Offensive Security
APIs brechen an der Autorisierungsebene.
Tests für REST, GraphQL und Webhooks — mit Fokus auf Objektautorisierung, Datenexposition und Missbrauch von Rate Limits.
Testablauf
Inventar: Dokumentierte und undokumentierte Endpunkte, Versionen und Methoden.
API-Penetrationstests prüfen, ob Ihre Schnittstellen die Autorisierung für jedes Objekt, jede Rolle und jede Methode durchsetzen. Die meisten schweren API-Vorfälle sind keine exotischen Exploits, sondern Anfragen, die hätten abgelehnt werden müssen. Getestet wird gegen die OWASP API Security Top 10, mit besonderer Tiefe bei Broken Object Level und Function Level Authorization — den häufigsten Ursachen realer API-Vorfälle.
Für Browser-Workflows und Geschäftslogik rund um die Schnittstelle nutzen Sie Webanwendungs-Sicherheitstests.
Für Gerätekontrollen und den konsumierenden Client nutzen Sie Mobile-App-Penetrationstests.
Für breitere Angriffspfade über Anwendungen, Infrastruktur und Netzwerke nutzen Sie Penetrationstests.
1.500 € zzgl. MwSt.
Mit unserem Team konfigurieren3.600 € zzgl. MwSt.
Mit unserem Team konfigurierenIndividueller Scope
Mit unserem Team konfigurierenUnsere Experten besitzen Zertifizierungen wie OSEE, OSCP, OSWE, OSEP, OSED, OSWP, eWPTx, eMAPT, eCPPT, CRTO und CEH.
Evolvice arbeitet mit zertifizierten Qualitäts- und Informationssicherheitsmanagementsystemen nach ISO 9001:2015 und ISO 27001:2022.
Mehr als dreizehn Jahre Technologie-Delivery prägen Scope, Kommunikation, Reporting und Behebungsunterstützung.
“Der Penetrationstest-Bericht war nicht nur detailliert, sondern direkt umsetzbar. Unsere Entwickler konnten sofort mit der Behebung beginnen.”
“Sie halfen uns, kritische Schwachstellen zu erkennen, von denen wir nichts wussten. Ein wirklich professionelles und reaktionsschnelles Team.”
“Vom ersten Scoping-Gespräch bis zum Abschlussbericht wurde alles präzise und professionell umgesetzt.”
Objektzugriffe über Mandanten- und Benutzergrenzen hinweg — die häufigste API-Schwachstelle.
Administrative und privilegierte Operationen, erreichbar mit niedriger privilegierten Tokens.
Introspection, Query-Tiefe, Batching-Missbrauch und Autorisierung auf Resolver-Ebene.
Antworten, die mehr zurückgeben als der Client benötigt — inklusive interner Felder.
Ungeprüfte Eingaben, die auf interne Eigenschaften abgebildet werden; Injection über Query- und Parser-Schichten.
Enumeration, Angriffsflächen für Credential Stuffing und Denial-of-Wallet.
Es hilft und beschleunigt den Test, ist aber nicht erforderlich. Wir erfassen Endpunkte eigenständig und finden dabei häufig undokumentierte.
Ja. GraphQL ergänzt die gleichen Autorisierungstests um Introspection, Query-Tiefe und Batching.
Die von der Webanwendung genutzten APIs sind dort abgedeckt. Ein eigener API-Test geht tiefer: jede Rolle, jede Methode, jede Objektgrenze — auch Machine-to-Machine-Clients.
Wo möglich mit Testkonten und Nicht-Produktivdaten. Ist Produktionszugriff nötig, wird er schriftlich vereinbart und durch Scope und Zeitfenster begrenzt.