Segurança ofensiva · Belo Horizonte
A gente encontra a falha antes de quem não devia.
Pentest de aplicações web, APIs e apps, revisão de código e programas de divulgação responsável. Feito por quem caça vulnerabilidade em programas de bug bounty, com relatório que o seu time consegue corrigir.
Pedidos de outros clientes visíveis pela API
- Onde
- GET /api/v2/pedidos/{id}
- Classe
- Controle de acesso quebrado (BOLA / IDOR)
- Impacto
- Qualquer conta logada lê nome, endereço e itens dos pedidos de outros clientes trocando o número na URL.
Prova
GET /api/v2/pedidos/48213 HTTP/2Host: api.exemplo.com.brAuthorization: Bearer eyJhbGci… (sessão da conta B)HTTP/2 200{"id": 48213, "cliente": "Maria Souza", "cep": "30112000", …}
Correção
Conferir no servidor se o pedido pertence à conta da sessão antes de responder, com um teste automatizado para o caso.
Controle de acesso (IDOR / BOLA), Lógica de negócio, SSRF, Injeção SQL e NoSQL, XSS, JWT e sessão, OAuth e SSO, Condição de corrida, Upload de arquivos, Escalada de privilégio, GraphQL, Segredos expostos, Desserialização, Cache e cabeçalhos
Serviços
Testamos o que o seu cliente usa e o que um atacante procura.
Pentest de aplicações web e APIs
Autenticação, separação entre usuários e entre empresas, lógica de negócio, injeção, upload de arquivos e integrações. REST e GraphQL.
OWASP WSTG · API Security Top 10
Pentest de apps Android e iOS
O que o app guarda no aparelho, como conversa com a API, sessão e autenticação, e o que dá para tirar do pacote publicado na loja.
OWASP MASVS · MASTG
Revisão de código e arquitetura
Leitura do código e do desenho do sistema com foco no que pode ser explorado. Acha o que o teste de fora não alcança e mostra onde corrigir.
OWASP ASVS
Bug bounty e divulgação responsável
Política para quem encontra uma falha no seu sistema, security.txt, triagem dos relatos e, quando faz sentido, um programa de recompensa.
ISO/IEC 29147 · 30111
Como trabalhamos
Do escopo ao reteste, sem surpresa.
O método vem do bug bounty: entender o sistema como quem quer abusar dele, provar o impacto de verdade e só reportar o que se reproduz.
- 01
Conversa e escopo
Combinamos o que entra no teste, os ambientes, as contas de teste e a janela. Você recebe a proposta com prazo e preço fechados.
- 02
Autorização por escrito
Antes do primeiro pacote, contrato, acordo de sigilo e regras de engajamento assinados, com quem chamar se algo sair do normal.
- 03
Teste manual
Ferramenta ajuda, mas quem acha a falha que importa é gente lendo o sistema. Falha crítica é avisada no mesmo dia, sem esperar o relatório.
- 04
Relatório
Resumo para a diretoria e cada achado com prova, impacto, severidade e o caminho da correção, escrito para o time de engenharia.
- 05
Reteste incluído
Depois que o time corrige, testamos de novo os achados e atualizamos o relatório com o que ficou resolvido.
O que você recebe
Um relatório para corrigir, não para arquivar.
Cada achado traz o passo a passo para reproduzir, o que um atacante consegue com ele e o que mudar no código. A diretoria lê a primeira página, o time de engenharia lê o resto.
Resumo executivo · achados
19 no total
- Crítica1
- Alta3
- Média5
- Baixa4
- Informativa6
- 01Resumo executivo em uma página, com o risco em linguagem de negócio
- 02Escopo, período, ambientes e o que ficou de fora
- 03Cada achado com prova reproduzível, impacto e severidade pelo CVSS 4.0
- 04Correção sugerida e referência para o time de engenharia
- 05Pontos positivos encontrados, não só o que está errado
- 06Versão atualizada depois do reteste
Sigilo e dados
Quem testa segurança tem que cuidar dela primeiro.
Contrato e sigilo primeiro
Nada é testado sem autorização escrita de quem responde pelo sistema.
Mínimo de dados
A prova mostra que o acesso existe, sem copiar mais dado pessoal do que o necessário. Tratamento conforme a LGPD.
Nada fica guardado
Credenciais de teste e evidências com dado de cliente são apagadas ao fim do trabalho.
Relatório protegido
Entregue cifrado e só para as pessoas que você indicar.
Perguntas
O que costumam perguntar.
Quanto custa um pentest?
Depende do tamanho do que vai ser testado: quantas aplicações, perfis de usuário, rotas de API e plataformas de app. Depois da conversa de escopo você recebe uma proposta com preço e prazo fechados.
Vocês testam em produção?
Preferimos um ambiente de homologação parecido com o real. Quando o teste precisa ser em produção, combinamos janela, limites e quem acompanha, e nada que derrube o serviço entra no escopo.
Qual a diferença para um scanner automático?
O scanner encontra o que é conhecido e repetido. As falhas que mais custam caro, como um usuário vendo dado de outro ou pulando uma etapa de pagamento, dependem de entender a regra do negócio, e isso é trabalho manual.
O relatório serve para cliente, auditoria e certificação?
Sim. O resumo executivo e a carta de conclusão do reteste costumam ser pedidos em due diligence, questionários de segurança de clientes grandes e processos como ISO 27001 e SOC 2.
Encontrei uma falha no site de vocês. Como reporto?
Escreva para contato@amarrado.com.br. Seguimos divulgação responsável e respondemos a quem reporta.
Contato
Conte o que você quer testar.
Diga o sistema, o ambiente disponível e o prazo. Respondemos com as perguntas de escopo e, em seguida, a proposta.