Пентест сайта на 1С-Битрикс: проверяем реальную защищённость атакой

Когда заходит речь о безопасности сайта на Битриксе, у владельца обычно три варианта: поставить сканер уязвимостей, заказать аудит по чек-листу или провести полноценный пентест с эмуляцией атаки. Все три инструмента нужны, но решают разные задачи, и путаница между ними дорого обходится. Сканер дешёв и быстр, но тонет в ложных срабатываниях и не видит логику. Аудит даёт системную картину соответствия требованиям, но не доказывает, что вас реально можно взломать. Пентест отвечает ровно на этот вопрос — можно ли, через что и что злоумышленник получит. Ниже разбираем, чем эти подходы отличаются, когда какой нужен и как мы строим тест на проникновение, чтобы он приносил пользу, а не страх.

Почему сканер и чек-лист не заменяют атаку

Автоматический сканер сопоставляет ответы сайта с базой известных сигнатур и выдаёт список потенциальных проблем. Беда в том, что значительная часть его срабатываний на практике неэксплуатируема: уязвимый по версии компонент закрыт настройками, опасный параметр недостижим, а форма защищена на уровне фреймворка. В итоге команда тратит дни на разбор сотен пунктов, большинство из которых ни к чему не ведут, а реальный рабочий вектор может оказаться вообще не в списке — потому что он лежит в вашей уникальной бизнес-логике, которую сканер в принципе не понимает.

Аудит по чек-листу полезнее: эксперт проходит по структуре сайта, настройкам, правам доступа и архитектуре и описывает потенциальные риски. Но и он, как правило, останавливается на словах «здесь возможна уязвимость», не доказывая её эксплуатацию. Для соответствия требованиям и общей гигиены этого достаточно, но руководитель по-прежнему не знает главного: пробивается его сайт или нет. Этот разрыв и закрывает пентест — он не описывает риск, а реализует его в контролируемой среде и показывает результат. Если вам важна именно системная проверка соответствия, имеет смысл начать с услуги аудита и проверки безопасности, а пентестом затем подтвердить, что критичные места действительно закрыты.

Как устроена эмуляция реального злоумышленника

Пентест строится по логике настоящей атаки. Сначала идёт разведка: мы изучаем периметр сайта, собираем информацию о технологиях, версиях компонентов Битрикса, доступных интерфейсах и точках входа — формах, личных кабинетах, API, загрузке файлов. Затем ищем уязвимости, комбинируя ручной анализ и инструменты, потому что самые опасные дыры находятся именно руками, а не сканером. Найденное мы не оставляем гипотезой, а эксплуатируем в безопасной среде: подтверждаем, что вектор работает, и фиксируем доказательство — что именно удалось получить и какой ущерб это несёт.

Дальше начинается самое интересное — развитие атаки. Реальный злоумышленник, получив одну точку опоры, пытается двигаться вглубь: повысить привилегии, добраться от рядового пользователя до администратора, а от админки — до сервера и базы данных. Мы воспроизводим эту цепочку и показываем, как далеко может зайти атакующий в вашем конкретном случае. Параллельно проверяем горизонтальное перемещение — можно ли из одного аккаунта добраться до данных другого. Именно эти сценарии превращают набор мелких слабостей в реальный взлом, и именно их не видит ни один автоматический инструмент.

Чем опасна бизнес-логика на B2B-сайтах

На коробочном Битриксе и проверенных модулях маркетплейса типовые уязвимости в основном закрыты обновлениями. Но у живого B2B-сайта основная поверхность атаки — это доработки и бизнес-логика, которые писались под вашу модель продаж и которые никто специально на безопасность не проверял. Здесь прячутся самые дорогие дыры: манипуляция ценой и скидкой на этапе оформления заказа, обход оплаты, доступ к чужим заказам и персональным условиям, повышение прав через нестандартный компонент. Все эти векторы абсолютно невидимы для сканера, потому что технически запрос выглядит легитимным — проблема в логике, а не в синтаксисе.

Поэтому для оптовых платформ, дилерских порталов и личных кабинетов контрагентов проверка бизнес-логики — ключевой блок пентеста, а не дополнение. Мы целенаправленно пытаемся сделать то, что не должно быть возможным: купить дешевле, чем положено, увидеть данные соседа, выполнить действие за пределами своей роли. Если у вас сложная логика прав и цен, имеет смысл совместить пентест с регулярным анализом и поиском уязвимостей Битрикса, чтобы новые доработки не открывали старые дыры заново.

Когда пентест действительно нужен

Мы не уговариваем заказывать пентест всех подряд. Он оправдан, когда на сайте есть что защищать и когда цена ошибки высока. Это B2B-порталы и оптовые платформы с клиентской базой и персональными ценами, личные кабинеты с заказами и взаиморасчётами, сайты с приёмом платежей и персональных данных. Особенно важен пентест перед значимыми событиями: запуском нового кабинета, переездом инфраструктуры, выходом на крупного клиента, который требует подтверждения безопасности, или после серьёзных доработок, изменивших логику. В этих точках риск смещается в уникальную часть сайта, и проверить её способен только живой тест.

Если же сайт простой, без личных кабинетов и платежей, а данных на нём почти нет, иногда честнее начать с базовой гигиены — обновлений, настройки прав и устранения известных уязвимостей — и не тратиться сразу на глубокий пентест. На бесплатном брифе мы разбираем вашу ситуацию и прямо говорим, что разумнее: полноценный тест на проникновение, точечная проверка или сначала закрытие очевидных дыр. Решение принимаем по составу данных, сложности логики и цене инцидента, а не по тому, что нам выгоднее продать. Для системной защиты после пентеста хорошо подходит подход security-аудита и DevSecOps для 1С-Битрикс, когда безопасность встроена в процесс разработки, а не проверяется раз в год.

