Um pentest é
a verificação das fechaduras
para a sua porta digital.

A analogia da casa

Antes de se mudar para uma casa nova, verifica as fechaduras, as janelas e o sistema de alarme. Um pentest faz exatamente isso — mas para o seu site, aplicação e rede.

Ataque controlado

Os nossos especialistas atacam a sua infraestrutura da mesma forma que um hacker real faria — mas sob contrato, sem causar danos e com um relatório completo no final.

Relatório + remediação

Recebe um relatório detalhado: o que encontrámos, o quão perigoso é, como corrigi-lo. Sem enchimento — apenas ações.

sem pentest

Você fica a saber da falha after a violação

⚠ Fuga de dados de clientes
⚠ Inatividade do negócio nas horas de pico
⚠ Multas regulatórias
⚠ Danos reputacionais

nível de risco

92%

com pentest

Você fecha as falhas before o ataque

✓ Vulnerabilidades encontradas e corrigidas
✓ A equipa sabe como responder
✓ Conformidade com normas de segurança
✓ Confiança de clientes e parceiros

nível de risco

14%

Medianas internas em todos os nossos projetos, 2024–2026; n=120+. «Risco» é uma pontuação composta que pondera cada vulnerabilidade detetada de acordo com a gravidade e a explorabilidade, medida no momento da entrega do relatório e novamente um mês após a correção.

Como funciona.
Cinco passos para uma infraestrutura segura.

01

Delimitação e briefing

Discutimos o que testar, quais os sistemas críticos e onde estão os limites. Assinamos um NDA e acordamos as regras de envolvimento.
1–3 days
02

Reconhecimento e mapeamento

Mapeamos a superfície de ataque: que serviços estão expostos, que tecnologias são utilizadas e onde estão os pontos de entrada fracos.
3–5 days
03

Exploitation

Exploramos vulnerabilidades de forma segura: investigamos até onde um atacante real poderia realisticamente chegar dentro dos seus sistemas.
5–14 days
04

Reporting

Entregamos um relatório de dois níveis: um resumo executivo para a liderança e detalhes técnicos para a equipa de engenharia.
3–5 days
05

Novo teste e suporte

Após as suas correções, realizamos um novo teste para confirmar que as falhas estão fechadas. Permanecemos disponíveis para esclarecer questões.
2–3 days

O campo de jogos.
Tente atacá-la você mesmo.

Quatro demonstrações práticas que mostram como os atacantes encontram fraquezas — e quanto disso acontece em segundos. Cada uma é segura, corre no seu navegador e é 100% inofensiva.

Round 1 / 10 Score 0/10 easy

Como jogar

Dez fragmentos de código do mundo real, de fácil a difícil, em PHP, Python, Node.js, Rust, Go e SQL. Alguns escondem uma vulnerabilidade clássica, outros são apenas lógica complicada, outros são genuinamente seguros. Assinale o que vir — um ponto por cada deteção correta.

Scoring

9–10/10 — passaria numa entrevista sénior de AppSec.
6–8/10 — bom revisor, espaço para aperfeiçoar.
3–5/10 — o básico está lá, mas os subtis escapam.
0–2/10 — aplique grep ao seu repositório à procura de md5() tonight.

O que procurar

Injeção (SQL, comando, NoSQL) · autenticação comprometida · segredos codificados · IDOR · SSRF · path traversal · criptografia fraca · race conditions · desserialização insegura · verificações de autenticação em falta.

hydra -L users.txt -P common-list-100k.txt BRUTE

target https://acme-corp.local/login

wordlist common-list-100k.txt (99,738 entries)

users admin · root · user · jerry · sarah · mike

// press "Launch attack" to start the simulation

O que acabou de acontecer

Um clássico ataque de credential stuffing. O atacante lança uma lista de 100 mil palavras-passe contra nomes de utilizador comuns. Quando uma 403 começa a devolver — normalmente por rate-limiting — a ferramenta roda por um pool de proxies e continua.

O sinal de alerta

sem WAF · sem rate-limit · sem deteção de anomalias

Milhares de inícios de sessão falhados a partir de IPs rotativos deveriam iluminar todos os painéis. Aqui, nada dispara. Eventualmente one acertos de palavra-passe.

Defense

Limite a taxa por conta (não por IP), adicione MFA, alerte sobre anomalias geográficas, banha pools de proxy conhecidos e exija CAPTCHA após N falhas.

Round 1 / 10 Score 0/10

10 iscos de phishing modernos

Dez cenários baseados nas principais técnicas observadas em 2025–2026: device-code OAuth, quishing por QR code, abuso do Google Calendar/Meet/Forms, proxies inversos AiTM, BEC clássico, Vishing com clonagem de voz por IA e falsificação de identificador de chamada VoIP, e muito mais. Uma ronda = um padrão do mundo real.

Scoring

9–10/10 — apanharia estes em produção.
6–8/10 — bons instintos, espaço para aperfeiçoar.
3–5/10 — uma implementação de MFA resistente a phishing está no seu roteiro.
0–2/10 — a sua caixa de correio é uma violação à espera de acontecer.

