هر چیزی که یک مهاجم می‌تواند هدف قرار دهد

اپلیکیشن شما را به‌عنوان یک مهاجم هدف قرار می‌دهیم: مسیرهای احراز هویت، کنترل دسترسی، جریان‌های پرداخت، و منطق سمت سرور. تست دستی روی کد و درخواست‌ها انجام می‌شود و هر یافته تا سطح اثر واقعی زنجیره می‌شود.

فایل‌های APK/IPA را دیکامپایل می‌کنیم، لایه‌های obfuscation را دور می‌زنیم، و رفتار برنامه را در زمان اجرا با Frida و Objection ابزار می‌گیریم. تست روی نسخه واقعی منتشرشده انجام می‌شود، نه صرفاً روی سورس شما.

API شما سطح حمله اصلی است و اغلب کمترین پوشش تست را دارد. ما مستندات OpenAPI را استخراج، تمام مسیرها را نقشه‌برداری، و هر اندپوینت را با نقش‌ها، شناسه‌ها و متدهای HTTP به‌صورت سیستماتیک تست می‌کنیم.

شبکه داخلی و سرویس‌های در معرض را ارزیابی می‌کنیم: سرویس‌های قدیمی بدون وصله، پروتکل‌های رمزنگاری‌نشده، حساب‌های کاربری با سطح دسترسی بالا، و مسیرهای واقعی حرکت جانبی.

برای سازمان‌هایی که روی ابر ساخته‌اند، کنترل دسترسی و پیکربندی مهم‌تر از کد اپلیکیشن است. ما نقش‌ها، سیاست‌ها، ذخیره‌سازی عمومی، و مرزهای شبکه را با رویکرد مهاجمان واقعی بررسی می‌کنیم.

به‌جای تست تک‌نقطه‌ای، یک سناریوی واقعی از مرحله ورود تا دسترسی کنترل‌شده بر هدف شبیه‌سازی می‌کنیم. در فاز پورپل، تیم آبی شما در کنار ما رویدادها را به‌صورت زنده می‌بیند و همزمان تشخیص و پاسخ خود را تقویت می‌کند.