تست نفوذ وب‌سایت و وب‌اپلیکیشن
OWASP Top 10، منطق کسبوکار، و زنجیره‌های بهرهبرداری واقعی
۵ تا ۱۵ روز کاریجزئیات
تیم تست نفوذ دارای گواهی‌نامه OSWE · OSCP · CRTO
نقاط ضعف شما راپیش از مهاجم پیدا میکنیم
DevByte تیم تست نفوذ و ارزیابی امنیتی ایرانی است؛ وب‌اپلیکیشن، اپ موبایل، API، زیرساخت و شبکه را با تست دستی، مهندسی معکوس و بهرهبرداری واقعی بررسی میکنیم — و گزارشی تحویل میدهیم که تیم توسعه شما واقعاً می‌تواند آن را برطرف کند.
تمام تست‌ها تنها با مجوز کتبی و در چارچوب توافقنامه تست نفوذ انجام میشود.
engage.sh — bash
devbyte@ops:~$ ./engage.sh --target=devbyte.ir --scope=all
> [ 00:00:01 ] Initializing recon engine …
> [ 00:00:03 ] 1,284 subdomains enumerated · 37 live services
> [ 00:00:09 ] JavaScript bundle analysis → 3 leaked secrets
> [ 00:00:14 ] GraphQL introspection enabled on /api
> [ 00:00:19 ] IDOR verified on /api/v2/invoice/{id}
> [ 00:00:23 ] Privilege escalation chain confirmed
> [ 00:00:27 ] REMOTE CODE EXECUTION as www-data ✔
> [ 00:00:31 ] Evidence captured. Report queued for review.
zsh 5.9 · utf-8متصلخروجی ۰۰:۰۰:۳۱
- پروژه تست نفوذ تکمیل‌شده
- ۰+پروژه تست نفوذ تکمیل‌شده 01
- آسیبپذیری کشف و مستند شده
- ۰+آسیبپذیری کشف و مستند شده 02
- مشتریانی که دوباره برمی‌گردند
- ۰%مشتریانی که دوباره برمی‌گردند 03
- تجربه در امنیت اپلیکیشن
- ۰ سالتجربه در امنیت اپلیکیشن 04
تست دستی، نه اسکن انبوه
ترکیب تست انسانی با ابزار خودکار. ابزارها سطح حمله را پیدا میکنند، ما منطق کسبوکار شما را می‌شکنیم.
گزارش قابل اقدام
برای هر یافته: شواهد، PoC تکرارپذیر، ریشه مشکل، و راه اصلاح کد — نه صرفاً یک هشدار مبهم.
محرمانگی کامل
NDA پیش از هر گفتوگو. یافتهها فقط در اختیار شما، بدون بازاریابی و بدون افشا در کانال‌های عمومی.
تست مجدد تا بسته شدن
اصلاح تایید میشود، یا دوباره بازتست میشود. امنیت یک رویداد نیست، یک وضعیت پیوسته است.
گواهی‌نامه‌هاOSWEOSCPCRTOCISSPCISMeWAPTXBurp Suite CertifiedAWS Security Specialty
درباره DevByte
تیمی که هر روز منتظر پیدا کردن راه‌های دور زدن است
DevByte در سال ۲۰۱۳ توسط تیمی از مهندسان امنیت و توسعه‌دهندگان راه‌اندازی شد. ما باور داریم امنیت واقعی زمانی معنا پیدا میکند که یک مهاجم واقعی، با انگیزه واقعی، از همان مسیری که کاربر شما می‌رود وارد شود.
ما اسکنر خودکار را جایگزین تفکر نمیکنیم. هر گزارش ما پشتوانه یک زنجیره بهرهبرداری قابل تکرار دارد: پیدا کردن یک نقطه، اثبات اثر آن، و رسیدن به جایی که تیم شما انتظارش را ندارد.
خروجی ما فقط یک فایل PDF نیست. ما یک جلسه بازبینی زنده با تیم فنی، اولویت‌بندی ریسک بر اساس زیرساخت کسبوکار شما، و پشتیبانی تا لحظه‌ای که اصلاحات بسته شده‌اند ارائه میدهیم.
2013
سال تأسیس
12+
سال تجربه
24/7
پاسخ اضطراری
خدمات
هر آنچه یک مهاجم می‌تواند هدف قرار دهد
از لایه اپلیکیشن تا زیرساخت ابری — یک تیم، یک روش، و گزارشی یکپارچه.
