A pentest olyan,
a zárellenőrzést
a digitális ajtajához.

A ház-analógia

Mielőtt új otthonba költözne, ellenőrzi a zárakat, ablakokat és a riasztórendszert. A pentest pontosan ezt teszi — de webhelye, alkalmazása és hálózata számára.

Kontrollált támadás

Szakértőink ugyanúgy támadják az infrastruktúráját, mint egy valódi hacker — de szerződés alapján, károkozás nélkül, és a végén teljes jelentéssel.

Jelentés + javítás

Részletes jelentést kap: mit találtunk, mennyire veszélyes, hogyan javítható. Semmi töltelék — csak cselekvés.

pentest nélkül

Megtudja a rést after a feltörést

⚠ Ügyféladat-szivárgás
⚠ Üzleti leállás csúcsidőben
⚠ Szabályozói bírságok
⚠ Hírnévkárosodás

kockázati szint

92%

pentesttel

Ön lezárja a réseket before a támadást

✓ Megtalált és kijavított sebezhetőségek
✓ A csapat tudja, hogyan reagáljon
✓ Megfelelés a biztonsági szabványoknak
✓ Bizalom az ügyfelek és partnerek részéről

kockázati szint

14%

Belső mediánok a megbízásaink alapján, 2024–2026; n=120+. A „kockázat” egy összetett pontszám, amely minden nyitott hibát súlyoz a súlyosság és a kihasználhatóság szerint, és amelyet a jelentés átadásakor, majd a javítás után egy hónappal is újra mérnek.

Hogyan működik.
Öt lépés a biztonságos infrastruktúráig.

01

Felmérés & tájékoztató

Megbeszéljük, mit teszteljünk, mely rendszerek kritikusak, és hol vannak a határok. Aláírunk egy NDA-t, és megállapodunk a megbízás szabályaiban.
1–3 days
02

Felderítés & feltérképezés

Feltérképezzük a támadási felületet: mely szolgáltatások kitettek, mely technológiákat használnak, és hol vannak a gyenge belépési pontok.
3–5 days
03

Exploitation

Biztonságosan kihasználjuk a sebezhetőségeket: feltárjuk, milyen messzire juthatna el reálisan egy valódi támadó a rendszerein belül.
5–14 days
04

Reporting

Kétszintű jelentést szállítunk: egy vezetői összefoglalót a vezetőségnek és technikai részleteket a mérnökcsapatnak.
3–5 days
05

Újratesztelés & támogatás

A javításai után újratesztelést végzünk, hogy megerősítsük: a rések lezárultak. Kérdések esetén továbbra is rendelkezésre állunk.
2–3 days

A játszótér.
Próbálja meg saját maga megtámadni.

Négy gyakorlati demó, amely megmutatja, hogyan találják meg a támadók a gyenge pontokat — és hogy ennek mekkora része történik másodpercek alatt. Mindegyik biztonságos, a böngészőjében fut, és 100%-ban ártalmatlan.

Round 1 / 10 Score 0/10 easy

Hogyan kell játszani

Tíz valós kódrészlet könnyűtől nehézig, az alábbiakban: PHP, Python, Node.js, Rust, Go és SQL. Némelyik egy klasszikus sebezhetőséget rejt, némelyik csak trükkös logika, némelyik valóban tiszta. Jelölje meg, amit lát — egy pont minden helyes találatért.

Scoring

9–10/10 — átmenne egy senior AppSec interjún.
6–8/10 — jó reviewer, van mit csiszolni.
3–5/10 — az alapok megvannak, a finomabbak elcsúsznak.
0–2/10 — grep-pel keressen a repójában erre: md5() tonight.

Mire figyeljen

Injekció (SQL, parancs, NoSQL) · sérült hitelesítés · beégetett titkok · IDOR · SSRF · path traversal · gyenge kriptográfia · versenyhelyzetek · nem biztonságos deszerializáció · hiányzó hitelesítési ellenőrzések.

hydra -L users.txt -P common-list-100k.txt BRUTE

target https://acme-corp.local/login

wordlist common-list-100k.txt (99,738 entries)

users admin · root · user · jerry · sarah · mike

// press "Launch attack" to start the simulation

Mi történt épp

Egy klasszikus credential-stuffing támadás. A támadó egy 100 ezer jelszavas szólistát vet be gyakori felhasználóneveknél. Amikor egy 403 kezd visszatérni — általában a rate-limiting miatt —, az eszköz végigrotál egy proxy-poolon, és folytatja.

