Sızma testi şudur:
kilit kontrolü
dijital kapınız için.

Ev benzetmesi

Yeni bir eve taşınmadan önce kilitleri, pencereleri ve alarm sistemini kontrol edersiniz. Bir sızma testi tam olarak bunu yapar — ama web siteniz, uygulamanız ve ağınız için.

Kontrollü saldırı

Uzmanlarımız altyapınıza gerçek bir hacker'ın yapacağı şekilde saldırır — ama sözleşme dahilinde, hasar vermeden ve sonunda tam bir raporla.

Rapor + düzeltme

Ayrıntılı bir rapor alırsınız: ne bulduğumuz, ne kadar tehlikeli olduğu, nasıl düzeltileceği. Dolgu yok — yalnızca eylemler.

sızma testsiz

Açığı öğrenirsiniz after ihlal

⚠ Müşteri verisi sızıntısı
⚠ Yoğun saatlerde işletme kesintisi
⚠ Düzenleyici para cezaları
⚠ İtibar zedelenmesi

risk düzeyi

92%

sızma testli

Açıkları kapatırsınız before saldırı

✓ Güvenlik açıkları bulundu ve düzeltildi
✓ Ekip nasıl yanıt vereceğini biliyor
✓ Güvenlik standartlarına uyumluluk
✓ Müşterilerin ve ortakların güveni

risk düzeyi

14%

2024–2026 yılları arasında gerçekleştirdiğimiz projelerin iç medyan değerleri; n=120+. “Risk”, her bir açık bulguyu ciddiyet ve istismar edilebilirlik açısından ağırlıklandıran bileşik bir puandır; bu puan, raporun teslim edildiği anda ve düzeltme işleminden bir ay sonra tekrar ölçülür.

Nasıl çalışır.
Güvenli bir altyapıya beş adım.

01

Kapsam belirleme ve özet

Neyin test edileceğini, hangi sistemlerin kritik olduğunu ve sınırların nerede olduğunu görüşürüz. Bir NDA imzalar ve çalışma kuralları üzerinde anlaşırız.
1–3 days
02

Keşif ve haritalama

Saldırı yüzeyini haritalandırırız: hangi hizmetlerin açıkta olduğunu, hangi teknolojilerin kullanıldığını ve zayıf giriş noktalarının nerede olduğunu.
3–5 days
03

Exploitation

Güvenlik açıklarını güvenli bir şekilde istismar ederiz: gerçek bir saldırganın sistemlerinizin içinde gerçekçi olarak ne kadar ileri gidebileceğini araştırırız.
5–14 days
04

Reporting

İki kademeli bir rapor sunarız: liderlik için bir yönetici özeti ve mühendislik ekibi için teknik ayrıntılar.
3–5 days
05

Yeniden test ve destek

Düzeltmelerinizin ardından, açıkların kapatıldığını doğrulamak için yeniden test yaparız. Sorularınız için ulaşılabilir kalırız.
2–3 days

Oyun alanı.
Kendiniz saldırmayı deneyin.

Saldırganların zayıflıkları nasıl bulduğunu — ve bunun ne kadarının saniyeler içinde gerçekleştiğini gösteren dört uygulamalı demo. Her biri güvenlidir, tarayıcınızda çalışır ve %100 zararsızdır.

Round 1 / 10 Score 0/10 easy

Nasıl oynanır

Kolaydan zora on gerçek dünya kod parçacığı; şu dillerde: PHP, Python, Node.js, Rust, Go ve SQL. Bazıları klasik bir güvenlik açığı gizler, bazıları yalnızca aldatıcı bir mantıktır, bazıları ise gerçekten temizdir. Gördüğünüzü işaretleyin — her doğru tespit için bir puan.

Scoring

9–10/10 — kıdemli bir AppSec mülakatını geçerdiniz.
6–8/10 — sağlam bir gözden geçiren, keskinleştirilecek alan var.
3–5/10 — temel olanlar var, ince olanlar kaçıyor.
0–2/10 — deponuzda şunu grep'leyin: md5() tonight.

