網站應用程式滲透測試
- 涵蓋
- OWASP Top 10 · 商業邏輯漏洞
工具
常見風險
注入攻擊
SQL 注入、指令注入、樣板注入等，可能導致資料遭大量竊取，甚至伺服器遭到控制。
越權存取
物件層級或功能層級的授權檢查不足，可能使使用者存取其他帳號資料或執行超出權限的操作。
身分驗證與 Session 缺陷
弱密碼、驗證碼可被繞過、密碼重設流程有邏輯缺陷、Session 管理不當等問題。
敏感資料外洩
API 回傳多餘欄位、除錯資訊外露、備份檔或原始碼可被直接下載。
商業邏輯漏洞
竄改金額、優惠券重複使用、併發下單、跳過流程步驟等掃描工具難以發現的問題。
伺服器端高風險漏洞
SSRF、任意檔案上傳、反序列化等可能讓攻擊者進入內部網路的問題。
測試範圍
- 企業官網、Web 應用程式與管理後台
- REST、GraphQL 等 API
- 登入、註冊、密碼重設等身分驗證流程
- 付款、訂單、權限等核心業務流程
- 檔案上傳、匯入匯出等功能
評估方法
資訊蒐集
盤點約定資產、API、功能及技術堆疊，形成評估所需的攻擊面清單。
自動化與人工測試
以工具涵蓋常見漏洞，由人工深入商業邏輯與權限模型。
漏洞驗證
逐一驗證每項發現，排除誤報，評估實際影響。
報告與建議
提供重現步驟、風險等級與具體的修補方式。
約定範圍內複測
報告所列問題於雙方約定的範圍與時段內安排免費複測。複測記錄原問題是否仍可重現，以及需要持續追蹤的事項。
評估交付成果
- 漏洞報告
- 每個漏洞的位置、重現步驟、證據與影響分析。
- 風險分級
- 依嚴重、高風險、中風險、低風險分級，協助您排定修補的優先順序。
- 修補建議
- 針對具體的程式碼與設定，提出可落實的修補方案。
- 約定範圍內複測
- 報告所列問題於雙方約定的範圍與時段內安排免費複測。複測記錄原問題是否仍可重現，以及需要持續追蹤的事項。
適用情境
- 新系統或新版本上線前
- 業務涉及付款、使用者資料等敏感資訊
- 客戶或合作夥伴要求提供資安檢測報告
- 需要滿足合規稽核的要求
合作常見問題
測試會影響線上服務嗎？
測試範圍、時段與測試方式都會事先與您書面確認。可能影響系統穩定性的操作會先與您溝通，經您同意後才執行；也可以在測試環境中進行。
滲透測試和弱點掃描有什麼不同？
弱點掃描主要依賴工具識別常見弱點；滲透測試結合人工分析、驗證及業務情境，判斷弱點的可利用性與影響。兩者可互相補充，均不能保證發現所有問題。
需要提供原始碼嗎？
並非必要。預設以黑箱方式測試；如果能提供測試帳號、API 文件或原始碼，可以進行灰箱或白箱測試，測試也會更深入。
複測要收費嗎？
報告所列問題於雙方約定的範圍與時段內安排免費複測。複測記錄原問題是否仍可重現，以及需要持續追蹤的事項。
相關資安服務
評估 iOS、Android 用戶端安全控制及其與後端服務的互動風險。
依據約定基準檢視雲端設定、身分權限及對外暴露的資源。
結合業務與法遵目標，明確資安建置重點、治理職責及執行計畫。