A vészjelzés

nincs WAF · nincs rate-limit · nincs anomáliadetektálás

A rotáló IP-kről érkező sok ezer sikertelen bejelentkezésnek minden műszerfalat fel kellene gyújtania. Itt semmi sem riaszt. Végül one jelszótalálat.

Defense

Korlátozza a sebességet fiókonként (nem IP szerint), adjon hozzá MFA-t, riasszon földrajzi anomáliák esetén, tiltsa be az ismert proxy-poolokat, és követeljen CAPTCHA-t N sikertelen kísérlet után.

Round 1 / 10 Score 0/10

10 modern adathalász csali

Tíz forgatókönyv a 2025–2026-ban megfigyelt legjobb technikák alapján: OAuth device-code, QR-kódos quishing, a Google Calendar/Meet/Forms visszaélése, AiTM reverse proxyk, klasszikus BEC, AI-hangklónozással végzett vishing VoIP hívóazonosító-hamisítással, és még sok más. Egy kör = egy valós forgatókönyv.

Scoring

9–10/10 — ezeket élesben elkapná.
6–8/10 — jó ösztönök, van mit csiszolni.
3–5/10 — egy adathalászat-ellenálló MFA bevezetése szerepel az ütemtervén.
0–2/10 — a postafiókja egy bekövetkezni készülő incidens.

Az új valóság

Az adathalászat már nem csak e-mail. A hang már 3 másodpercből klónozható hangból. A hívóazonosító triviálisan hamisítható VoIP-on keresztül (Twilio, 3CX, Asterisk). Az AI-generált adathalász e-mailek 60%-kal magasabb kattintási arány. A feladó domainjének ellenőrzése már nem elegendő.

nmap -sV <target> SCAN

// select a target and press launch

curl -I <target> PROBE

A fejlesztőcsapatok gyorsan toják ki a kódot, és néha elfelejtenek takarítani. Válasszon egy elfeledett útvonalat, és nézze meg, mit talál mögötte egy támadó.

dev.acme-corp.com

// click a path above to probe it

Mi folyik itt

Minden útvonal egy valós szivárgási kategória. A támadók olyan eszközöket futtatnak, mint dirsearch or ffuf amelyek másodpercek alatt ezreket próbálnak ki ezekből — ha bármelyik találat ezt adja vissza: 200 OK, akkor mindennek vége.

A következmény

Egyetlen kitett .git mappa lehetővé teszi a támadónak, hogy rekonstruálja a teljes forráskód-előzményeket — beleértve a titkokat tartalmazó törölt commitokat is.

Defense

Blokkolja a dotfile-okat & fejlesztői útvonalakat az élnél (nginx / WAF), futtasson automatizált leak-szkennereket a CI-ben, kényszerítsen ki tiszta build-artefaktokat.

subfinder -d <domain> | httpx RECON

@

// press enumerate to launch subdomain discovery

A támadó első lépése

Mindenekelőtt egy pentester feltérképezi a támadási felületét. Minden elfeledett aldomain egy lehetséges belépési pont — egy staging szerver, egy régi belső eszköz, egy wiki.

Hogyan működik

subfinder > dnsx > httpx > nuclei

A Certificate Transparency naplók, a DNS brute-forcing és a passzív források olyan aldomaineket hoznak elő, amelyek közzétételére már senki sem emlékszik.

