Offensive Security
Die Anwendung so testen, wie ein Angreifer sie nutzt.
Manuelle, authentifizierte Sicherheitstests von Webanwendungen — Geschäftslogik, Zugriffskontrolle, Session-Handling und Injection-Klassen.
Testablauf
Scope: Rollen, Umgebungen, Testdaten und Rules of Engagement.
Ein Webanwendungs-Sicherheitstest ist ein manueller Penetrationstest der laufenden Anwendung. Automatisierte Scanner finden bekannte Muster; unsere Tester arbeiten die Anwendung mit echten Benutzerrollen durch und finden fehlerhafte Zugriffskontrolle, Logikfehler und Autorisierungslücken, die ein Scanner strukturell nicht erkennen kann. Getestet wird nach dem OWASP Testing Guide mit Abbildung auf die OWASP Top 10 — vergleichbar und auditfähig.
Dieser Test ist eine fokussierte Form von Penetrationstests für laufende Webanwendungen.
Bei umfangreichen Backend-Schnittstellen ergänzt ein eigener API-Penetrationstest die Prüfung jeder Rolle und Objektgrenze.
Zwischen manuellen Tests hält die Schwachstellen- und Bedrohungsanalyse die Exposition priorisiert im Blick.
1.500 € zzgl. MwSt.
Mit unserem Team konfigurieren3.600 € zzgl. MwSt.
Mit unserem Team konfigurierenIndividueller Scope
Mit unserem Team konfigurierenUnsere Experten besitzen Zertifizierungen wie OSEE, OSCP, OSWE, OSEP, OSED, OSWP, eWPTx, eMAPT, eCPPT, CRTO und CEH.
Evolvice arbeitet mit zertifizierten Qualitäts- und Informationssicherheitsmanagementsystemen nach ISO 9001:2015 und ISO 27001:2022.
Mehr als dreizehn Jahre Technologie-Delivery prägen Scope, Kommunikation, Reporting und Behebungsunterstützung.
“Der Penetrationstest-Bericht war nicht nur detailliert, sondern direkt umsetzbar. Unsere Entwickler konnten sofort mit der Behebung beginnen.”
“Sie halfen uns, kritische Schwachstellen zu erkennen, von denen wir nichts wussten. Ein wirklich professionelles und reaktionsschnelles Team.”
“Vom ersten Scoping-Gespräch bis zum Abschlussbericht wurde alles präzise und professionell umgesetzt.”
Horizontale und vertikale Rechteprüfung über alle Rollen und Mandantengrenzen.
Missbrauch von Workflows, Manipulation von Preisen und Mengen, Umgehung von Zustandsfolgen.
SQL, NoSQL, Command, Template und XSS gegen das reale Anwendungsverhalten.
Login, MFA, Passwort-Reset, Token-Laufzeit und Session-Invalidierung.
SSRF, unsichere Deserialisierung, Datei-Uploads und Fehlkonfiguration.
Verwundbare Abhängigkeiten — bewertet im Kontext Ihrer Anwendung, nicht isoliert.
Eine typische Geschäftsanwendung benötigt fünf bis zehn Testtage, abhängig von Rollenanzahl und Funktionsumfang. Der Scope wird vorab vereinbart.
Staging wird bevorzugt, wenn es der Produktion entspricht. Produktionstests sind nach vereinbarten Rules of Engagement, Zeitfenstern und Eskalationskontakten möglich.
Einen technischen Bericht mit Reproduktionsschritten und Behebungshinweisen, eine Management-Zusammenfassung und einen Retest der behobenen Befunde.
Ein Scan gleicht bekannte Signaturen ab. Hier wird manuell getestet, Befunde werden verkettet und die reale Ausnutzbarkeit nachgewiesen — inklusive Logikfehlern, die kein Scanner sieht.