Contact person: DanieL

Phone:Show

Email:Show

Location: Remote Cooperation

Budget: Recommended by industry experts

Time to start: As soon as possible

Project description:
"Poszukuję doświadczonego specjalisty ds. cyberbezpieczeństwa do przeprowadzenia niezależnych testów penetracyjnych autorskiej aplikacji webowej przeznaczonej do zarządzania wypożyczalniami samochodów.System umożliwia obsługę klientów, pojazdów, wynajmów, dokumentów elektronicznych, podpisów oraz wielu niezależnych firm w ramach jednej platformy (multi-tenant).Zakres zlecenia:- Testy penetracyjne zgodne z OWASP Top 10.- Weryfikacja izolacji danych między firmami.- Testowanie kontroli uprawnień i eskalacji dostępu.- Sprawdzenie logowania, sesji i weryfikacji SMS.- Testowanie bezpieczeństwa dokumentów i podpisów elektronicznych.- Sprawdzenie podatności IDOR, XSS, CSRF, SQL Injection i innych zagrożeń.- Przygotowanie raportu technicznego z podatnościami, poziomami ryzyka i zaleceniami naprawczymi.Warunki przeprowadzenia audytu:Audyt wyłącznie w modelu black-box lub gray-box.Nie udostępniam kodu źródłowego, plików aplikacji, struktury bazy danych, eksportów SQL ani dostępu administracyjnego do serwera.Zapewniam oddzielne środowisko testowe z fikcyjnymi danymi oraz kontami użytkowników o różnych poziomach uprawnień.Oczekuję ręcznej weryfikacji podatności, szczegółowego raportu oraz możliwości ponownego sprawdzenia zabezpieczeń po poprawkach.Proszę o orientacyjną wycenę, proponowany zakres prac, termin realizacji i przykładowy zakres raportu z wcześniejszego audytu (bez danych poufnych)." (client-provided description)

Additional information:"**Wymagany zakres audytu:**

1. OWASP Top 10 – SQL Injection, XSS, CSRF i inne podatności.
2. IDOR/BOLA – nieautoryzowany dostęp do zasobów i dokumentów.
3. Multi-tenant – izolacja danych pomiędzy niezależnymi firmami.
4. Kontrola uprawnień – superadministrator, administrator, pracownik.
5. Uwierzytelnianie – logowanie, SMS/OTP, reset hasła, sesje.
6. Tokeny podpisów elektronicznych – ważność, ponowne użycie, obejście autoryzacji.
7. Bezpieczeństwo przesyłanych plików, dokumentów i wygenerowanych PDF.
8. Manipulacja parametrami żądań HTTP, formularzami i identyfikatorami.
9. Analiza najważniejszych błędów konfiguracji aplikacji i nagłówków HTTP.
10. Ręczna weryfikacja ustaleń narzędzi automatycznych.

**Wymagania wobec wykonawcy:**

- Praktyczne doświadczenie w pentestach aplikacji webowych.
- Znajomość OWASP WSTG, Burp Suite lub podobnych narzędzi.
- Raport z oceną ryzyka, dowodami i instrukcjami naprawy.
- Zachowanie poufności informacji o systemie.
- Określenie, czy w cenie zawarty jest retest po poprawkach." (admin-provided information)