, пропуски в оторизацията на ниво поле и сигурност на абонаменти чрез WebSockets. Всяка ангажираност започва с безплатно обаждане за определяне на обхвата и предоставяме ценово предложение с фиксирана цена в рамките на 24 часа. Критичните уязвимости, открити по време на тестване, се докладват незабавно - никога не задържаме спешни констатации за финалния доклад.