Nelere dikkat edilmeli

Enjeksiyon (SQL, komut, NoSQL) · bozuk kimlik doğrulama · sabit kodlanmış sırlar · IDOR · SSRF · yol geçişi · zayıf kriptografi · yarış durumları · güvensiz serileştirme açma · eksik kimlik doğrulama kontrolleri.

hydra -L users.txt -P common-list-100k.txt BRUTE

target https://acme-corp.local/login

wordlist common-list-100k.txt (99,738 entries)

users admin · root · user · jerry · sarah · mike

// press "Launch attack" to start the simulation

Az önce ne oldu

Klasik bir kimlik bilgisi doldurma saldırısı. Saldırgan, yaygın kullanıcı adlarına 100 bin parolalık bir kelime listesi fırlatır. Bir 403 dönmeye başladığında — genellikle hız sınırlamasından — araç bir vekil havuzu arasında geçiş yapar ve devam eder.

Tehlike işareti

WAF yok · hız sınırı yok · anormallik tespiti yok

Dönüşümlü IP'lerden gelen binlerce başarısız giriş, her panoyu aydınlatmalı. Burada hiçbir şey tetiklenmiyor. Sonunda one parola eşleşmesi.

Defense

Hesap bazında (IP değil) hız sınırlaması yapın, MFA ekleyin, coğrafi anormalliklerde uyarı verin, bilinen vekil havuzlarını yasaklayın ve N başarısızlıktan sonra CAPTCHA isteyin.

Round 1 / 10 Score 0/10

10 modern kimlik avı tuzağı

2025–2026'da gözlemlenen en yaygın tekniklere dayalı on senaryo: OAuth cihaz kodu, QR kodu quishing'i, Google Takvim/Meet/Forms istismarı, AiTM ters vekilleri, klasik BEC, VoIP arayan kimliği sahteciliği ile yapay zeka ses klonlamalı vishing ve daha fazlası. Bir tur = bir gerçek dünya örüntüsü.

Scoring

9–10/10 — bunları üretimde yakalardınız.
6–8/10 — sağlam içgüdüler, keskinleştirilecek alan var.
3–5/10 — kimlik avına dayanıklı bir MFA dağıtımı yol haritanızda.
0–2/10 — posta kutunuz, gerçekleşmeyi bekleyen bir ihlaldir.

Yeni gerçeklik

Kimlik avı artık yalnızca e-posta değil. Ses, 3 saniyeden klonlanabilir ses kaydından. Arayan kimliği, VoIP (Twilio, 3CX, Asterisk) ile son derece kolay sahtelenir. Yapay zeka üretimi kimlik avlarının %60 daha yüksek tıklama oranı. Gönderen alan adını kontrol etmek artık yeterli değil.

nmap -sV <target> SCAN

// select a target and press launch

curl -I <target> PROBE

Geliştirme ekipleri kodu hızlıca gönderir ve bazen temizlemeyi unutur. Unutulmuş bir yol seçin ve bir saldırganın arkasında ne bulduğunu görün.

dev.acme-corp.com

// click a path above to probe it

Neler oluyor

Her yol, gerçek dünyadan bir sızıntı kategorisidir. Saldırganlar şu gibi araçlar çalıştırır: dirsearch or ffuf bunlardan binlercesini saniyeler içinde deneyen — herhangi bir eşleşme şunu döndürürse: 200 OK, oyun biter.

Sonuç

Tek bir açıkta bırakılmış .git klasörü, bir saldırganın tüm kaynak kodu geçmişinizi yeniden oluşturmasına olanak tanır — sırlar içeren silinmiş commit'ler dahil.

Defense

Uç noktada (nginx / WAF) nokta dosyalarını ve geliştirme yollarını engelleyin, CI'da otomatik sızıntı tarayıcıları çalıştırın, temiz derleme yapılarını zorunlu kılın.

subfinder -d <domain> | httpx RECON

@

// press enumerate to launch subdomain discovery

Saldırganın ilk hamlesi

Her şeyden önce, bir sızma testi uzmanı saldırı yüzeyinizi haritalandırır. Unutulmuş her alt alan adı potansiyel bir dayanak noktasıdır — bir hazırlık sunucusu, eski bir dahili araç, bir wiki.

Nasıl çalışır

subfinder > dnsx > httpx > nuclei

Sertifika Şeffaflığı günlükleri, DNS kaba kuvvet saldırısı ve pasif kaynaklar, kimsenin yayınladığını hatırlamadığı alt alan adlarını ortaya çıkarır.

