Pentest je
kontrola zámku
pro vaše digitální dveře.

Analogie s domem

Než se nastěhujete do nového domu, zkontrolujete zámky, okna a poplašný systém. Pentest dělá přesně to — ale pro váš web, aplikaci a síť.

Řízený útok

Naši specialisté útočí na vaši infrastrukturu stejně jako skutečný hacker — ale na základě smlouvy, bez poškození a se závěrečnou zprávou na konci.

Zpráva + náprava

Dostanete podrobnou zprávu: co jsme našli, jak je to nebezpečné, jak to opravit. Žádná vata — jen činy.

bez pentestu

Dozvíte se o díře after průnik

⚠ Únik zákaznických dat
⚠ Výpadek provozu ve špičce
⚠ Regulatorní pokuty
⚠ Poškození reputace

úroveň rizika

92%

s pentestem

Uzavřete díry before útok

✓ Zranitelnosti nalezeny a opraveny
✓ Tým ví, jak reagovat
✓ Soulad s bezpečnostními standardy
✓ Důvěra klientů a partnerů

úroveň rizika

14%

Interní mediány napříč našimi zakázkami, 2024–2026; n = 120+. „Riziko“ je souhrnné skóre, které váží každý nezavřený nález podle závažnosti a zneužitelnosti, měřené při předání zprávy a znovu jeden měsíc po nápravě.

Jak to funguje.
Pět kroků k bezpečné infrastruktuře.

01

Stanovení rozsahu & brief

Probereme, co testovat, které systémy jsou kritické a kde jsou hranice. Podepíšeme NDA a dohodneme pravidla zakázky.
1–3 days
02

Rekognoskace & mapování

Zmapujeme útočný povrch: které služby jsou odhalené, které technologie se používají a kde jsou slabá vstupní místa.
3–5 days
03

Exploitation

Bezpečně zneužíváme zranitelnosti: zkoumáme, jak daleko by se skutečný útočník reálně dostal do vašich systémů.
5–14 days
04

Reporting

Dodáváme dvouúrovňovou zprávu: shrnutí pro vedení a technické detaily pro inženýrský tým.
3–5 days
05

Opakovaný test & podpora

Po vašich opravách provedeme opakovaný test, abychom potvrdili, že jsou díry uzavřeny. Zůstáváme k dispozici pro dotazy.
2–3 days

Hřiště.
Zkuste na to zaútočit sami.

Čtyři praktické ukázky, které ukazují, jak útočníci nacházejí slabiny — a kolik z toho se odehraje během sekund. Každá je bezpečná, běží ve vašem prohlížeči a je 100% neškodná.

Round 1 / 10 Score 0/10 easy

Jak hrát

Deset reálných úryvků kódu od snadných po obtížné napříč PHP, Python, Node.js, Rust, Go a SQL. Některé skrývají klasickou zranitelnost, některé jsou jen záludnou logikou, některé jsou skutečně čisté. Označte, co vidíte — jeden bod za každé správné rozhodnutí.

Scoring

9–10/10 — prošli byste seniorním AppSec pohovorem.
6–8/10 — solidní recenzent, prostor pro zlepšení.
3–5/10 — základy tu jsou, ty jemné unikají.
0–2/10 — prohledejte svůj repozitář pomocí grep na md5() tonight.

Na co se zaměřit

Injekce (SQL, příkazová, NoSQL) · narušená autentizace · pevně zakódované tajné klíče · IDOR · SSRF · path traversal · slabá kryptografie · race conditions · nebezpečná deserializace · chybějící kontroly autentizace.

hydra -L users.txt -P common-list-100k.txt BRUTE

target https://acme-corp.local/login

wordlist common-list-100k.txt (99,738 entries)

users admin · root · user · jerry · sarah · mike

// press "Launch attack" to start the simulation

Co se právě stalo

Klasický útok credential-stuffing. Útočník vrhá na běžná uživatelská jména seznam 100 tis. hesel. Když 403 se začne vracet — obvykle kvůli rate-limitingu — nástroj přejde na další z proxy poolu a pokračuje.

Varovný signál

žádný WAF · žádný rate-limit · žádná detekce anomálií

Tisíce neúspěšných přihlášení z rotujících IP by měly rozsvítit každý dashboard. Zde se nespustí nic. Nakonec one zásahů hesla.

Defense

Omezte rychlost podle účtu (ne IP), přidejte MFA, upozorňujte na geografické anomálie, blokujte známé proxy pooly a po N selháních vyžadujte CAPTCHA.

Round 1 / 10 Score 0/10

10 moderních phishingových návnad

Deset scénářů založených na nejčastějších technikách pozorovaných v letech 2025–2026: OAuth device-code, QR-code quishing, zneužití Google Calendar/Meet/Forms, AiTM reverzní proxy, klasický BEC, Vishing s AI klonováním hlasu a podvržením VoIP caller-ID, a další. Jedno kolo = jeden reálný vzorec.

Scoring

9–10/10 — tyto byste odhalili v produkci.
6–8/10 — solidní instinkty, prostor pro zlepšení.
3–5/10 — nasazení phishingu odolného MFA je na vašem plánu.
0–2/10 — vaše schránka je průnik čekající na příležitost.