تست نفوذ اپلیکیشن موبایل
اندروید و iOS، مهندسی معکوس بایت‌کد و تحلیل Frida
۵ تا ۱۰ روز کاریجزئیات
ارزیابی امنیتی API
REST، GraphQL، gRPC و WebSocket با تست نقش‌محور
۴ تا ۱۲ روز کاریجزئیات
تست نفوذ شبکه و زیرساخت
پروتکل‌های قدیمی، سرویس‌های افشا شده و مسیرهای حرکت جانبی
۵ تا ۱۲ روز کاریجزئیات
امنیت زیرساخت ابری
AWS، Azure، GCP، Kubernetes و تنظیمات نادرست IAM
۵ تا ۱۰ روز کاریجزئیات
ارزیابی ترکیبی و تیم قرمز
سناریوی واقعی از کارمند تا کنترل کامل دامنه
۲ تا ۶ هفتهجزئیات
دیدگاه مهاجم
آنچه یک مهاجم در ۹۰ ثانیه می‌بیند
نقاط روی این کره، سرویس‌های در معرض شماست. هر خط یک ارتباط اعتماد بین دو نقطه است — و هر مسیر، یک احتمال. ما این گراف را می‌سازیم تا ببینیم مهاجم از کجا وارد میشود.
۱۶
سرویس شناسایی‌شده
۴۱
مسیر اعتماد
۴
لایه‌های دفاعی
طبقه‌بندی نقاط
بحرانیcritical
بالاhigh
متوسطmedium
پایینlow
اطلاعاتیinfo
این رنگ‌ها همان اولویت‌بندی‌ای است که در گزارش نهایی اعمال میکنیم — با در نظر گرفتن وزن هر دارایی در کسبوکار شما.
این نقشه پس از پایان تست، همراه با مسیرهای کشف‌شده به‌صورت فایل تحویلی ارائه میشود.
روش کار
هفت مرحله، از شناسایی تا بستن یافته
یک روش تست ثابت و مستند — تا نتیجه هر پروژه قابل مقایسه با پروژه قبلی و قابل دفاع در برابر ممیزی باشد.
01
شناسایی و جمع‌آوری اطلاعات
گسترش دامنه، شناسایی زیرساخت، تکنولوژی‌های مورد استفاده، کارکنان و نشت اطلاعات. این مرحله تعیین میکند در ادامه کجا را عمیق‌تر بررسی کنیم.
ابزارهای این مرحله
SubfinderAmassdnsxhttpxNmapShodanCensysWappalyzer
خروجی‌های این مرحله
- نقشه زیرساخت و سرویس‌ها
- فهرست دامنه‌ها و IPها
- ماتریس دارایی‌ها
پخش خودکار
کلاس‌های آسیبپذیری
آنچه بیشتر از همه پیدا میکنیم
این‌ها الگوهایی هستند که در بیش از ۲۰۰ پروژه به‌طور مکرر دیده‌ایم — و در هر مورد، شدت اثر واقعی را با دست بازتولید کرده‌ایم.
IDOR / BOLA
CWE-639
تغییر شناسه در درخواست، داده‌های کاربران دیگر را بدون مجوز برمی‌گرداند. ساده‌ترین و در عین حال پرتکرارترین یافته در وب‌اپلیکیشن‌ها.
بردار حمله
با تغییر path parameter، query یا header یک عدد به عدد بعدی و مشاهده کدهای پاسخ متفاوت.
اثر
دسترسی به اطلاعات هویتی، مالی و اسناد کاربران؛ در بسیاری از موارد منجر به نشت کامل پایگاه داده میشود.
فراوانی در پروژه‌های ما92%
نمونه پرونده‌ها
یافتهها، با جزئیات
پرونده‌های واقعی با جزئیات محرمانه حذف‌شده. در هر مورد، زنجیره کامل کشف و اثبات آمده است.
4
یافته بحرانی
92%
کاهش سطح حمله پس از اصلاح
11 روز
تا بسته شدن همه یافتهها
زنجیره بهرهبرداری
- 1شناسه فاکتور در URL قابل تغییر بود و اطلاعات کارت بانکی مشتریان را برمی‌گرداند
- 2همین الگو روی endpoint تسویه‌حساب بدون بررسی مالکیت تکرار شده بود
- 3با زنجیره‌سازی، دسترسی به توکن سرویس داخلی تسویه به دست آمد
- 4پس از اصلاح، کل کلاس آسیبپذیری در لایه مدل بازنویسی شد
نام مشتریان و جزئیات فنی حساس تحت توافقنامه محرمانگی حذف یا تغییر شده‌اند. گزارش‌های کامل فقط با درخواست و پس از امضای NDA در اختیار قرار می‌گیرند.