Dikkat edin:

Şu şekilde etiketlenen herhangi bir şey: dev, staging, test, old, or admin. Nadiren ana sitenizin güvenlik sıkılaştırmasına sahiptirler.

mobscan :: static analysis (.apk / .ipa) MOBSF

Taranacak bir uygulama seçin

uygulama seçilmedi

// pick an app above and press "Start scan" to begin static analysis

Bunun gerçekte yaptığı şey

Gerçek mobil sızma testi uzmanları şunları açar: .apk / .ipa arşivleri (bunlar yalnızca ZIP dosyalarıdır), bayt kodunu şu gibi araçlarla derlemesini çözün: jadx, apktool, or MobSF, ardından kaynak kodun derlemesini çözüp sırlar, uç noktalar ve güvensiz örüntüler için grep yapın.

Neden önemli

Zimperium'un 2025 Mobil Tehdit Raporu'na göre, mobil uygulamaların neredeyse yarısı hâlâ sabit kodlanmış sırlar içeriyor, iOS uygulamalarının %60'ı tersine mühendislik koruması yok ve Her 3 Android uygulamasından 1'i hassas verileri sızdırır.

Neye bakarız

Sabit kodlanmış API anahtarları ve belirteçler · AWS/Stripe/Firebase sırları · özel arka uç uç noktaları · açık bırakılmış hata ayıklama bayrakları · devre dışı bırakılmış sertifika sabitleme · eksik hız sınırı başlıkları · allowBackup="true" · exported="true" activities.

Services.
Her saldırı yüzeyi için.

01

Web Sızma Testi

OWASP metodolojisini izleyen Web uygulaması ve API testi. SQLi, XSS, IDOR, SSRF, mantık kusurları — bir saldırganın yararlanabileceği her şey.

— OWASP Top 10 + İş Mantığı
— Kimliği doğrulanmış ve doğrulanmamış
— API / GraphQL / WebSocket
— Manuel + otomatik analiz

popular

02

Ağ Sızma Testi

Harici ve dahili çevre. Bir saldırganın ne kadar uzağa ulaşabileceğini araştırırız — internetten veya halihazırda ofisin içindeyken.

— Harici ve Dahili
— AD / Etki alanı ele geçirme
— Ayrıcalık yükseltme
— Yanal hareket

03

Red Team

Tam kapsamlı APT simülasyonu. Sosyal mühendislik, kimlik avı, fiziksel erişim — yalnızca sistemleri değil, insanlarınızı da test ederiz.

— MITRE ATT&CK TTP'leri
— Phishing ve vishing
— Fiziksel sızma
— Purple team iş birliği

Neden PWN-ALL.

Biz bir güvenlik açığı tarayıcısı değiliz. Bir saldırgan gibi düşünen bir ekibiz. Her çalışma, gerçek red team ve bug bounty deneyimine sahip mühendisler tarafından yönetilir.

95%
kritik bulgunun ilk 2 hafta içinde ortaya çıkma oranı: 120+
şirket altyapısı için bize güvendi: 340+
raporlarımızda belgelenen kritik güvenlik açıkları: 72h
acil talepler için maksimum yanıt süresi

Risk ve zaman — sızma testinden sonra

highmedlow

W0

W1

W2

W3

W4

W6

W8

sızma testsiz risk sürekli olarak yüksek kalır — denetimimizden sonra bir ay içinde medyan %78 oranında düşer.

2024–2026 yılları arasında gerçekleştirdiğimiz projelerin iç medyan değerleri; n=120+. “Risk”, her bir açık bulguyu ciddiyet ve istismar edilebilirlik açısından ağırlıklandıran bileşik bir puandır; bu puan, raporun teslim edildiği anda ve düzeltme işleminden bir ay sonra tekrar ölçülür.

Görmeye hazır mısınız:
altyapınızı bir saldırganın gözünden mi?

Bize doğrudan yazın — form yok, ek yük yok. Bir iş günü içinde ücretsiz 30 dakikalık danışma, kapsam belirleme ve zaman çizelgesi tahmini.

✓ We sign the NDA first
✓ No spam, no cold calls
✓ Reply within 24 hours

// pick_a_channel

email hello@pwn-all.com pgp

signal Şifreli kanal

nda_first · reply < 24h · no_sales_calls

WE FIND WHAT OTHERS MISS.

Ev benzetmesi

Kontrollü saldırı

Rapor + düzeltme

Kapsam belirleme ve özet

Keşif ve haritalama

Exploitation

Reporting

Yeniden test ve destek

—

—

Risk ve zaman — sızma testinden sonra

Görmeye hazır mısınız:altyapınızı bir saldırganın gözünden mi?

Görmeye hazır mısınız:
altyapınızı bir saldırganın gözünden mi?