Тестирование на потенциальные/реальные уязвимости сайта

Question

[Max B]

Возник вопрос- есть ли в рунете люди, которые этим на хлеб зарабатывают, сколько это стоит и как вообще считается.
Допустим, могу ли я найти человека, с которым мы составим прайс(xss,sql inj,shell, доступ к исходникам) и он роет, а я плачу за то, что нарыл.
Интересует тестирование черного ящика, когда «злоумышленник» роет где только можно, обладая лишь базовыми знаниями.

PS: Вопрос касается проектов, принадлежащих мне, а не конкурентам/недругам/гуглу.

Answer 1

[try4tune]

На чем сайт написан? Какая БД используется?

Comments

[Max B]

mysql, php

[Max B]

Если что, с человеком далее мы общаемся в личке.

Answer 2

[Evgeny_Shiryaev]

Попробуйте спросить об этом @devteev (он есть и на Хабре). Товарищь работает в компании Positive Technologies, и занимается как раз информационной безопасностью.

Answer 3

[Павел Чипак]

Есть такие на antichat.ru

Comments

[Max B]

Мне бы сурового дядьку, есть там такие?

[Max B]

Да и темы наподобии «Существует ли чекалка CMS?» немного в ступор вгоняют, если честно.

[Павел Чипак]

Я там не тусуюсь, поэтому с контингентом не особо знаком, но должны быть суровые дядьки.

[Max B]

Возможно, кто-нибудь из них читает этот вопрос и найпишет мне на maximebaldin[злаясобака]gmail[точка]com. Поднимать там тему не вижу смысла, так как боюсь, что набежит много ненужного и бесполезного народа.

Answer 4

[olegsharapov91]

Есть white hat, есть black hat. Есть аудит от брендовых компаний вроде positive или groupib. Это всё, разумеется, и стоит немало, и зависит от объёмов работы и целей.

Если у тебя один простой сайт самописный, то относительно просто. А если целая CMS или большая инфраструктура, то и сложность, и время возрастут. И не очень понятно, что ты хочешь получить: бумажку, что у тебя всё хорошо, или до победного мучать хакера, чтобы он нашёл уязвимость в тех местах, в которых ты сомневаешься :)

В любом случае, посмотри в сторону сканеров безопасности вроде acunetix.com или metascan.ru, они делают то же самое, роют только по базовым знаниям, но автоматически. Это и быстрее, и дешевле.