Offensive Security
Gehen Sie davon aus, dass der Angreifer das Gerät kontrolliert.
Penetrationstests für iOS und Android: App-Binary, lokale Datenspeicherung, Transportsicherheit und Backend-APIs.
Testablauf
Statisch: Analyse von Binary, Code und Konfiguration der ausgelieferten App.
Mobile-App-Penetrationstests sind eine umfassende Sicherheitsprüfung für iOS-, Android- oder plattformübergreifende Apps. Sie identifizieren Schwächen, über die Angreifer sensible Daten lesen, Benutzerkonten kompromittieren oder App-Funktionen stören könnten. Anschließend prüfen wir reale Angriffspfade auf gerooteten und gejailbreakten Geräten nach OWASP MASVS und MASTG — von lokaler Speicherung und Transport bis Runtime-Kontrollen und Backend-Verhalten.
Mobile Tests sind eine spezialisierte Form von Penetrationstests rund um ein angreiferkontrolliertes Gerät.
Bedient das Backend weitere Clients, ergänzt ein eigener API-Penetrationstest die über die App genutzten Endpunkte.
Für verbundene Kundenportale und Verwaltungsoberflächen nutzen Sie Webanwendungs-Sicherheitstests.
2.100 € zzgl. MwSt.
Mit unserem Team konfigurieren2.100 € zzgl. MwSt.
Mit unserem Team konfigurieren4.200 € zzgl. MwSt.
Mit unserem Team konfigurierenUnsere Experten besitzen Zertifizierungen wie OSEE, OSCP, OSWE, OSEP, OSED, OSWP, eWPTx, eMAPT, eCPPT, CRTO und CEH.
Evolvice arbeitet mit zertifizierten Qualitäts- und Informationssicherheitsmanagementsystemen nach ISO 9001:2015 und ISO 27001:2022.
Mehr als dreizehn Jahre Technologie-Delivery prägen Scope, Kommunikation, Reporting und Behebungsunterstützung.
“Der Penetrationstest-Bericht war nicht nur detailliert, sondern direkt umsetzbar. Unsere Entwickler konnten sofort mit der Behebung beginnen.”
“Sie halfen uns, kritische Schwachstellen zu erkennen, von denen wir nichts wussten. Ein wirklich professionelles und reaktionsschnelles Team.”
“Vom ersten Scoping-Gespräch bis zum Abschlussbericht wurde alles präzise und professionell umgesetzt.”
Tests auf gejailbreakten Geräten: Keychain-Nutzung, Data-Protection-Klassen, IPC und URL-Schemes.
Tests auf gerooteten Geräten: Shared Preferences, exportierte Komponenten, Intents und WebView-Konfiguration.
Zugangsdaten, Tokens und personenbezogene Daten, die auf dem Gerät wiederherstellbar bleiben.
TLS-Konfiguration, Zertifikatsprüfung und Widerstandsfähigkeit des Pinnings.
Hooking mit Frida und Objection, Umgehung von Root-/Jailbreak-Erkennung, Tamper-Schutz.
Serverseitige Autorisierung, die auch bei vollständig kompromittiertem Client halten muss.
Beides ist möglich. Das gemeinsame Backend wird einmal getestet, die plattformspezifischen Client-Tests je Plattform.
Den App-Build (IPA/APK oder Store-Zugang), Testkonten für jede Rolle und vorhandene Backend-Dokumentation. Quellcode ist optional, erhöht aber die Testtiefe.
Die von der App genutzten APIs sind enthalten. Ein umfassender API- oder Infrastrukturtest ist ein eigener Scope — siehe API-Penetrationstests.
Nein. Pinning erhöht den Aufwand, lässt sich auf einem kontrollierten Gerät aber umgehen. Die serverseitige Autorisierung muss unabhängig vom Client halten.