Większość właścicieli firm uświadamia sobie, że ich strona lub sklep internetowy ma luki w zabezpieczeniach, dopiero po incydencie: przejętym koncie administratora, wstrzykniętym złośliwym skrypcie albo wycieku bazy klientów. Test penetracyjny pozwala znaleźć te słabe punkty wcześniej, w kontrolowanych warunkach. Poniżej opisuję, jak taki test wygląda w praktyce. 

Czym jest test penetracyjny i czym różni się od skanu 

Pentest to kontrolowany, symulowany atak na system, wykonywany za zgodą jego właściciela. Nie jest to samo co automatyczny skan podatności. Skaner wskazuje potencjalne problemy według gotowych wzorców. Człowiek sprawdza, czy da się je faktycznie wykorzystać, łączy kilka drobnych błędów w jedną realną ścieżkę ataku i ocenia, jakie szkody mogłyby z tego wyniknąć. 

Takie testy wykonuje specjalista od bezpieczeństwa, często określany jako etyczny haker. Działa na podstawie umowy, która dokładnie wskazuje, co wolno testować, a czego nie. Ta zgoda i jasno określony zakres odróżniają pentest od przestępstwa. 

Etap 1: ustalenie zakresu i zasad 

Przed pierwszym działaniem strony ustalają trzy rzeczy: 

• Zakres: domena, subdomeny, aplikacja, panel administracyjny, API. Wszystko poza zakresem pozostaje nietykalne.  

• Ramy czasowe: kiedy test się odbywa. Warto unikać szczytu sprzedaży, np. okresu przedświątecznego w sklepie.  

• Zasady kontaktu: do kogo dzwonić, gdy tester znajdzie krytyczną lukę. Takie błędy zgłasza się natychmiast, nie dopiero w raporcie.  

Etap 2: rozpoznanie 

Tester zbiera informacje o celu: jakie technologie działają na stronie (CMS, wersje wtyczek, serwer), jakie subdomeny istnieją, co widać publicznie. Zaskakująco często już na tym etapie wychodzą problemy: stary panel testowy dostępny z internetu, zapomniana kopia zapasowa czy plik konfiguracyjny z hasłami. 

Etap 3: szukanie podatności 

To właściwa część techniczna. Najczęściej sprawdza się: 

• uwierzytelnianie i sesje: słabe hasła, brak limitu prób logowania, błędy resetu hasła,  

• kontrolę dostępu: czy zwykły użytkownik może zobaczyć dane innego klienta,  

• wstrzykiwanie kodu: SQL injection, XSS,  

• konfigurację: brakujące nagłówki bezpieczeństwa, otwarte katalogi, nieaktualne komponenty,  

• logikę biznesową: na przykład czy w sklepie da się manipulować ceną koszyka.  

Błędy logiki biznesowej są najgroźniejsze, bo żaden skaner ich nie wykryje. 

Etap 4: weryfikacja i ocena ryzyka 

Każdą znalezioną lukę tester próbuje potwierdzić w bezpieczny sposób, bez niszczenia danych i bez zakłócania pracy serwisu. Potem ocenia wagę problemu: czy atakujący musi być zalogowany, jak trudny jest atak, co może zyskać. Dzięki temu raport nie jest listą setki „ostrzeżeń”, tylko uporządkowaną listą priorytetów. 

Etap 5: raport i rekomendacje 

Dobry raport zawiera: 

1. krótkie podsumowanie zrozumiałe dla zarządu,  

2. opis każdej podatności z poziomem ryzyka,  

3. dowód (np. zrzut ekranu lub opis kroków do odtworzenia),  

4. konkretną rekomendację naprawy.  

Raport bez wskazówek, jak coś naprawić, jest mało wart. Zwróć na to uwagę przy wyborze wykonawcy. 

Etap 6: poprawki i retest 

Po naprawie warto zlecić retest. Sprawdza on, czy poprawki faktycznie zadziałały i czy nie wprowadziły nowych błędów. Pomija go wielu klientów, a to właśnie wtedy wychodzi, że „załatana” luka dalej da się obejść. 

Ile trwa pentest i od czego zależy zakres 

Prosta strona wizytówkowa to zwykle kwestia kilku dni roboczych. Rozbudowany sklep lub aplikacja z kontami użytkowników i płatnościami wymaga zdecydowanie więcej czasu. Na długość wpływają: liczba funkcji, role użytkowników, integracje zewnętrzne oraz to, czy test ma być „czarną skrzynką” (bez wiedzy o systemie), czy „białą” (z dostępem do kodu i dokumentacji). 

Najczęstsze błędy wychodzące w testach 

• nieaktualne wtyczki i szablony CMS,  

• słabe lub powtarzające się hasła administratorów, bez uwierzytelniania dwuskładnikowego,  

• publicznie dostępne pliki kopii zapasowych i konfiguracji,  

• brak ograniczeń na formularzach i logowaniu,  

• nadmiarowe uprawnienia kont użytkowników.  

Większość z nich naprawia się szybko i tanio. Dlatego regularne testy opłacają się bardziej niż sprzątanie po ataku. 

Najczęstsze pytania 

Czy pentest może „zepsuć” moją stronę? 
Przy rzetelnie ustalonym zakresie ryzyko jest niewielkie. Testerzy unikają działań destrukcyjnych, a testy na środowisku produkcyjnym zwykle planuje się poza godzinami szczytu. Najbezpieczniej wykonać je na kopii testowej. 

Jak często powtarzać test? 
Minimum raz w roku oraz po każdej większej zmianie, na przykład nowym module płatności, redesignie lub migracji serwera. 

Czy skan automatyczny wystarczy? 
Do podstawowej higieny tak, ale nie zastąpi testu wykonanego przez człowieka, zwłaszcza w sklepach i aplikacjach z logowaniem. 

Co zrobić, jeśli wykonawca proponuje coś nielegalnego, np. włamanie na cudze konto? 
Zakończyć współpracę. Prawdziwy specjalista testuje wyłącznie to, na co ma pisemną zgodę właściciela. 

Podsumowanie 

Pentest to nie jednorazowy „przegląd”, tylko proces: zakres, rozpoznanie, testy, raport i retest. Firmy, które traktują go jak regularną inwestycję, zwykle unikają kosztownych incydentów i utraty zaufania klientów.