OWASP Top 10OWASP ASVSOWASP MASVSNIST SP 800-115PTESCVSS 3.1MITRE ATT&CKBurp Suite EnterpriseNucleiNessusNmapGhidraFridaJADXMetasploitWiresharkHashcatSubfinderffufKatanaSemgrepBurp SuiteBurp RepeaterCRESTISO 27001PCI DSSOWASP Top 10OWASP ASVSOWASP MASVSNIST SP 800-115PTESCVSS 3.1MITRE ATT&CKBurp Suite EnterpriseNucleiNessusNmapGhidraFridaJADXMetasploitWiresharkHashcatSubfinderffufKatanaSemgrepBurp SuiteBurp RepeaterCRESTISO 27001PCI DSS
SQL InjectionBroken Access ControlSSRFXSSRCEJWT ForgeryPrototype PollutionGraphQL InjectionRace ConditionSubdomain TakeoverOAuth MisconfigurationCache PoisoningSSTIXXECommand InjectionAuth BypassSQL InjectionBroken Access ControlSSRFXSSRCEJWT ForgeryPrototype PollutionGraphQL InjectionRace ConditionSubdomain TakeoverOAuth MisconfigurationCache PoisoningSSTIXXECommand InjectionAuth Bypass
جعبه‌ابزار ما
ابزارها ورودی ما هستند، نه جایگزین تفکر. هر ابزاری که اینجا می‌بینید، در کنار تست دستی و تحلیل کد به‌کار می‌رود.
وب و اپلیکیشن
Burp Suite ProNucleiffufKatanasqlmapSemgrepJaelesArjunParam Miner
شبکه و زیرساخت
NmapNessusNetcatResponderImpacketCrackMapExectcpdumpOpenVAS
مهندسی معکوس
GhidraJADXFridaObjectionHopperAPKToolAndroguardCutter
شناسایی و OSINT
SubfinderAmasshttpxdnsxShodanCensysTrivyTruffleHogLinkFinder
انطباق با استانداردها
OWASP Top 10چارچوب مرجع وب
OWASP ASVSتست سطح‌بندی‌شده
OWASP MASVSاستاندارد موبایل
NIST SP 800-115راهنمای تست فنی
PTESاستاندارد اجرایی تست
MITRE ATT&CKنقشه تکنیک‌ها
CVSS 3.1امتیازدهی ریسک
ISO 27001انطباق امنیت اطلاعات
“
“ما قبلاً از سه تیم دیگر گزارش گرفته بودیم که فقط لیستی از هشدارهای تکراری بود. گزارش DevByte اولین چیزی بود که تیم توسعه ما واقعاً خواند و در همان هفته شروع به اصلاح کرد.”
ما
مدیر امنیت اطلاعات
بانک خصوصی
سوالات متداول
آنچه معمولاً می‌پرسید
اگر پاسخ سوال شما اینجا نبود، یک تماس کوتاه معمولاً همه چیز را روشن میکند.
سوال دیگری دارید؟
info@devbyte.irدقیقاً. اسکنرها سطح حمله را نقشهبرداری میکنند، اما منطق کسبوکار شما را نمیفهمند. تفاوت در کسی است که هشدار را به یک زنجیره بهرهبرداری تبدیل میکند و میگوید یک یافته چقدر واقعاً برای کسبوکار شما هزینه دارد.
تحلیل و یادداشت فنی
آنچه در تست‌ها می‌بینیم
IDORAPIBOLAAccess ControlGraphQLDoSTenant IsolationAndroidFridaReverse EngineeringMASVSAWSIMDSSSRFIAM
ظرفیت محدود هر ماه
بیایید قبل از مهاجم شروع کنیم
یک جلسه مشاوره رایگان بگیرید و دامنه کار را با هم مشخص کنیم. بدون تعهد، بدون هزینه.
پاسخ زیر ۱ روز کاریNDA پیش از هر گفتوگو۳۰ روز پشتیبانی رایگان
شروع همکاری
بیایید سطح حمله شما را با هم پیدا کنیم
فرم را پر کنید یا مستقیماً پیام بدهید. در کمتر از یک روز کاری پاسخ میدهیم و یک جلسه مشاوره رایگان ۳۰ دقیقه‌ای برای درک دامنه کار پیشنهاد میدهیم.
دفتر مرکزیشیراز، پاسارگاد جنوبی، خیابان پاییز
در دسترس
تیم پاسخ‌گو در ساعات کاری، معمولاً کمتر از یک روز کاری پاسخ می‌دهد. برای موارد بحرانی، خط ویژه ۲۴ ساعته فعال است.
شنبه تا چهارشنبه · ۹ تا ۱۸UTC+03:30