A nova realidade

O phishing já não é apenas e-mail. A voz pode ser clonada a partir de 3 segundos de áudio. O identificador de chamada é trivialmente falsificável via VoIP (Twilio, 3CX, Asterisk). O phishing gerado por IA tem uma taxa de cliques 60% superior. Verificar o domínio do remetente já não é suficiente.

nmap -sV <target> SCAN

// select a target and press launch

curl -I <target> PROBE

As equipas de dev publicam código rapidamente e por vezes esquecem-se de limpar. Escolha um caminho esquecido e veja o que um atacante encontra por detrás dele.

dev.acme-corp.com

// click a path above to probe it

O que se passa

Cada caminho é uma categoria de fuga do mundo real. Os atacantes executam ferramentas como dirsearch or ffuf que testam milhares destas em segundos — se algum acerto devolver 200 OK, é o fim do jogo.

A consequência

Um único exposto .git pasta permite a um atacante reconstruir todo o histórico do seu código-fonte — incluindo commits eliminados com segredos.

Defense

Bloqueie dotfiles e caminhos de dev na borda (nginx / WAF), execute scanners automáticos de fugas em CI, imponha artefactos de compilação limpos.

subfinder -d <domain> | httpx RECON

@

// press enumerate to launch subdomain discovery

O primeiro movimento do atacante

Antes de mais, um pentester mapeia a sua superfície de ataque. Cada subdomínio esquecido é um potencial ponto de apoio — um servidor de staging, uma antiga ferramenta interna, um wiki.

Como funciona

subfinder > dnsx > httpx > nuclei

Os registos de Certificate Transparency, o brute-forcing de DNS e as fontes passivas extraem subdomínios de que ninguém se lembra de ter publicado.

Esteja atento a

Tudo o que estiver rotulado como dev, staging, test, old, or admin. Raramente têm o reforço de segurança do seu site principal.

mobscan :: static analysis (.apk / .ipa) MOBSF

Escolha uma aplicação para analisar

nenhuma aplicação selecionada

// pick an app above and press "Start scan" to begin static analysis

O que isto faz na realidade

Pentesters móveis reais desempacotam .apk / .ipa arquivos (são apenas ficheiros ZIP), descompile o bytecode com ferramentas como jadx, apktool, or MobSF, depois aplique grep ao código-fonte descompilado em busca de segredos, endpoints e padrões inseguros.

Porque é importante

Segundo o Mobile Threat Report 2025 da Zimperium, quase metade das aplicações móveis ainda contém segredos codificados no código, 60% das aplicações iOS não têm proteção contra engenharia inversa, e 1 em cada 3 aplicações Android fugar dados sensíveis.

O que procuramos

Chaves de API e tokens codificados no código · segredos AWS/Stripe/Firebase · endpoints de backend privados · flags de debug deixadas ativas · pinning de certificado desativado · cabeçalhos de rate-limit em falta · allowBackup="true" · exported="true" activities.

Services.
Para cada superfície de ataque.

01

Pentest Web

Testes de aplicações web e API seguindo a metodologia OWASP. SQLi, XSS, IDOR, SSRF, falhas de lógica — tudo o que um atacante poderia aproveitar.

— OWASP Top 10 + Lógica de Negócio
— Autenticado & não autenticado
— API / GraphQL / WebSocket
— Análise manual + automatizada

popular

02

Pentest de Rede

Perímetro externo e interno. Exploramos até onde um atacante consegue chegar — a partir da Internet ou já dentro do escritório.

— Externo & Interno
— Comprometimento de AD / Domínio
— Escalada de privilégios
— Movimento lateral

03

Red Team

Simulação completa de APT. Engenharia social, phishing, acesso físico — testamos não só sistemas, mas também as suas pessoas.

— TTPs MITRE ATT&CK
— Phishing & vishing
— Intrusão física
— Colaboração de purple team

Porquê a PWN-ALL.

Não somos um scanner de vulnerabilidades. Somos uma equipa que pensa como um atacante. Cada trabalho é liderado por engenheiros com experiência real de red team e bug bounty.

95%
das descobertas críticas surgem nas primeiras 2 semanas: 120+
empresas confiaram-nos a sua infraestrutura: 340+
descobertas de vulnerabilidades críticas documentadas nos nossos relatórios: 72h
tempo máximo de resposta para pedidos urgentes

Risco vs. tempo — após o pentest

highmedlow

W0

W1

W2

W3

W4

W6

W8

sem pentest o risco mantém-se consistentemente elevado — após a nossa auditoria cai, em mediana, 78 % no espaço de um mês.

Medianas internas em todos os nossos projetos, 2024–2026; n=120+. «Risco» é uma pontuação composta que pondera cada vulnerabilidade detetada de acordo com a gravidade e a explorabilidade, medida no momento da entrega do relatório e novamente um mês após a correção.

Pronto para ver
a sua infraestrutura através dos olhos de um atacante?

Escreva-nos diretamente — sem formulário, sem burocracia. Consulta gratuita de 30 minutos, delimitação e estimativa de prazo no prazo de um dia útil.

✓ We sign the NDA first
✓ No spam, no cold calls
✓ Reply within 24 hours

// pick_a_channel

email hello@pwn-all.com pgp

signal Canal cifrado

nda_first · reply < 24h · no_sales_calls

WE FIND WHAT OTHERS MISS.

A analogia da casa

Ataque controlado

Relatório + remediação

Delimitação e briefing

Reconhecimento e mapeamento

Exploitation

Reporting

Novo teste e suporte

—

—

Risco vs. tempo — após o pentest

Pronto para vera sua infraestrutura através dos olhos de um atacante?

Pronto para ver
a sua infraestrutura através dos olhos de um atacante?