进攻性安全PT-FULL·5–10 business days
渗透测试
纯人工渗透测试：外网边界、内网、应用三层全覆盖。
起价
€2,499/ 每个项目
分项报价 24 小时内发出 · 无任何义务 · 项目前签署测试授权（ROE）
服务说明
我们不靠自动化扫描器交差——扫描器看不见业务逻辑漏洞，也串不起多步利用链。由资深工程师人工探测您的外网边界、内网环境与 Web/移动应用，交付一份开发团队拿到就能动手修的报告。
服务范围
这份报价里包含什么
- 外网渗透测试：边界、Web 服务器、防火墙、API 端点
- 内网渗透测试：横向移动、AD 域攻击、权限提升
- 应用渗透测试：Web + 移动端（iOS / Android，依据 OWASP MASVS）
- 100% 由资深工程师人工测试——不交付纯扫描器结果
- 管理层摘要 + 含复现步骤的详细技术报告
- 修复后 30 天内一次免费复测
适用行业：博彩/赌场 · 加密货币交易所 · Web3 与 DeFi · 银行 · 数字银行 · 金融科技 · SaaS
方法
我们怎么做
- 01签署测试授权与规则（Rules of Engagement），确定范围
- 02信息收集与攻击面测绘
- 03人工利用，串联多个漏洞形成利用链
- 04后渗透影响分析
- 05撰写报告，修复建议面向开发可直接执行
- 06修复完成后进行复测
交付物
您会拿到什么
- 面向管理层与牌照方的摘要（1–2 页）
- 技术报告：CVSS 评分、截图、复现步骤
- 逐条漏洞的修复指引
- 复测验证报告
常见问题
关于渗透测试，买方最常问的
- 渗透测试和漏洞扫描有什么区别？为什么要人工做？
- 漏洞扫描只能发现表层问题，渗透测试由人去验证和串联。业务逻辑缺陷（比如重复领取红利、绕过提款审核）、权限绕过、多步利用链这些真正造成损失的问题，扫描器识别不了，必须由工程师动手。
- 你们熟悉博彩、交易所这类受监管行业吗？
- 熟悉，赌场/博彩平台、银行和持牌加密货币交易所是我们的核心客户群。我们既懂技术，也懂牌照方与审计方在报告里要看什么，例如 PAGCOR、MGA、HK SFC 等机构的要求通常如何落到测试范围上，具体请以您的牌照条款为准。
- 会提供书面授权证明吗？
- 一定会。每次测试开始前都先签署测试授权与规则文件，由您留存备查，向牌照方或合作银行出示时直接可用。
- 测试中途发现严重漏洞怎么办？
- 立即暂停非必要动作，几小时内通报您，并协同做紧急缓解。我们不会把严重漏洞压到最终报告才说。
- 我们的团队可以实时旁观测试吗？
- 可以。我们提供“开盒式”测试，您的团队通过屏幕共享跟随我们的全过程，对培养自家防守人员很有帮助。