Otomasyona Dayanmayan,
Manuel Web Pentest Uzmanlığı.
Uygulamanızın yetkilendirme akışlarını, mantıksal hatalarını (Business Logic) ve kompleks zafiyetlerini otomatize araçlarla değil, Hacker bakış açısıyla test ediyoruz.
Kimler İçin Tasarlandı?
- SaaS platformları, Fintech girişimleri ve e-ticaret altyapıları.
- Sadece compliance (uyumluluk) değil, gerçekten 'hacklenemez' olmak isteyen CTO'lar.
- Kritik Müşteri Verisi (PII) ve Finansal İşlemler (PCI-DSS) tutan web uygulamaları.
Odaklandığımız Tehdit Yüzeyi
OWASP Top 10'un ötesine geçiyoruz. Odaklandığımız anahtar senaryolar:
Hacker Bakış Açısıyla Metodoloji
Haritalandırma
Uygulamanın tüm gizli endpointleri, JWT yapıları ve kullanıcı akışları analiz edilir.
Derinlemesine İstismar
Scanner'ların aksine rolleri değiştirerek yetki yükseltme ve veri çıkarma işlemleri bizzat denenir.
Kanıt (PoC)
Bulunan her zafiyet için geliştiricilerin tekrar üretebileceği kusursuz bir PoC scripti veya dokümanı verilir.
Code Review & Yama
Yama yapıldıktan sonra zafiyetlerin gerçekten kapanıp kapanmadığını kanıtlamak üzere Retest yapılır.
Sık Karşılaştığımız Bulgu Örnekleri
- Insecure Direct Object References (IDOR/BOLA)Kullanıcı A'nın, URL'deki sipariş ID'sini değiştirerek Kullanıcı B'nin faturasına veya kredi kartı özetine erişmesi.
- Business Logic (Mantık) HatalarıE-ticaret platformunda eksi (-) değerde kupon tanımlayarak sistemin sepetteki tutarı sıfırlaması veya hediye ürünü bedavaya göndermesi.
- SSRF to Cloud PivotBir PDF dışa aktarma (export) zafiyeti üzerinden AWS EC2 metadata sunucusuna ulaşıp IAM yetkilerini ele geçirme.
Rapor ve Teslimat (Deliverables)
PDF çıktıları yeterli değildir. Yönetim katmanı için Risk Etkisi (Risk Impact), Dev/Ops katmanı için ise Remediation Kod Örnekleri (cURL requestleri, yaml vb.) barındıran teknik bir rapor sunuyoruz.
$ curl -X POST -H 'Cookie: session=ATTACKER'
-d '{"user_id": 1, "role": "admin"}'
https://api.target.com/v1/updateProfile
[+] Privilege Escalated to Admin.