VEB-ILOVALAR XAVFSIZLIGI AUDITI · TOSHKENT
Saytingizda qancha xato bor — 30 soniyada bilib oling.
Domenni kiriting. Tashqi tomondan koʻrinadigan konfiguratsiya tekshiriladi va jiddiylik boʻyicha tartiblangan hisobot beriladi. Roʻyxatdan oʻtish shart emas.
Tekshiruv passiv: faqat ochiq maʼlumot oʻqiladi. Saytga yuklama berilmaydi, hech narsa oʻzgartirilmaydi, hujum imitatsiyasi qilinmaydi.
Hisobot shunday koʻrinadi
Quyida haqiqiy skan natijasi — e-commerce sayti, 2026-yil avgust. Domen egasi ruxsati bilan namuna sifatida koʻrsatilgan.
UMUMIY BALL
- Jiddiy
- 4
- Oʻrta
- 5
- Past
- 3
- Yaxshi
- 6
DNS va domen
DMARC yozuvi yoʻq · DNSSEC oʻchirilgan · SPF: ok
SSL / TLS
TLS 1.0 yoqilgan · zaif shifr toʻplami: 3 · sertifikat 41 kunda tugaydi
HTTP header'lar
Content-Security-Policy: yoʻq · Strict-Transport-Security: yoʻq · X-Frame-Options: yoʻq
Subdomenlar
14 topildi · ochiq: staging.market… (401 yoʻq), old-admin.market… (login sahifasi)
CORS siyosati
Access-Control-Allow-Origin: * · credentials: true — xavfli kombinatsiya
Texnologiya versiyalari
nginx 1.18.0 · PHP 7.4.33 (qoʻllab-quvvatlanmaydi) · jQuery 1.12.4 — 2 maʼlum CVE
Har bir band uchun hisobotda: nima aniqlandi, nima uchun muhim, qanday tuzatiladi.
Nima tekshiriladi
DNS va domen konfiguratsiyasi
Yozuvlar toʻgʻri sozlanmagan boʻlsa, sizning domeningiz nomidan mijozlarga xat yuborish qiyin emas.
SPF · DKIM · DMARC · DNSSEC · AXFR · NS/MX
SSL / TLS holati
Eskirgan protokol yoki muddati tugagan sertifikat — brauzer mijozga «xavfli sayt» deb ogohlantirish beradi.
TLS 1.0/1.1 · shifr toʻplamlari · zanjir · muddat · HSTS
HTTP xavfsizlik header'lari
Bu sozlamalar brauzer darajasidagi himoya. Ular yoʻq boʻlsa, XSS va clickjacking sezilarli osonlashadi.
CSP · X-Frame-Options · X-Content-Type-Options · Referrer-Policy
Subdomenlar roʻyxati
Eng koʻp uchraydigan muammo — unutilgan test, staging va eski admin panellar. Ular ochiq internetda qoladi.
CT log · ochiq manbalar · javob kodlari · himoya holati
CORS siyosati
Haddan tashqari ochiq sozlama begona saytga foydalanuvchi sessiyasi orqali maʼlumot oʻqish yoʻlini beradi.
Allow-Origin · Allow-Credentials · preflight · null origin
Texnologiya versiyalari
Server va kutubxona versiyasi ochiq koʻrinsa, hujumchi kerakli ekspluatatsiyani izlab oʻtirmaydi.
server banner · CMS · framework · JS kutubxonalar · CVE
Bepul skan nimani topa olmaydi
Avtomatik skan tashqi konfiguratsiyani koʻradi. Ilovangizning ichki mantiqini koʻrmaydi. Amalda eng qimmatga tushadigan xatolar aynan shu yerda boʻladi — ularni skaner emas, odam topadi.
Har bir band — real loyihalarda uchragan holat. Barchasi qoʻlda test doirasida tekshiriladi.
IDOR — begona maʼlumotga kirish
Havoladagi
/api/invoice/10231raqamini oʻzgartirsa, boshqa mijozning hisob-fakturasi ochiladimi? Buni faqat tizimga kirgan sessiya bilan tekshirib bilish mumkin.Biznes-mantiq xatolari
Chegirma kuponini ikki marta qoʻllash, toʻlov tasdiqlanmasdan buyurtmani yopish, summaga manfiy qiymat kiritish. Kod xatosiz ishlaydi — pul yoʻqoladi.
Autentifikatsiya bypass
SMS kodini cheksiz urinib koʻrish imkoni, JWT imzosini tekshirmaslik, parolni tiklash havolasining eskirmasligi.
Huquqlarni oshirish
Oddiy foydalanuvchi soʻrovga
role=adminmaydonini qoʻshsa, backend unga ishonadimi?Fayl yuklash va SSRF
Yuklangan fayl serverda bajarilib ketishi, ilova orqali ichki tarmoqqa soʻrov yuborish.
Qoʻlda test tariflari
Narx shartnomada qatʼiy belgilanadi. Ish hajmi oshsa — avval kelishamiz, keyin boshlaymiz.
MUDDAT: 3–5 ish kuni
- Avtomatlashtirilgan skanerlash va natijalarni qoʻlda filtrlash
- Tashqi perimetr: DNS, SSL/TLS, header'lar, subdomenlar
- Maʼlum CVE'lar boʻyicha versiya tekshiruvi
- Jiddiylik boʻyicha tartiblangan hisobot va tuzatish tavsiyalari
MUDDAT: 10–14 ish kuni
- VA tarkibidagi barcha ishlar
- OWASP Top 10 boʻyicha qoʻlda test
- Autentifikatsiya, sessiya va rollar mantiqi
- IDOR va biznes-mantiq xatolari
- API endpoint'lari: REST va GraphQL
- Rahbariyat uchun qisqa xulosa + texnik hisobot
- Tuzatishdan keyin 1 marta bepul retest
MUDDAT: 4–6 hafta
- Web Pentest tarkibidagi barcha ishlar
- Ichki tarmoq va infratuzilma testi
- Mobil ilova: Android va iOS
- Kodni tanlab koʻrib chiqish (source code review)
- Fishing simulyatsiyasi va xodimlar uchun brifing
- 3 oy ichida 2 marta retest
Qanday ishlaymiz
OSCP sertifikati
Testni Offensive Security Certified Professional sertifikatiga ega mutaxassis bajaradi. Sertifikat raqami va tekshirish havolasi shartnomaga ilova qilinadi.
Shartnoma asosida
Har bir ish yozma shartnoma, texnik topshiriq va aniq muddat bilan boshlanadi. Ish hajmi, narx va hisobot shakli oldindan belgilanadi.
Yozma ruxsat talab qilinadi
Aktiv testni faqat domen egasining yozma ruxsati bilan boshlaymiz. Ruxsatsiz hech qanday hujum simulyatsiyasi oʻtkazilmaydi — bu qonun talabi ham.
Maxfiylik
NDA — standart amaliyot. Hisobot faqat siz koʻrsatgan shaxslarga beriladi, topilgan xatolar uchinchi tomonga oshkor qilinmaydi. Ish materiallari 90 kundan keyin oʻchiriladi.
Aloqa
Formani toʻldiring — 1 ish kuni ichida ish hajmi va aniq narx boʻyicha javob yuboramiz.
- TEL
- +998 70 165 03 00
- kurbonoffdev@gmail.com
- MANZIL
- Buxoro shahar
- VAQT
- 24/7