Как самим провести тест безопасности сайта и на что обратить внимание перед пентестом?

Yavuz17 дней назад·45 сообщений·7,8 тыс. просмотров#тест безопасности сайта #тест на проникновение #веб-безопасность #поиск уязвимостей

YavuzЭксперт

Должность: Директор по информационной безопасности
Дата регистрации: июль 2023 г.
Сообщение: 168

17 дней назад#1

Мы команда из 8 человек, базируемся в Париже, у нас B2B e-commerce платформа для оптовых заказов. На сайте хранятся данные взаиморасчетов наших корпоративных клиентов, история счетов и детали заказов. На прошлой неделе мы получили КП от стороннего независимого эксперта на комплексный пентест веб-сайта на сумму 4.500 EUR. Честно говоря, при текущем денежном потоке такой бюджет для нас тяжеловат.

Прежде чем принимать КП, мы хотим хотя бы своими силами проверить и закрыть явные дыры в системе, базовые ошибки конфигурации и простые уязвимости. Наш разработчик разбирается в веб-разработке в целом, но он не специалист по безопасности. Хотим начать с первичного аудита своими силами.

Что должен включать в себя тест безопасности сайта, который мы можем сделать сами, и какие проверки можно выполнить бесплатно или базовыми методами? И где проходит та грань, после которой этих проверок становится недостаточно и без профессиональных услуг уже не обойтись?

Rıdvan K***УчастникУчастник сообщества

Дата регистрации: окт. 2024 г.
Сообщение: 77

17 дней назадСамый полезный#2

Короткий ответ: До заказа профессионального пентеста вы можете сами полностью проверить конфигурацию SSL/TLS, заголовки безопасности HTTP дефолтные пути к админке и актуальность компонентов ПО. Эти базовые шаги закрывают уязвимости которые чаще всего используют автосканеры, но не помогут найти ошибки в бизнес-логике.

При самостоятельной проверке безопасности придерживайтесь следующего плана: 1) Проверьте качество сертификата и шифрования веб-сервера с помощью бесплатных онлайн-инструментов SSL-анализа, отключите слабые протоколы. 2) Убедитесь, что сервер отдаёт заголовки для защиты браузера; проверьте активность Content Security Policy и защиты от фреймов. 3) Проверьте в режиме инкогнито, не торчат ли наружу чувствительные пути вроде админки, phpinfo или интерфейсов БД. 4) Проверьте версии используемой CMS, библиотек и пакетов сервера по базами известных уязвимостей.

Бесплатные автоматические сканеры находят только известные сигнатуры и поверхностные ошибки. Они не увидят дефекты бизнес-логики — например может ли один пользователь увидеть чужой счет просто поменяв ID в URL (IDOR-уязвимость), или можно ли оформить заказ с отрицательной суммой в корзине.

Если на сайте крутятся кредитные лимиты ваших B2B-клиентов или конфиденциальные спеццены, самостоятельные тесты — это лишь подготовка. Если перед обращением к специалисту за 4.500 EUR закрыть все простые дыры, пентестер не будет тратить время на ерунду, а сосредоточится на глубоких тестах авторизации и логики, и вы получите максимум за свои деньги.

Osman T***Участник

Должность: Специалист технического сервиса
Отрасль: Производство мебели
Тип организации: компания в составе холдинга
Дата регистрации: янв. 2022 г.
Сообщение: 3

16 дней назад#3

Отличный рефлекс — сначала проверить всё самим. Если заказать пентест при наличии базовых известных дыр на сервере, вам просто выдадут отчёт на кучу страниц о том, что надо обновиться, и деньги уйдут впустую. Сначала заприте двери сами, а потом уже отдавайте эксперту, чтобы он пробовал взломать замки.

Hilal B***ЭкспертУчастник сообщества

Дата регистрации: февр. 2026 г.
Сообщение: 66

16 дней назад#4

В прошлом году у нас была похожая история. Не смогли выделить 4.000 EUR, в итоге потратили 3 дня, обновили все пакеты и настроили HTTP-заголовки. В итоге точечный тест обошелся нам в 1.800 EUR, потому что специалист зашел в уже подготовленную и приведённую в порядок систему.

Elif B***Участник

Должность: Продавец-консультант
Отрасль: Химия
Тип организации: производство
Дата регистрации: май 2023 г.
Сообщение: 55

Doki · SEO-консалтинг · 2024

16 дней назад#5

Сделайте прямо сегодня вечером: создайте двух тестовых B2B-пользователей. Зайдите под одним, сделайте заказ, скопируйте ID заказа из ссылки и попробуйте открыть его в браузере под другим пользователем. Если подтянутся чужие данные — вы только что бесплатно нашли свою самую большую дыру.

PınarЭксперт

Должность: Аналитик
Дата регистрации: янв. 2024 г.
Сообщение: 198

Doki · Мобильное приложение · 2025

16 дней назад#6

Не особо доверяйте сканерам безопасности с открытым исходным кодом из инета. Они обычно выдают тысячи ложных срабатываний, разработчик запутается, что чинить и пропустит реально критичные дыры в правах доступа.

Osman K***УчастникУчастник сообщества

Дата регистрации: март 2024 г.
Сообщение: 117

16 дней назад#7

Вот минимальный чек-лист для самостоятельной проверки: 1) Скройте версии сервера и базы данных в сообщениях об ошибках. 2) Поставьте ограничение по количеству попыток (rate limit) на форму входа от брутфорса. 3) Проверьте, что дампам БД не место в public-директории.

KemalНовый участник

Должность: Фермерское хозяйство
Дата регистрации: сент. 2024 г.
Сообщение: 42

16 дней назад#8

Пусть разраб не стесняется, в инете полно отличных бесплатных сайтов, которые оценивают заголовки безопасности. Вбиваешь адрес сайта, и он дает оценку от A до F. короче довести эту оценку до A — уже отлично подтянет систему.

Ramazan G***Эксперт

Должность: Секретарь
Отрасль: кожа
Тип организации: компания из 20 человек
Дата регистрации: апр. 2022 г.
Сообщение: 92

Doki · Мобильное приложение · 2025

15 дней назад#9

забытые тестовые аккаунты и слабые пароли в админке открывают дверь больше чем половине атак извне советую перед автосканом проверить у всех пароли и 2FA.

Nuri K***Участник

Должность: Продакт-менеджер
Отрасль: Недвижимость
Тип организации: индивидуальный предприниматель
Дата регистрации: апр. 2023 г.
Сообщение: 3

15 дней назад#10

Свои тесты обязательно проводите во внерабочее время и на копии боевой системы. Интенсивные автоматические запросы могут запросто заблокировать БД или положить продакшн.