Kan iemand een account overnemen?
Resetlinks die twee keer werken, sessies die een wachtwoordwijziging overleven en een tweede factor waar omheen te stappen is.
webapplicatie pentest
Vind wat er misgaat achter de login.
Interopt logt in met elke rol die je meegeeft, doorloopt de flows van je gebruikers en test de API-calls achter elke klik. Bij elke bevinding krijg je de requests die hem aantonen en, als je repository gekoppeld is, de patch die hem oplost.
GSigned in as Guest
Session outlives a password changeRefund after the order was cancelledcriticalInvite link grants admin to any signed-in userProven with the request and responseReset token accepted twiceDiscount code reused across accounts
01 / Zo werkt het
Van een URL naar een bevinding die je zelf kunt reproduceren.
De scan die je instelt, de bevinding die hij aantoont, de fix die hij voorstelt en de vergelijking bij de volgende run.
Diepgang
Begin met een URL. Geef meer mee als je dieper wilt.
Zonder login brengt een run in kaart wat iedereen kan bereiken. Met testaccounts komen de flows en rechten achter de login erbij. Met broncode wijst elke bevinding naar een bestand, een regel en een patch.
- Black box: het publieke oppervlak, vanaf een URL
- Grey box: ingelogd als de testaccounts die je toevoegt
- White box: je gekoppelde repository als context
Step 1
Target
app.acme.iowebapp · staging · 142 routes
Scan mode
Black-boxProbe like an outside attacker. No code access.
Grey-boxSigned-in surface, tested with the accounts you give it.
White-boxThe live target, with a paired repository read for context.
Test accounts3 logins
Each login should only see its own company's data.
Bewijs
Een bevinding is het pad dat hem aantoont.
Geen categorie met een betrouwbaarheidsscore, maar het account, de actie, de request en de response waardoor de applicatie onveilig werd.
- Met welk account elke request werd gedaan
- Requests en responses in de volgorde waarin het gebeurde
- Een CVSS-vector en een OWASP WSTG-test-id
highF-2B7E90C1Password reset token accepted twice
Re-testAsset app.acme.io
EndpointPOST /api/auth/reset
CVSS 3.18.1
Observation
The token from a completed reset, replayed two hours later:
Request · Response
POST /api/auth/reset HTTP/2
{"token":"rt_91f4…","password":"••••••"}
HTTP/2 200
{"status":"password_updated"}
Signed in with the new password
Herstel
De fix hoort bij de bevinding.
Met de repository gekoppeld zoekt de agent de oorzaak op in de code en schrijft hij de wijziging die het lek dicht, inclusief test. Een hertest controleert de bevinding opnieuw zodra de fix live staat.
- Bestanden meenemen of weglaten, of de diff aanpassen
- Een pull request openen op GitHub, GitLab of Bitbucket
- Of de patch downloaden en zelf toepassen
2 of 2 files included · +8 −1Branch fix/reset-token-reuse · base main Reject Edit Open PR
src/auth/reset-password.ts: +2 −1
18−const reset = await findResetToken(token);
18+const reset = await claimResetToken(token); // atomic, single use
1919if (!reset) return invalidToken();
2020await updatePassword(reset.userId, password);
21+await revokeSessions(reset.userId);
src/auth/reset-password.test.tsnew+6 Download patch
Continu
Het herhaalt de test zelf, niet alleen een scan.
Elke scan test de eerdere bevindingen van een asset opnieuw, en de vergelijking zet twee runs naast elkaar: je ziet wat een release oploste en wat er stukging.
- Elke bevinding gemarkeerd als opgelost, nieuw of nog open
- Runs wekelijks, maandelijks, per kwartaal of bij elke deploy
- Een rapport klaar voor een auditor zodra de run eindigt
Compared with the previous runSep 24New1Persistent2Resolved2
New· 1Surfaced for the first time in this scan.
criticalInvite link grants admin to any signed-in userWSTG-ATHZ-03Open
Resolved· 2Replayed by this scan and no longer reproduced.
highPassword reset token accepted twiceWSTG-ATHN-09Resolved
mediumSession survives a password changeWSTG-SESS-07Resolved
Recurring · every deployscan 7D2E4410 · 6h 18m
02 / Dekking
Test de paden, rechten en processen achter de interface.
De echte fouten zitten tussen gebruikers, rollen en de stappen van een proces. Interopt test de applicatie als één samenhangend systeem, niet als een verzameling URL's.
Kan een gebruiker zich voordoen als een ander?
Tenantgrenzen, rolwijzigingen en verwisselde ID's in de requests die de browser al naar je applicatie stuurt.
Kan iemand stappen in een proces overslaan?
Goedkeuringen overslaan, kortingen dubbel gebruiken en bedragen in de checkout aanpassen terwijl de interface zegt dat ze vastliggen.
Kan invoer als code worden uitgevoerd?
Injectie en scriptuitvoering in de browser, aangetoond met wat de applicatie echt deed, niet met een payload die toevallig op een patroon lijkt.
Kan iemand je server laten verbinden met plekken waar hij niet hoort?
Uploads, webhooks en URL-velden getest op serververzoeken en bestandstoegang die ze kunnen uitlokken.
Wat geeft de applicatie onderweg prijs?
Uitgebreide foutmeldingen, gevoelige velden in responses, blootgestelde configuratie en het codepad dat het gedrag verklaart.
03 / Vragen
Veelgestelde vragen.
klaar wanneer jij dat bent
Laat je applicatie testen.
Begin met een URL. Voeg accounts toe voor alles achter de login, en je broncode voor de oorzaak en de fix.