Tibex
ENОбсудить проект
Пентест веб-приложений и API

Находим уязвимости.
Доказываем риск.

Проверяем безопасность вашего продукта с собственным AI-движком.
Показываем, как воспроизвести уязвимость и что исправить.

Обсудить проект
TibeX

Квитанция выполнения

Процесс приложения
app-service
Созданный файл
/tmp/tibex-proof-7f2a

Действие подтвержденоTX-7F2A

Демонстрация проверки безопасности в вымышленном приложении. Запрос без авторизации проходит через уязвимый серверный обработчик шаблона. Проверочное действие выполняется от имени app-service. Серверная квитанция содержит путь созданного файла и уникальный маркер TX-7F2A. Независимый повтор создаёт другой файл и маркер TX-9C31. Находка: выполнение кода и контроль процесса приложения. Все действия и данные иллюстративные.
01ЧТО ВЫ ПОЛУЧАЕТЕ

Вот что увидит
ваша команда.

В отчёте — условия воспроизведения, доказательства и рекомендации разработчикам. Ниже можно изучить пример одной находки.

TIBEX/ОТЧЁТ О НАХОДКЕДЕМОНСТРАЦИОННЫЙ ПРИМЕРTX–014
01 / ПОДТВЕРЖДЁННЫЙ РЕЗУЛЬТАТ

Внешний запрос. Код внутри приложения.

Обработчик предпросмотра исполняет пользовательский ввод как код. В примере запрос без авторизации создаёт проверочный файл от имени app-service. Отдельное наблюдение на сервере подтверждает действие.

∅Нет сессии⌘app-serviceRCE
Что под контролем

Код выполняется с правами процесса приложения. Это открывает доступ к ресурсам, разрешённым этому процессу. Права root и компрометация всего сервера этим примером не подтверждаются.

app.example / RCE / 014Вымышленный сценарий · пример формата отчёта
Пример показывает формат результата, который получает команда.Посмотреть пример отчёта
02СЦЕНАРИИ АТАК

Уязвимости с серьёзными
последствиями.

Проверяем, может ли внешняя точка входа привести к выполнению кода, захвату аккаунта или раскрытию клиентской базы.

RCE / CWE–9401 / 03
ТОЧКА ВХОДАPOST /api/render/preview
  1. 01Внешний запрос
  2. 02Уязвимый обработчик
  3. ↗Выполнение кода
Процессapp-service
ПодтверждениеTX-7F2A
↳Контроль процесса приложения
Демонстрационный сценарий→
03ПРОЦЕСС

От контекста
к доказательству.

Каждый этап заканчивается конкретным результатом. Вы знаете, что мы проверяем и что получит ваша команда.

Как проходит пентест

Определяем приложения, API, роли пользователей и допустимые действия.

↳Согласованная область проверки
04ОПЫТ КЛИЕНТОВ

О нашей работе.

  1. 01
    CTOB2B SaaS-платформа

    «Специалисты обнаружили уязвимости, которые не были видны нам изнутри, и оформили результаты в чёткий отчёт с приоритизацией рисков и рекомендациями по устранению».

  2. 02
    СоосновательAI recruiting-платформа

    «Смог найти уязвимости в нашем решении, которые раньше никто не обнаруживал. Благодаря его работе мы смогли лучше защитить наши решения».

  3. 03
    CEOТуристическая компания
СЛЕДУЮЩИЙ ШАГ

Обсудим безопасность
вашего продукта.

Покажите, что вы строите. Обсудим, как проверить его безопасность.

Обсудить проект