Как мы делаем пентест безопасным для бизнеса

Главное опасение владельца — что во время теста сайт ляжет или потеряет данные. Мы снимаем этот риск архитектурой работы. Перед стартом фиксируем границы теста, модель угроз и правила: что можно, чего нельзя, какие действия запрещены даже в эксперименте. Опасные и потенциально разрушительные сценарии — изменение данных, эксплуатацию с риском повреждения — проигрываем исключительно на копии сайта, развёрнутой отдельно. Боевой продакшен проверяем аккуратно, без деструктивных операций, в согласованное окно. В результате продажи не останавливаются, заказы не теряются, а вы получаете честную картину защищённости без побочного ущерба.

Отдельно оговариваем конфиденциальность. Доступы, исходный код и найденные уязвимости остаются между нами и вашей командой, а отчёт передаётся защищённым каналом. Мы не публикуем находки, не используем их где-либо ещё и при необходимости подписываем соглашение о неразглашении. Для нас пентест — это работа на вашей стороне, и доверие здесь так же важно, как техническая глубина.

Что входит в отчёт и как его читать

Ценность пентеста на восемьдесят процентов в отчёте — если он непонятен, толку от находок мало. Поэтому отчёт мы строим в двух слоях. Технический слой для разработчиков: по каждому подтверждённому вектору — что именно уязвимо, как мы это проэксплуатировали, доказательство, оценка критичности по принятой шкале и конкретные шаги по устранению. Управленческий слой для руководства: краткое резюме на языке рисков и денег, без жаргона, с ответом на вопрос «насколько всё серьёзно и что закрывать в первую очередь». Находки ранжированы по критичности, поэтому ресурсы команды идут туда, где они нужнее всего.

Мы сознательно не раздуваем отчёт ради объёма. В него попадает только то, что реально сработало, плюс важные наблюдения, которые стоит учесть. Это отличает живой пентест от выгрузки сканера на двести страниц, по которой невозможно понять, за что хвататься. После того как ваша команда устранит найденное, мы проводим повторную проверку и подтверждаем, что уязвимости действительно закрыты, а не замаскированы. Этот ретест входит в логику услуги, потому что незакрытая дыра не лучше ненайденной.

Возражения, которые мы слышим чаще всего

«У нас лицензионный Битрикс и стоят обновления, нас не взломают». Лицензия и обновления закрывают известные уязвимости ядра, но не трогают ваши доработки, настройки прав и бизнес-логику — а именно там сидят рабочие векторы. Пентест проверяет ровно ту часть, которую не покрывают обновления. «Мы маленькие, кому мы нужны». Большинство атак сегодня массовые и автоматические: ботнеты сканируют интернет и бьют по всем подряд, а уязвимый сайт становится жертвой не из-за известности, а из-за слабости. «Это слишком дорого». Сравните стоимость пентеста с ущербом от одного инцидента — простоем продаж, восстановлением, утечкой базы и потерей доверия клиентов. Калькулятор на этой странице помогает прикинуть эту цифру заранее.

«Мы недавно делали аудит, нам хватит». Аудит и пентест дополняют друг друга, а не заменяют: аудит проверяет соответствие и гигиену, пентест доказывает или опровергает реальную пробиваемость. Часто именно после аудита, который показал чистую картину по чек-листу, пентест находит рабочий вектор в логике — потому что чек-лист его в принципе не предусматривает. Лучшая стратегия — связка из обоих инструментов с понятной периодичностью.

Сценарии, под которые мы собираем тест

Пентест не бывает одинаковым — он подстраивается под вашу модель угроз. Для интернет-магазина и оптовой витрины фокус на точках приёма данных и платежей: формы, корзина, оформление заказа, интеграции с платёжными сервисами. Для B2B-портала с кабинетами — на разграничении доступа: горизонтальное и вертикальное перемещение, права ролей, доступ к чужим данным. Для сайтов с тяжёлыми доработками ядра разумен white-box с анализом исходного кода, потому что снаружи многие проблемы просто не видны. А если вы опасаетесь инсайдера или взлома одного аккаунта, моделируем grey-box со стартовым доступом обычного пользователя.

Дополнительно по запросу мы расширяем тест за пределы веб-приложения: проверяем устойчивость инфраструктуры, моделируем социальную инженерию и фишинг против сотрудников, оцениваем поведение сайта под нагрузкой. Эти сценарии подключаются как отдельные блоки, потому что реальная безопасность складывается не только из кода, но и из людей, процессов и инфраструктуры вокруг. Какой набор нужен именно вам, мы определяем на брифе, исходя из того, какую угрозу вы считаете самой вероятной и самой дорогой.

С чего начать

Начните с короткого разговора о вашем сайте: какие на нём данные, есть ли личные кабинеты и платежи, насколько сложна бизнес-логика и были ли крупные доработки. На основе этого мы предложим подходящую модель пентеста, оценим объём и пришлём смету в течение рабочего дня. Бриф бесплатный, и по его итогам вы уже получите понимание, где у вас самые вероятные точки риска и с чего разумнее начать. А дальше проведём тест на проникновение, подтвердим реальную защищённость атакой и отдадим отчёт, по которому вашу безопасность можно не предполагать, а знать.