Понимать продукт.
Изучаем эндпоинты, роли и действия пользователей, чтобы понять, какие границы приложение должно защищать.
ДВИЖОК TIBEX
От гипотезы
к доказательству.
Собственный AI-движок для исследования веб-приложений и API. Поведение продукта, проверка уязвимостей и доказательства — в одном процессе.
01ПРИМЕР ПРОВЕРКИ RCE
Выполнение кода
на сервере.
Обработчик шаблонов принимает запрос без входа. Контролируемое выполнение кода от имени app-service создаёт проверочный маркер. Независимый повтор подтверждает результат.
TibeX
Квитанция выполнения
- Процесс приложения
- app-service
- Созданный файл
- /tmp/tibex-proof-7f2a
Действие подтвержденоTX-7F2A
Иллюстративный сценарий. Система, запросы и результаты вымышлены.Разобрать доказательство
02В ОСНОВЕ ДВИЖКА
Контекст.
Проверка.
Результат.
Что доступно? Что можно выполнить? Воспроизводится ли результат? Ответы определяют следующий шаг.
Проверять предположения.
Исследуем контроль доступа, бизнес-логику и взаимодействие компонентов в согласованной области.
Подтверждать независимо.
Отдельная проверка помогает установить, воспроизводится ли результат и что именно удалось доказать.
Помогать исправить.
Условия воспроизведения, наблюдаемый результат, риск и рекомендации собраны в одной находке.
03ПРОЦЕСС
От контекста
к доказательству.
Каждый этап заканчивается конкретным результатом. Вы знаете, что мы проверяем и что получит ваша команда.
Как проходит пентестОпределяем приложения, API, роли пользователей и допустимые действия.
↳Согласованная область проверки
Разбираем поверхность и бизнес-логику. Формируем и проверяем гипотезы.
↳Карта поверхности и сценарии
Воспроизводим результат и проверяем альтернативные объяснения.
↳Доказательства и границы влияния
Собираем приоритеты, шаги воспроизведения и рекомендации команде.
↳Отчёт и план исправлений
ПОСМОТРЕТЬ БЛИЖЕ
Обсудим ваш продукт.
Расскажите, как устроено приложение и что хотите проверить. Обсудим подход к исследованию и покажем, как работает Tibex.
Обсудить проект