Acesso a dados de outro cliente
Falhas de autorização em que trocar um identificador na requisição basta para ler ou alterar informação que pertence a outra pessoa ou a outra empresa.
Serviço 01 / 07 · Segurança ofensiva
Pentest de aplicações web
A sua aplicação resiste a alguém que a estuda com tempo e método?
Simulação de cenários reais de intrusão contra aplicações e portais, para identificar pontos de exposição e avaliar a segurança, a integridade e a confiabilidade do que sustenta a sua operação.
01 · O que é
O que este teste avalia
Uma aplicação web é, na prática, a porta mais visível de uma empresa. Ela recebe tráfego de qualquer lugar, muda com frequência e concentra decisões de negócio que valem dinheiro: quem pode ver o quê, quem pode aprovar o quê, quanto pode ser transferido, o que pode ser exportado.
O pentest web avalia essa superfície sob a ótica de quem tenta explorá-la. Não se trata de passar um scanner e transcrever o resultado: trata-se de entender o que a aplicação faz, descobrir onde a lógica assume algo que não deveria assumir e demonstrar, com evidência, até onde é possível chegar a partir disso.
Quando faz sentido
- 01
Antes de colocar uma aplicação nova em produção ou expor um portal a clientes.
- 02
Depois de uma reformulação relevante de autenticação, permissões ou fluxo de pagamento.
- 03
Quando um cliente enterprise, uma auditoria ou um processo de conformidade pede comprovação.
- 04
Quando a aplicação cresceu por camadas e ninguém tem mais o mapa completo do que ela expõe.
02 · Riscos avaliados
O que costuma estar quebrado aqui
Nem todo achado aparece em todo ambiente. Estes são os padrões que a avaliação procura deliberadamente, porque são os que mais frequentemente sustentam um caminho completo até o impacto.
Contorno de autenticação
Fluxos de login, recuperação de senha, segundo fator e sessão que podem ser burlados por caminhos alternativos que não foram previstos no desenho.
Abuso de regra de negócio
Operações válidas encadeadas de forma inesperada (repetir, reordenar, cancelar no meio) para obter vantagem que a aplicação nunca pretendeu conceder.
Injeção e manipulação de consulta
Entrada tratada como instrução em vez de dado, permitindo leitura, alteração ou destruição de informação armazenada.
Exposição por upload e arquivos
Arquivos enviados, gerados ou servidos pela aplicação que acabam virando caminho de execução ou de leitura indevida.
Vazamento por resposta e erro
Mensagens, cabeçalhos e retornos que entregam ao atacante o mapa interno da aplicação antes mesmo do primeiro ataque real.
03 · Superfície
Como enxergamos esse domínio
Antes de testar, mapeamos. O diagrama abaixo mostra a estrutura que orienta o trabalho e onde os pontos de verificação são posicionados.
- L1 Navegador cliente, cookies e armazenamento local
- L2 CDN / Edge cache, headers e rotas expostas
- L3 WAF regras, bypass e falsa sensação de cobertura
- L4 Aplicação lógica de negócio, upload e fluxos de estado
- L5 Autenticação e sessão login, MFA, recuperação e escopo de permissão
- L6 Dados consultas, isolamento entre clientes e exportações
04 · O que testamos
Frentes de trabalho
A profundidade de cada frente depende do escopo acordado e da modalidade escolhida. Nada aqui é executado sem autorização formal.
Ver a metodologia completa- Autenticação e sessão. Login, segundo fator, expiração, revogação, recuperação de conta e reuso de token.
- Autorização. Cada função e cada objeto testados com cada nível de privilégio disponível no escopo.
- Regras de negócio. Fluxos críticos executados fora da ordem esperada, com valores e estados de contorno.
- Entrada e saída de dados. Tratamento de parâmetros, serialização, upload, exportação e integrações.
- Configuração e exposição. Cabeçalhos, cache, endpoints esquecidos, ambientes de teste e arquivos acessíveis.
- Cliente. Armazenamento local, dados sensíveis no navegador e execução indevida de script.
05 · O que você recebe
A entrega ao final do trabalho
O relatório precisa servir a quem decide prioridade e a quem vai corrigir. Por isso a entrega é construída em camadas, e o ciclo só fecha com o reteste.
Solicitar avaliação- 01
Leitura executiva
O cenário de exposição traduzido para linguagem de negócio.
- 02
Relatório técnico
Cada achado descrito com o caminho percorrido e as condições para reproduzi-lo.
- 03
Evidências e provas de conceito
Demonstração concreta da exploração, sem depender de interpretação.
- 04
Priorização por impacto
As descobertas ordenadas pelo risco real para a sua operação.
- 05
Plano de correção
Recomendações práticas de remediação, orientadas ao seu contexto técnico.
- 06
Reteste das correções
Nova validação após a implementação, confirmando a eliminação do risco.
06 · Perguntas frequentes
Dúvidas comuns
Se a sua pergunta não estiver aqui, ela provavelmente é específica do seu ambiente. e é exatamente o tipo de coisa que a conversa inicial resolve.
As duas coisas são possíveis e a escolha faz parte do escopo. Homologação reduz risco operacional, mas só vale se for fiel à produção. Produção dá o resultado mais realista e exige combinação prévia de janela, limites e critérios de parada. Isso é definido com você antes do início.
Depende da modalidade escolhida. Sem credenciais (Black Box) o teste reproduz a visão de um atacante externo. Com credenciais e documentação (Gray ou White Box) o mesmo tempo cobre mais profundidade, especialmente em autorização e regra de negócio.
O escopo define explicitamente o que é permitido. Testes destrutivos, negação de serviço e ações de alto impacto ficam de fora salvo autorização específica, e existem critérios de parada acordados antes do início do trabalho.
Achados de alta severidade são comunicados durante o engajamento, sem esperar o relatório final, para que a correção possa começar imediatamente.
07 · Superfícies relacionadas
Costuma fazer sentido junto com
Próximo passo
Quer avaliar a sua superfície de web?
A conversa inicial serve para entender o ambiente, o risco prioritário e o formato de teste adequado. Sem compromisso e sem exigir material técnico preparado.