Nová realita

Phishing už není jen e-mail. Hlas lze naklonovat ze 3 sekund zvuku. Caller-ID lze triviálně podvrhnout přes VoIP (Twilio, 3CX, Asterisk). Phishingy generované AI mají o 60 % vyšší míra prokliků. Kontrola domény odesílatele už dnes nestačí.

nmap -sV <target> SCAN

// select a target and press launch

curl -I <target> PROBE

Vývojové týmy nasazují kód rychle a někdy zapomenou uklidit. Vyberte zapomenutou cestu a uvidíte, co za ní útočník najde.

dev.acme-corp.com

// click a path above to probe it

Co se děje

Každá cesta je reálnou kategorií úniku. Útočníci spouštějí nástroje jako dirsearch or ffuf které jich vyzkoušejí tisíce za sekundy — pokud kterýkoli zásah vrátí 200 OK, je po hře.

Důsledek

Jediný odhalený .git složka umožňuje útočníkovi rekonstruovat celou historii vašeho zdrojového kódu — včetně smazaných commitů s tajnými klíči.

Defense

Blokujte dotfiles & vývojové cesty na okraji (nginx / WAF), spouštějte automatizované skenery úniků v CI, vynucujte čisté build artefakty.

subfinder -d <domain> | httpx RECON

@

// press enumerate to launch subdomain discovery

První krok útočníka

Ze všeho nejdříve pentester zmapuje váš útočný povrch. Každá zapomenutá subdoména je potenciálním opěrným bodem — staging server, starý interní nástroj, wiki.

Jak to funguje

subfinder > dnsx > httpx > nuclei

Logy Certificate Transparency, DNS brute-forcing a pasivní zdroje vytáhnou subdomény, jejichž zveřejnění si nikdo nepamatuje.

Sledujte

Cokoli označeného jako dev, staging, test, old, or admin. Málokdy mají bezpečnostní zpevnění vašeho hlavního webu.

mobscan :: static analysis (.apk / .ipa) MOBSF

Vyberte aplikaci ke skenování

žádná aplikace nevybrána

// pick an app above and press "Start scan" to begin static analysis

Co to ve skutečnosti dělá

Skuteční mobilní pentesteři rozbalí .apk / .ipa archivy (jsou to jen ZIP soubory), dekompilujte bytecode pomocí nástrojů jako jadx, apktool, or MobSF, poté prohledejte dekompilovaný zdrojový kód pomocí grep na tajné klíče, koncové body a nezabezpečené vzorce.

Proč na tom záleží

Podle Mobile Threat Report 2025 od Zimperium téměř polovina mobilních aplikací stále obsahuje pevně zakódované tajné klíče, 60 % iOS aplikací nemají žádnou ochranu proti reverznímu inženýrství, a 1 ze 3 Android aplikací úniku citlivých dat.

Co hledáme

Pevně zakódované API klíče & tokeny · tajné klíče AWS/Stripe/Firebase · soukromé backendové koncové body · ponechané debug flagy · vypnuté certificate pinning · chybějící rate-limit hlavičky · allowBackup="true" · exported="true" activities.

Services.
Pro každý útočný povrch.

01

Webový pentest

Testování webových aplikací & API podle metodiky OWASP. SQLi, XSS, IDOR, SSRF, logické chyby — vše, co by útočník mohl využít.

— OWASP Top 10 + business logika
— Autentizované & neautentizované
— API / GraphQL / WebSocket
— Manuální + automatizovaná analýza

popular

02

Síťový pentest

Externí i interní perimetr. Zkoumáme, jak daleko se útočník dostane — z internetu, nebo už zevnitř kanceláře.

— Externí & interní
— AD / kompromitace domény
— Eskalace privilegií
— Laterální pohyb

03

Red Team

Simulace APT v plném rozsahu. Sociální inženýrství, phishing, fyzický přístup — netestujeme jen systémy, ale i vaše lidi.

— TTP MITRE ATT&CK
— Phishing & vishing
— Fyzický průnik
— Spolupráce Purple team

Proč PWN-ALL.

Nejsme skener zranitelností. Jsme tým, který přemýšlí jako útočník. Každou zakázku vedou inženýři se skutečnou zkušeností z red teamu a bug bounty.

95%
kritických nálezů se objeví během prvních 2 týdnů: 120+
firem nám svěřilo svou infrastrukturu: 340+
zjištění kritických zranitelností zdokumentovaná v našich zprávách: 72h
maximální doba reakce na naléhavé požadavky

Riziko vs. čas — po pentestu

highmedlow

W0

W1

W2

W3

W4

W6

W8

bez pentestu riziko zůstává trvale vysoké — po našem auditu do jednoho měsíce klesá o medián 78 %.

Interní mediány napříč našimi zakázkami, 2024–2026; n = 120+. „Riziko“ je souhrnné skóre, které váží každý nezavřený nález podle závažnosti a zneužitelnosti, měřené při předání zprávy a znovu jeden měsíc po nápravě.

Připraveni vidět
vaši infrastrukturu očima útočníka?

Napište nám přímo — žádný formulář, žádná zátěž. Bezplatná 30minutová konzultace, stanovení rozsahu a odhad harmonogramu do jednoho pracovního dne.

✓ We sign the NDA first
✓ No spam, no cold calls
✓ Reply within 24 hours

// pick_a_channel

email hello@pwn-all.com pgp

signal Šifrovaný kanál

nda_first · reply < 24h · no_sales_calls

WE FIND WHAT OTHERS MISS.

Analogie s domem

Řízený útok

Zpráva + náprava

Stanovení rozsahu & brief

Rekognoskace & mapování

Exploitation

Reporting

Opakovaný test & podpora

—

—

Riziko vs. čas — po pentestu

Připraveni vidětvaši infrastrukturu očima útočníka?

Připraveni vidět
vaši infrastrukturu očima útočníka?