OWASP Top 10 ومنطق الأعمال وتدفقات المصادقة وصلاحيات الوصول — اختبار بشري حقيقي.
نختبر تطبيقك كما يفعل مهاجم متحمس — لكن بإذنك. تُستخدم الأدوات الآلية للمسح؛ بينما تنبع كل نتيجة حقيقية من تحليل يدوي.
نركّز على الثغرات التي تفشل فيها الفاحصات الآلية: منطق الأعمال متعدد الخطوات، وحالات التسابق، وتصعيد الصلاحيات بين الأدوار، وحدود الثقة المعطوبة.
اختبار يدوي صارم لا تستطيع الأدوات الآلية لمحاكاته
محاكاة هجوم مبنية على فهم عميق لمنطق التطبيق
فحص من منظور مستخدمين وأدوار ومستأجرين متعددين
نتائج مُتحقَّق منها بالاستغلال الفعلي فقط
تُبنى اختباراتنا لتطبيقات الويب على أرقى الأطر المتعارف عليها في الصناعة، بحيث تتوافق النتائج مباشرة مع ما تتوقعه جهات التدقيق والعملاء. تتبع المنهجية OWASP WSTG وOWASP Top 10 مع مراجع تغطية من SANS CWE Top 25 وإرشادات NIST.
كيف نختبر تطبيق الويب الخاص بك عبر أربعة تخصصات
تغطي الأتمتة السطح المعروف بسرعة، ثم يأتي الاختبار اليدوي لتفكيك مكوّنات التطبيق واكتشاف الثغرات الصعبة التي لا تلتقطها الأدوات.
منهجية مُجرَّبة تغطي OWASP Top 10 وما بعدها — إساءة استخدام المنطق، وسلاسل ثغرات، وأخطاء في حدود الثقة.
عند توفر الكود، تكشف مراجعة عالية المستوى للقاعدة البرمجية الأخطاء والأنماط غير الآمنة ومخالفات المعايير قبل النشر.
أدوات هجومية داخلية ودروس من آلاف مهمات التطبيقات تجعل تقييمك منسجمًا مع ما يستخدمه المهاجمون النشطون اليوم.
تُربط قوالب التقارير بالضوابط والفقرات التي تهتم بها جهات التدقيق، بحيث تغذّي الجلسة الواحدة أدلة SOC 2 Type II ومعالجة مخاطر ISO 27001 أو مراجعات HIPAA وPCI-DSS دون ورق إضافي.
كل ما تستلمه، بجانب قائمة الثغرات
شامل وسهل التنقّل ومكتوب ليُقرأ — متن رئيسي، وتفاصيل لكل ثغرة، ولقطات توضيحية.
خطوات إصلاح قابلة للتنفيذ لكل نتيجة، مع تقدير الجهد كلما أمكن.
تعاون فوري مع فريقك للأسئلة وتعديلات النطاق والنتائج العاجلة.
نعيد اختبار الإصلاحات المنشورة للتأكد من كفاءتها — متضمنة لا مفوترة.
خطاب رسمي يؤكد إجراء الاختبار ونتائجه، جاهز للعملاء وجهات التدقيق.
جلسة تحليل لفريق الهندسة لاستعراض النتائج وأولوياتها.
ثغرات الحقن (SQL، NoSQL، أوامر، قوالب)
المصادقة الضعيفة وإدارة الجلسات
التحكم في الوصول وIDOR وتصعيد الصلاحيات
XSS وCSRF وSSRF وإعادة التوجيه المفتوحة وسوء استخدام الرفع
منطق الأعمال متعدد الخطوات واستغلال مسارات التسعير
الإعدادات الخاطئة ومخلفات بيئات التطوير (debug) وكشف البيانات الحساسة
تحديد المعدلات وضوابط مكافحة الأتمتة
التكاملات مع أطراف خارجية والواجهات البرمجية
Scenario 01
يتسلل مهاجم من حساب عميل إلى بيانات مستأجر آخر.
Scenario 02
ثغرات متسلسلة: SSRF تكشف بيانات حساسة، ثم تحوّل إلى استحواذ.
Scenario 03
مستخدم خبيث يعبّث منطق الدفع للحصول على أسعار سلبية.
Scenario 04
رموز الجلسة تتسرب إلى نطاقات فرعية أو سكربتات خارجية.
المدخل /api/invoices/{accountId} قبِل أي رقم حساب للمستخدم المسجّل وأعاد ملفات فواتير مستأجرين آخرين. جمع التعداد الآلي كل الفواتير في أقل من ساعة.
معالجة الثغرة
فرض فحوص ملكية من جهة الخادم على accountId؛ أضف اختبارات التصريح إلى CI؛ وافحص المداخل المشابهة بحثًا عن النمط نفسه.
CVSSv3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
يواكب مختبرونا باستمرار أحدث تقنيات المهاجمين، ليشمل الاختبار ثغرات لم تُدرج بعد في الأطر العامة.
طريقة تحزيم المهمات وتسعيرها — نظرة سريعة
استعرض الخطط والأسعارالأسئلة الشائعة
كل ما يسألنا مديرو التقنية والمعلومات أمنًا قبل تحديد النطاق.
أخبرنا بما تريد اختباره. نرد بنطاق مكتوب (مع اتفاقية عدم إفصاح) خلال يوم عمل واحد.
اطلب عرضًا