SynergyBit
Etický hacking · OWASP

Penetrační testování webových aplikací a API

Odhalíme kritické zranitelnosti ve vašich webech a rozhraních API dřív, než je najdou útočníci. Kombinujeme automatizované skenování s ruční exploatací dle metodik OWASP Web Security Testing Guide a OWASP API Security Top 10.

OSCP · CEH · CISSP
Retest do 90 dnů zdarma
Report pro auditory
attack surface — ukázka nálezů
CRITBOLA na /api/v2/orders/{id} — přístup k cizím objednávkám
HIGHJWT `alg:none` bypass v refresh flow
HIGHSQLi v /search?q= (blind, time-based)
MEDStored XSS v komentářích (CSP bypass)
MEDGraphQL introspection povolen na produkci
LOWChybějící security headers (HSTS, CSP)
Rozsah služby

Co testujeme na webových aplikacích a API

Pokrýváme moderní stack — od single-page aplikací po GraphQL API a mikroslužby. Testujeme jak veřejné, tak interní systémy.

Webové aplikace

  • SPA (React, Vue, Angular)
  • Klasické MPA a e-shopy
  • Portály a intranety
  • SaaS platformy a multi-tenant

REST & GraphQL API

  • OpenAPI / Swagger
  • GraphQL introspection & injection
  • gRPC a WebSockets
  • Webhooks a callbacks

Autentizace & Autorizace

  • OAuth 2.0 / OIDC flow
  • JWT security & signing
  • SAML SSO
  • MFA & passwordless

Aplikační logika

  • Race conditions
  • Business logic bypass
  • Payment flow abuse
  • Workflow escalation
Metodika OWASP

OWASP Top 10 pro weby i API

Testujeme systematicky podle aktuálních OWASP standardů — nic nezůstane opomenuto.

OWASP Top 10 (Web)

A01
Broken Access Control
IDOR, path traversal, obcházení autorizace
A02
Cryptographic Failures
Slabé šifrování, expozice citlivých dat
A03
Injection
SQLi, NoSQLi, LDAP, OS Command Injection
A04
Insecure Design
Chyby v návrhu aplikační logiky
A05
Security Misconfiguration
Default credentials, verbose errors, headers
A06
Vulnerable Components
Zastaralé knihovny, CVE ve frameworku
A07
Auth & Identification Failures
Brute force, session hijacking, MFA bypass
A08
Software & Data Integrity
Nezabezpečené CI/CD, deserialization
A09
Logging & Monitoring Failures
Chybějící audit trail a detekce incidentů
A10
SSRF
Server-Side Request Forgery, cloud metadata

OWASP API Security Top 10

API1
BOLA
Broken Object Level Authorization
API2
Broken Authentication
JWT chyby, weak tokens, credential stuffing
API3
Broken Object Property Level Auth
Mass assignment, excessive data exposure
API4
Unrestricted Resource Consumption
Rate limiting, DoS, cost-based útoky
API5
BFLA
Broken Function Level Authorization
API6
Unrestricted Sensitive Business Flows
Zneužití business logiky přes API
API7
SSRF
Server-Side Request Forgery v API voláních
API8
Security Misconfiguration
CORS, verbose errors, chybějící hardening
API9
Improper Inventory Management
Shadow API, deprecated verze, dev endpointy
API10
Unsafe Consumption of APIs
Důvěra 3rd-party API bez validace
Postup

Jak probíhá penetrační test

Transparentní 6krokový proces dle PTES a OWASP WSTG s jasnými výstupy v každé fázi.

1. Reconnaissance

Mapování atack surface, subdomény, endpointy, technologický stack, OSINT o aplikaci a jejím ekosystému.

2. Threat Modeling

STRIDE analýza, identifikace kritických aktiv, definice test cases dle business kontextu a rolí uživatelů.

3. Vulnerability Discovery

Kombinace automatizovaných skenerů (Burp Suite Pro, ZAP, Nuclei) a ruční exploatace zkušenými pentestery.

4. Exploitation & PoC

Ověření zneužitelnosti nálezu, řetězení zranitelností a reálný dopad na data a byznys — vždy v kontrolovaném rozsahu.

5. Reporting

Executive summary pro management a detailní technický report s CVSS 3.1, PoC, důkazy a jasným návodem na opravu.

6. Retest

Bezplatný retest opravených zranitelností do 30 dnů. Vydání certifikátu o provedeném testu pro auditory a klienty.

Nástroje

Enterprise nástroje + ruční expertíza

Automatizované skenery pokryjí známé zranitelnosti a širokou plochu. Kritické nálezy a business logic však odhalí pouze zkušený pentester s hlubokým porozuměním aplikaci.

  • Burp Suite Professional (aktivní i pasivní scan, extensions)
  • OWASP ZAP, Nuclei, Semgrep pro CI/CD integraci
  • Postman + custom scripty pro API testování
  • sqlmap, ffuf, Amass, subfinder pro reconnaissance
  • Vlastní PoC exploity a fuzzery pro business logiku

Proč nestačí jen automat?

Automatizované skenery detekují cca 30–40 % zranitelností. Kritické chyby jako BOLA, race conditions, business logic bypass nebo chain exploity vyžadují lidský mozek.

30-40%
pokryje skener
100%
skener + pentester
Ceník

Balíčky penetračního testování

Orientační ceny — finální nabídku upravíme podle velikosti aplikace, počtu rolí a rozsahu API.

Web App Pentest

od 65 000 Kč
5–10 dnů · 1 webová aplikace
  • OWASP Top 10 2021
  • Authenticated + unauthenticated
  • Manuální exploatace
  • Retest zdarma
Nejoblíbenější

API Pentest

od 55 000 Kč
4–8 dnů · 1 API (do 50 endpointů)
  • OWASP API Top 10 2023
  • Business logic fuzzing
  • Auth & authorization matrix
  • Retest zdarma

Web + API Bundle

od 95 000 Kč
8–14 dnů · Aplikace + její API
  • Kompletní OWASP pokrytí
  • End-to-end scénáře
  • Threat modeling workshop
  • 2× retest zdarma
Compliance

Splnění regulatorních požadavků

NIS2 / nZKB

Prokázání testování bezpečnosti dle §16 zákona o kybernetické bezpečnosti.

ISO/IEC 27001

Naplnění kontroly A.8.29 — Security testing in development and acceptance.

PCI DSS 4.0

Povinný pentest dle req. 11.4.1–11.4.5 pro merchant a service provider prostředí.

DORA (EU 2022/2554)

Threat-Led Penetration Testing (TLPT) pro finanční instituce.

CRA (EU 2024/2847)

Security testing produktů s digitálními prvky před uvedením na trh EU.

GDPR

Prokazatelné technické opatření dle čl. 32 — testování a hodnocení účinnosti.

FAQ

Časté otázky

Zjistěte, kde je vaše aplikace zranitelná

Nezávazně vám do 24 hodin připravíme scoping a cenovou nabídku pentestu na míru vaší webové aplikaci nebo API.

Související služby

Penetrační testování aplikacíAPI Penetration TestingCloud Penetration TestingBezpečnostní Code ReviewOchrana webových aplikací (WAF)Webrecon — průzkum útočné plochy