Kompleksowe testy penetracyjne aplikacji webowych

Czym są testy penetracyjne aplikacji webowych?

Testy penetracyjne aplikacji webowych to systematyczna ocena bezpieczeństwa aplikacji internetowych przeprowadzana zgodnie z metodologią OWASP Web Security Testing Guide (WSTG) 4.2 — międzynarodowym standardem testowania bezpieczeństwa aplikacji webowych. Zakres obejmuje pełną listę OWASP Top 10 oraz dodatkowe kategorie testów: logikę biznesową, zarządzanie sesjami, kryptografię i konfigurację serwera.

Atrybut	Wartość
Metodologia	OWASP Web Security Testing Guide (WSTG) 4.2
Zakres	OWASP Top 10 + logika biznesowa, sesje, kryptografia, konfiguracja serwera
Certyfikacje zespołu	OSWE, OSCP, eWPT
Narzędzia	Burp Suite Pro, OWASP ZAP, SQLMap, Nuclei
Czas realizacji	5-21 dni roboczych (zależnie od pakietu)
Cena	od 12 000 PLN netto

nFlo przeprowadza testy penetracyjne aplikacji webowych dla firm w Polsce, łącząc automatyczne skanowanie z ręcznymi testami certyfikowanych ekspertów. 43% cyberataków targetuje aplikacje webowe - nie ryzykuj wycieku danych.

Pakiety cenowe

Pakiet	Dla kogo	Zakres	Czas realizacji	Cena netto
BASIC	Startup, MVP, mała aplikacja	1 aplikacja do 20 endpointów. OWASP Top 10, testy manualne + automatyczne	5-7 dni roboczych	od 12 000 PLN
STANDARD	Firma średnia, aplikacja z API	1 aplikacja do 50 endpointów + API. Pełny OWASP WSTG 4.2, testy ról i logiki biznesowej	7-10 dni roboczych	od 20 000 PLN
ADVANCED	Enterprise, sektor regulowany	Aplikacja enterprise + code review. Pełny OWASP WSTG 4.2, source code analysis, threat modeling	14-21 dni roboczych	od 40 000 PLN

Każdy pakiet zawiera: raport Executive Summary, raport techniczny z klasyfikacją CVSS, dowody i Proof of Concept dla podatności High/Critical, plan remediacji z priorytetami, spotkanie prezentacyjne z omówieniem wyników, re-test po poprawkach (w cenie) oraz zaświadczenie o przeprowadzeniu testów (na życzenie).

Czym jest endpoint? Unikalny adres URL + metoda HTTP. Przykładowo: GET /users i POST /users to 2 osobne endpointy. Formularz logowania, strona rejestracji, panel administracyjny — każdy unikalny widok z logiką backendową liczy się jako endpoint. Nie są Państwo pewni ile endpointów ma aplikacja? Pomożemy to ustalić na etapie wyceny — bezpłatnie.

Czasy realizacji

Pakiet	Od kick-off do raportu	Express (+25%)
BASIC	5-7 dni roboczych	3-4 dni robocze
STANDARD	7-10 dni roboczych	5-6 dni roboczych
ADVANCED	14-21 dni roboczych	10-14 dni roboczych

Dlaczego nFlo

Pętla Pewności

Nie zostawiamy Państwa z raportem pełnym żargonu. Każdy projekt kończy się:

1. Spotkaniem, na którym pentester osobiście omawia wyniki
2. Planem remediacji z priorytetami — co naprawić najpierw
3. Bezpłatnym re-testem, który potwierdza, że poprawki działają

Pętla się zamyka — mają Państwo pewność, że aplikacja jest bezpieczna.

Re-test po poprawkach — w cenie każdego pakietu

Po wdrożeniu poprawek przez Państwa zespół, nasz pentester weryfikuje skuteczność napraw. Re-test jest dostępny do 14 dni od zgłoszenia gotowości i nie wiąże się z dodatkowym kosztem.

Jeden dostawca, pełen cykl

Po pentestach możemy pomóc z naprawą podatności (Remediation Support), wdrożyć ciągłe monitorowanie (Vulnerability Management) lub uruchomić SOC. Nie trzeba szukać kolejnego dostawcy.

Szybki start

Pakiet BASIC — wyniki w 5-7 dni roboczych od kick-off. Tryb ekspresowy dostępny za dopłatą.

Powiadomienie o zagrożeniach krytycznych w ciągu 1 godziny

Jeśli w trakcie testów wykryjemy podatność krytyczną (CVSS ≥ 9.0) — nie czekamy na raport końcowy. Powiadamiamy kontakt techniczny w ciągu 1 godziny z opisem problemu i rekomendacją tymczasowego zabezpieczenia.