Figyeljen erre:

Bármi, ami így van címkézve: dev, staging, test, old, or admin. Ritkán rendelkeznek a fő oldal biztonsági megerősítésével.

mobscan :: static analysis (.apk / .ipa) MOBSF

Válasszon egy alkalmazást a szkenneléshez

nincs alkalmazás kiválasztva

// pick an app above and press "Start scan" to begin static analysis

Mit csinál ez valójában

Valódi mobil pentesterek bontják szét .apk / .ipa archívumokat (ezek csak ZIP-fájlok), dekompilálja a bájtkódot olyan eszközökkel, mint jadx, apktool, or MobSF, majd grep-pel keressen a dekompilált forráskódban titkokat, végpontokat és nem biztonságos mintázatokat.

Miért számít

A Zimperium 2025-ös Mobile Threat Report jelentése szerint a mobilalkalmazások közel fele még mindig beégetett titkokat tartalmaz, az iOS-alkalmazások 60%-a nincs reverse-engineering elleni védelmük, és 3 Android-alkalmazásból 1 érzékeny adatok szivárogtatása.

Mit keresünk

Beégetett API-kulcsok & tokenek · AWS/Stripe/Firebase titkok · privát backend végpontok · bekapcsolva hagyott debug flag-ek · letiltott certificate pinning · hiányzó rate-limit fejlécek · allowBackup="true" · exported="true" activities.

Services.
Minden támadási felülethez.

01

Web-pentest

Webalkalmazás- & API-tesztelés az OWASP módszertan szerint. SQLi, XSS, IDOR, SSRF, logikai hibák — minden, amit egy támadó kihasználhatna.

— OWASP Top 10 + üzleti logika
— Hitelesített & nem hitelesített
— API / GraphQL / WebSocket
— Manuális + automatizált elemzés

popular

02

Hálózati pentest

Külső és belső perimeter. Feltárjuk, milyen messzire juthat el egy támadó — az internetről, vagy ha már bent van az irodában.

— Külső & belső
— AD / domain kompromittálás
— Jogosultság-eszkaláció
— Oldalirányú mozgás

03

Red Team

Teljes körű APT-szimuláció. Social engineering, adathalászat, fizikai hozzáférés — nem csak a rendszereket teszteljük, hanem az embereit is.

— MITRE ATT&CK TTP-k
— Adathalászat & vishing
— Fizikai behatolás
— Purple team együttműködés

Miért a PWN-ALL.

Nem vagyunk sebezhetőség-szkenner. Egy csapat vagyunk, amely úgy gondolkodik, mint egy támadó. Minden megbízást valódi red team és bug bounty tapasztalattal rendelkező mérnökök vezetnek.

95%
a kritikus megállapítások felszínre kerülnek az első 2 héten belül: 120+
cég bízta ránk az infrastruktúráját: 340+
jelentéseinkben dokumentált kritikus sebezhetőségek: 72h
maximális válaszidő sürgős kérésekre

Kockázat vs. idő — a pentest után

highmedlow

W0

W1

W2

W3

W4

W6

W8

pentest nélkül a kockázat tartósan magas marad — az auditunk után egy hónapon belül medián 78%-kal csökken.

Belső mediánok a megbízásaink alapján, 2024–2026; n=120+. A „kockázat” egy összetett pontszám, amely minden nyitott hibát súlyoz a súlyosság és a kihasználhatóság szerint, és amelyet a jelentés átadásakor, majd a javítás után egy hónappal is újra mérnek.

Készen áll, hogy lássa
az infrastruktúráját egy támadó szemével?

Írjon nekünk közvetlenül — nincs űrlap, nincs felesleges teher. Ingyenes 30 perces konzultáció, felmérés és időbecslés egy munkanapon belül.

✓ We sign the NDA first
✓ No spam, no cold calls
✓ Reply within 24 hours

// pick_a_channel

email hello@pwn-all.com pgp

signal Titkosított csatorna

nda_first · reply < 24h · no_sales_calls

WE FIND WHAT OTHERS MISS.

A ház-analógia

Kontrollált támadás

Jelentés + javítás

Felmérés & tájékoztató

Felderítés & feltérképezés

Exploitation

Reporting

Újratesztelés & támogatás

—

—

Kockázat vs. idő — a pentest után

Készen áll, hogy lássaaz infrastruktúráját egy támadó szemével?

Készen áll, hogy lássa
az infrastruktúráját egy támadó szemével?