REST وGraphQL وOWASP API Top 10 ولملفات التطبيق الثنائية — ثقة عميلك تتوقف عند واجهتك.
تُشكّل تطبيقات الجوال وواجهاتها سطح هجوم واحد، فيجب أن يكون اختبارهما متكاملًا. نفكك الملفات الثنائية، ونستخرج الواجهات، ونهاجمها كما يفعل مهاجم حقيقي.
في الواجهات نتجاوز الفحص الآلي: استغلال منطق الأعمال، وفجوات التصريح بين الهويات، وإشكاليات GraphQL في الاستكشاف والحدود.
اختبار يدوي شامل يتجاوز الفحص الآلي
محاكاة هجمات نابعة من سيناريوهات حقيقية
تحليل عميق للتهديدات الخاصة بكل منصة (iOS وAndroid)
نتائج مُتحقَّق منها مع برهان استغلال
تتبع اختبارات الجوال والواجهات أد OWASP الرسمية بدقة: MAStG وMASVS لطبقة الجوال، وOWASP API Top 10 لطبقة الخادم، مع مرجعية إجرائية من NIST وOSSTMM تُغلف المهمة كاملة.
أربع طبقات اختبار تعمل من ملف التطبيق الثنائي حتى قاعدة البيانات
فحص التطبيق أثناء تشغيله لكشف الثغرات التي تظهر فقط في السلوك وقت التشغيل.
مراجعة الكود المصدر والمُفكَّك (decompiled) لالتقاط الأخطاء بأقل تكلفة قبل النشر.
تفكيك الملفات الثنائية وفحصها بحثًا عن أسرار مضمّنة وفحوص تكامل ضعيفة وأخطاء ثقة من جهة العميل.
هجوم على كل مدخل تستخدمه التطبيقات — REST وGraphQL — بحثًا عن فجوات تصريح وحقن وتبادل غير آمن للبيانات.
تُبنى التقارير بحيث تُغني نفس حزمة الأدلة عمليات تدقيق العملاء: اختبارات SOC 2 Type II ومعالجة مخاطر ISO 27001 وتقييمات HIPAA وإعادة اعتماد PCI-DSS لمسارات الدفع.
كل ما تستلمه، بجانب قائمة الثغرات
توثيق شامل وسهل التنقّل لكل نتيجة مع الخطورة والبراهين.
إرشادات إصلاح مكتوبة ببيئتك التقنية بعينها لا قوالب عامة.
خط مباشر مع المختبرين طوال المهمة.
يُعاد اختبار الإصلاحات المنشورة حتى التحقق من تصحيحها بالكامل.
تأكيد رسمي لإتمام الاختبار لأصحاب المصلحة وجهات التدقيق.
عرض مباشر للنتائج مع مهندسي الجوال والخدمات الخلفية لديكم.
OWASP API Top 10 (BOLA، ومصادقة معطوبة، ووصول غير مقيّد)
GraphQL: الاستكشاف، وإساءة الدَفعة (batching)، وتصريح مستوى الحقول
الوصول غير الآمن إلى الكائنات مباشرة، وmass assignment
هندسة عكسية للملفات الثنائية والأسرار المضمّنة في الكود
تثبيت الشهادات (certificate pinning) ومسارات تجاوز التحقق من الثقة
تخزين البيانات: المفاتيح في التخزين المحلي أو Keystore
روابط deep-link والأنشطة القابلة للتصدير وWebViews
Scenario 01
مستخدم A يستدعي حقل GraphQL للمسؤولين لغياب تصريح مستوى الحقول.
Scenario 02
إصدار جوال غير موقّع يتصل بنقطة إعدادات غير مُصادقة عليها.
Scenario 03
سرقة الرمز يحوّل جلسة جهاز إلى جلسة ويب كاملة.
Scenario 04
ترقيم الصفحات يسمح باستخراج قاعدة البيانات كاملة عبر التعداد.
معرفات الطلبات أرقام متسلسلة دون تحقق من الملكية. التكرار من 1 إلى n يُرجع طلبات جميع المستأجرين مع العناوين وأرقام الهواتف.
معالجة الثغرة
اربط كائنات الطلب بالمستخدم/المستأجر الطالب على مستوى الخدمة؛ واستخدم معرفات غير متسلسلة؛ وأضِف اختبارات regression لكل كيان.
CVSSv3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
يطارد المهاجمون قنواتٍ أحدث وأهدأ: حِيَل جديدة على الروابط العميقة (deeplink)، وثغرات مستجدة، وأساليب تجاوز حديثة لتثبيت الشهادات. يتابع مختبرونا هذه التطورات قبل أن تصل إلى الأطر العامة.
طريقة تحزيم المهمات وتسعيرها — نظرة سريعة
استعرض الخطط والأسعارالأسئلة الشائعة
كل ما يسألنا مديرو التقنية والمعلومات أمنًا قبل تحديد النطاق.
أخبرنا بما تريد اختباره. نرد بنطاق مكتوب (مع اتفاقية عدم إفصاح) خلال يوم عمل واحد.
اطلب عرضًا