Dla kogo?

Ta usługa jest dla Ciebie, jeśli:

• Rozwijasz aplikację webową przechowującą dane użytkowników
• Masz obowiązek compliance (PCI DSS, RODO, ISO 27001)
• Planujesz launch i chcesz upewnić się że aplikacja jest bezpieczna
• Miałeś incydent i chcesz zapobiec kolejnym

Zakres testów

Pełna metodologia OWASP WSTG 4.2 — 10 kategorii OWASP Top 10 + testy logiki biznesowej, walidacji danych, sesji, plików i API.

OWASP Top 10 — pełna lista testów

A01:2021 - Broken Access Control

• IDOR, path traversal, privilege escalation, metadata manipulation (JWT, cookies)

A02:2021 - Cryptographic Failures

• Dane w cleartext, słabe algorytmy, brak HSTS, słabe hashowanie haseł

A03:2021 - Injection

• SQL, NoSQL, OS Command, LDAP, XXE, SSTI — plus XSS (Reflected, Stored, DOM-based), HTML injection, open redirect, file inclusion (LFI/RFI)

A04:2021 - Insecure Design

• Brakujące kontrole bezpieczeństwa, race conditions, niewystarczające limity zasobów

A05:2021 - Security Misconfiguration

• Default credentials, directory listing, stack traces, permissive CORS

A06:2021 - Vulnerable Components

• Przestarzałe biblioteki/frameworki, znane CVE, nieaktualne CMS

A07:2021 - Authentication Failures

• Brute force, credential stuffing, session fixation/hijacking, słaba polityka haseł, brak MFA, przewidywalne tokeny, cookie security (HttpOnly, Secure, SameSite)

A08:2021 - Software and Data Integrity

• Insecure deserialization, unsigned updates, CI/CD attacks, dependency confusion

A09:2021 - Logging & Monitoring Failures

• Brakujące logi audytu, brak alertów, niechronione logi

A10:2021 - SSRF (Server-Side Request Forgery)

• Skanowanie sieci wewnętrznej, dostęp do cloud metadata (AWS, Azure, GCP), protocol smuggling

Business Logic Testing

Payment & Financial: price manipulation, discount code abuse, refund manipulation, race conditions w transakcjach, currency conversion abuse

Workflow & State: pomijanie kroków w procesach, state manipulation, workflow bypass, concurrency issues

Authorization: horizontal/vertical privilege escalation, RBAC bypass

Rate Limiting & Anti-Automation: brak rate limiting, CAPTCHA bypass, account enumeration, brute force protection

File Operations & API Security

File Upload: unrestricted file upload, type validation bypass, malicious file execution, path traversal, zip slip

File Download: arbitrary file download, path traversal, access control bypass

API Security (OWASP API Top 10): BOLA, broken authentication, excessive data exposure, brak rate limiting, broken function-level authorization, mass assignment, security misconfiguration, injection, improper assets management, insufficient logging

Metodyka

Testing Approach

Podejście	Opis
Black-Box	Bez dostępu do kodu — perspektywa external attacker
Gray-Box (opcja)	Z credentials — testy z poziomu authenticated user, privilege escalation
White-Box (opcja)	Z dostępem do kodu — code review + pentest, najwyższe pokrycie

Narzędzia

Kategoria	Narzędzia
Commercial	Burp Suite Professional, Acunetix, Nessus
Open-Source	OWASP ZAP, Nikto, SQLMap, Nuclei, Arjun
Custom	Własne skrypty, exploity, fuzzing tools, custom payloads

Deliverables

Raport techniczny — dla każdej podatności: opis, severity (CVSS), affected URLs, Proof-of-Concept, impact, remediation (z przykładowym kodem) i referencje (OWASP, CWE, CVE).

Executive Summary — top 10 findings, overall risk score, business impact, compliance implications, rekomendacje priorytetów napraw.

Re-test — weryfikacja skuteczności napraw do 14 dni od zgłoszenia gotowości, regression testing, final report z closure confirmation. Po upływie 14-dniowego okna: 30% wartości projektu.

Warunki współpracy

• NDA i poufność — NDA przez okres współpracy + 3 lata (minimum 5 lat). Wszystkie dane i wyniki traktujemy jako poufne.
• Ubezpieczenie OC — posiadamy ubezpieczenie odpowiedzialności cywilnej z tytułu świadczenia usług IT. Szczegóły na życzenie.