[ALERT] wykryto podatność?

Łatam luki bezpieczeństwa, zanim ktoś je wykorzysta.

Jestem programistą z 20-letnim doświadczeniem. Skaner świeci na czerwono, hosting przysłał ostrzeżenie, a może aplikacja zachowuje się dziwnie? Opisz sytuację. Sprawdzę, co naprawdę zagraża Twojemu systemowi, i naprawię to w kodzie i na serwerze.

Zgłoś przypadek Zobacz, jak pracuję

20 lat programowania produkcyjnego
1 osoba od diagnozy po wdrożenie
NDA na życzenie

$ audit --production
KRYTYCZNA  zdalne wykonanie kodu   image-lib 2.1.0
WYSOKA     SQL injection           /api/orders?sort=
ŚREDNIA    brak nagłówka HSTS      nginx.conf
ŚREDNIA    sesja bez flagi Secure  config/session

$ triage
› osiągalne z internetu: 2 z 4
› priorytet: RCE, SQLi

$ patch && test && deploy
✓ image-lib 2.1.0 → 2.1.4
✓ zapytanie sparametryzowane
✓ HSTS, Secure, HttpOnly
✓ testy: 0 regresji▍

// kiedy wzywać pogotowie

Typowe wezwania

P1 Krytyczne CVE w raporcie

npm audit, Dependabot, Snyk, Trivy albo skaner klienta pokazuje dziesiątki alertów. Ustalę, które naprawdę dotyczą Twojej aplikacji, i zacznę od nich.

P1 Podejrzenie włamania

Obce pliki, przekierowania do dziwnych stron, spam z serwera. Najpierw zabezpieczam system i dowody, potem szukam źródła ataku i usuwam przyczynę, nie tylko skutki.

P2 Ostrzeżenie od hostingu lub CERT

Dostałeś maila o podatnej wersji oprogramowania albo o zablokowaniu konta? Przygotuję poprawkę i odpowiedź, która zamknie zgłoszenie.

P2 System, którego nikt nie aktualizował

Stary framework, nieaktualny PHP, Node albo Java, ostatnie wdrożenie lata temu. Zaktualizuję go etapami, tak żeby nic nie przestało działać.

P3 Przed audytem lub odbiorem

Klient, ubezpieczyciel lub inwestor wymaga raportu bezpieczeństwa. Usunę podatności, zanim zrobi to za Ciebie zewnętrzny pentester.

P3 Wyniki pentestu do wdrożenia

Masz raport z testów penetracyjnych i nikogo, kto go przerobi na kod? Wdrożę zalecenia i przygotuję materiał do retestu.

// zakres interwencji

Co konkretnie naprawiam

Raport ze skanera to dopiero początek. Liczy się, czy podatność da się wykorzystać w Twojej konfiguracji, i jak ją usunąć bez psucia reszty systemu.

Zależności i frameworki – aktualizacja do wersji z poprawkami, obsługa zmian, które psują zgodność, testy regresji.
Podatności w kodzie – SQL injection, XSS, CSRF, SSRF, błędy autoryzacji, niebezpieczna deserializacja, upload plików.
Serwer i konfiguracja – TLS, nagłówki bezpieczeństwa, uprawnienia plików, firewall, wycieki sekretów z repozytorium.
Kontenery i CI/CD – obrazy Docker bez znanych CVE, skanowanie w pipeline, bezpieczne przechowywanie kluczy.
Zapobieganie nawrotom – Dependabot lub Renovate, alerty o nowych CVE dla Twojego stacku, krótka instrukcja dla zespołu.

// protokół interwencji

Jak wygląda wezwanie

01
Zgłoszenie

Wypełniasz formularz: domena, stack, hosting i opis problemu. Wystarczą objawy, nie musisz znać przyczyny.
02
Diagnoza i wycena

Analizuję raport lub objawy i oceniam ryzyko. Przed rozpoczęciem pracy dostajesz zakres i cenę.
03
Łatanie

Zmiany trafiają do osobnej gałęzi lub pull requestu, z testami. Wdrażam w uzgodnionym oknie, z planem wycofania.
04
Raport

Krótko i konkretnie: co było groźne, co poprawiłem, co warto monitorować. Dostęp, który dostałem, możesz od razu odebrać.

// technologie

Stack, z którym pracuję

Przez 20 lat pracowałem z wieloma językami i platformami. Nie ma Twojego stacku na liście? Napisz, i tak się przyjrzę.

Java / Spring
Python
Node.js
TypeScript
React / Next.js
PHP
WordPress
SQL
Docker
Kubernetes
Linux
nginx
Cloudflare
AWS
GitHub Actions
GitLab CI

// zgłoszenie

Zgłoś przypadek

Opisz, co się dzieje. Odpiszę mailowo z pytaniami albo propozycją dalszych kroków.

Nie wpisuj haseł, kluczy API ani danych dostępowych. O dostęp poproszę osobno i bezpiecznym kanałem, jeśli będzie potrzebny.