Pular para o conteúdo
Acione nossa equipe de profissionais

O que uma conta de usuário comum consegue fazer

No gray-box começamos com o que um atacante normalmente já tem: um acesso de usuário e alguma informação do sistema. A partir daí testamos até onde dá para ir — escalar privilégio, alcançar o dado de outro cliente e quebrar a regra de negócio.

Fale com nosso timeFalar com um especialista
Execução
1 a 3 semanas
Abordagem
Gray-box
Reteste
Incluso

O que está incluso

  • Teste autenticado com uma ou mais contas de usuário
  • Escalada de privilégio horizontal e vertical
  • Acesso a dados de outros usuários e tenants (IDOR/BOLA)
  • Abuso de regra de negócio nas áreas logadas
  • Relatório técnico e executivo
  • Reteste das correções sem custo

O teste em detalhe

Quem cuida da segurança e quem aprova o orçamento procuram coisas diferentes. Escolha a sua leitura.

Contas de teste
Recebemos um ou mais perfis de usuário e, às vezes, parte da documentação. Partimos do mesmo ponto de quem já tem login.
Escalada de privilégio
Do usuário comum ao administrador: testamos se um perfil consegue assumir permissões que não deveria ter.
Acesso horizontal
Um cliente que abre o pedido de outro, um tenant que enxerga o dado de outro. Falhas de autorização que só aparecem logado.
Lógica de negócio
Fluxos de preço, cupom, saldo e aprovação testados contra o uso que um usuário mal-intencionado faria.

Por que o gray-box

Guia completo: Pentest: o que é, como funciona e quanto custa

A credencial válida é o ponto de partida real

Phishing, vazamento e senha reutilizada entregam um login todos os dias. O gray-box começa daí, de onde o atacante de verdade começa, em vez de só da porta da rua.

Falha de autorização não aparece de fora

Ver o pedido de outro cliente ou o painel de outro tenant exige estar logado. Sem uma conta, o teste nunca chega nesses pontos, que estão entre os mais comuns e mais graves.

O insider também é uma ameaça

Um funcionário ou prestador com acesso legítimo pode abusar dele. O gray-box mostra o que uma conta interna consegue alcançar além do previsto.

Mais cobertura no mesmo prazo

No black-box parte do tempo vai só para encontrar a entrada. Partindo de um acesso, a equipe cobre mais funcionalidades no mesmo período de teste.

O que você recebe

Relatório técnico
Cada falha com evidência, passo a passo de reprodução, severidade (CVSS) e recomendação de correção.
Relatório executivo
O risco em linguagem de negócio: o que uma conta consegue alcançar, o impacto e a ordem de correção.
Mapa de privilégios e acessos
O que cada perfil testado conseguiu alcançar além do previsto, do acesso horizontal à escalada.
Reteste e encerramento
Depois das correções, testamos de novo os mesmos pontos e emitimos o documento com o status final.

Um exemplo do que encontramos logado

Achados típicos de um pentest gray-box, do acesso de usuário à escalada de privilégio.

Relatório de pentest gray-box5 achados
  1. #01

    IDOR expõe pedidos de outros clientes

    Trocar o ID na URL devolve a nota fiscal e os dados de outro cliente, sem verificação de dono.

    Crítico
  2. #02

    Escalada de usuário comum para administrador

    Um campo de perfil aceito pela API permite que uma conta comum assuma permissões de administrador.

    Crítico
  3. #03

    Isolamento entre tenants quebrado

    Uma conta de uma empresa consegue ler relatórios de outra no mesmo sistema multi-tenant.

    Alto
  4. #04

    Cupom acumulável sem limite

    A regra de desconto não valida o reuso e permite zerar o valor do pedido.

    Alto
  5. #05

    Função administrativa acessível por usuário comum

    Endpoint de administração responde a qualquer sessão logada, sem checar o papel do usuário.

    Médio

Reteste: 5 de 5 corrigidos

Exemplo com dados fictícios. O relatório real traz evidência, passos para reproduzir e recomendação de correção para cada achado.

Para quem é

  • SaaS e sistemas multiempresa (multi-tenant)
  • Aplicações com áreas logadas e vários perfis de acesso
  • Produtos que guardam dado sensível de clientes
  • Empresas preocupadas com abuso por insider
  • Quem quer cobertura maior que o black-box no mesmo prazo

Etapas

  1. 1

    Escopo e acessos

    Definimos os alvos, os perfis de usuário e a janela. Você provê as contas de teste. Contrato e NDA assinados antes de começar.

  2. 2

    Reconhecimento autenticado

    Mapeamos as funcionalidades, os perfis e os fluxos a partir do acesso recebido, sem impacto na operação.

  3. 3

    Exploração

    Escalada de privilégio, acesso horizontal e abuso de lógica de negócio, com evidência de cada falha encontrada.

  4. 4

    Relatórios e reteste

    Entrega dos relatórios, reunião para tirar dúvidas e reteste depois que a sua equipe corrige.

Outros tipos de pentest

Dúvidas sobre o pentest gray-box

Se a sua dúvida não estiver aqui, pergunte direto para a equipe.

Enviar uma pergunta
O que é um teste gray-box?

É o teste em que a equipe recebe acesso parcial: uma ou mais contas de usuário e, às vezes, parte da documentação. Fica entre o black-box, em que não se recebe nada além do alvo, e o white-box, com acesso total e código-fonte.

Qual a diferença para o black-box?

No black-box não recebemos nada além do alvo e simulamos quem ataca de fora. No gray-box partimos de um acesso de usuário, como quem já tem uma credencial, e cobrimos as áreas logadas que o black-box não alcança.

E para o white-box?

No white-box a equipe recebe acesso total, incluindo código-fonte e documentação completa, para a cobertura máxima. O gray-box usa só o acesso de um usuário comum, mais próximo do cenário de um atacante real.

Quais acessos vocês precisam?

Uma ou mais contas de teste nos perfis que quiser cobrir, por exemplo um usuário comum e um perfil com mais permissão. Quanto mais perfis, mais completo o teste de escalada e de isolamento entre contas.

Serve para sistema multi-tenant?

Sim, e é um dos melhores usos. Com contas em tenants diferentes, testamos se um cliente consegue enxergar ou alterar o dado de outro, uma das falhas mais graves nesse tipo de sistema.

Artigos relacionados

Pentest

O que é Pentest e por que sua empresa precisa de um?

Entenda como funciona um teste de invasão, o que ele avalia e por que esperar um incidente para agir pode custar milhões à sua organização.

Pentest

As 10 vulnerabilidades mais encontradas em pentests no Brasil

Um panorama das falhas que mais aparecem em testes de invasão reais e o que sua equipe pode fazer para corrigi-las antes do próximo teste.

Red Team

Pentest vs Red Team: qual a diferença e qual sua empresa precisa?

Dois serviços de segurança ofensiva com objetivos bem diferentes. Entenda quando cada um faz sentido e como decidir o que contratar.

Peça um pentest gray-box

Conte qual sistema quer testar e quais perfis de acesso existem. Em até 24h úteis você recebe escopo, prazo e preço fechados.

Fale com nosso time

Prefere conversar antes? Agende uma reunião ou escreva para info@xpsecsecurity.io.