概述
什么是渗透测试？
渗透测试（Pentest）是一种安全评估：我们的白帽黑客会使用与真实攻击者相同的技术尝试突破您的系统。最终交付的不只是一份漏洞清单，还包括真实影响的证明与清晰的修复优先级。
iKodora 将漏洞评估与渗透测试（VAPT）相结合，采用基于 OWASP Testing Guide、OWASP MASVS 与 PTES 的方法论，确保测试覆盖全面，结果经得起审计与合规要求的检验。
服务范围
渗透测试服务范围
按需选择，或组合使用，获得全面的防护与成效。
01
网站与 Web 应用渗透测试
对照 OWASP Top 10 测试 Web 应用：注入、访问控制失效、身份认证与业务逻辑。
- 攻击模拟
- 业务逻辑测试
- 详细风险报告
02
API 渗透测试
对照 OWASP API Security Top 10 测试 REST 与 GraphQL API，涵盖 BOLA 与批量赋值等问题。
- 逐端点授权校验
- 限流与滥用防护
- 输入校验
03
移动应用渗透测试
基于 OWASP MASVS 测试 Android 与 iOS 应用：数据存储、通信安全与逆向工程。
- 静态与动态分析
- 本地存储安全
- 证书绑定（Certificate Pinning）
04
网络与基础设施渗透测试
开展内外网测试，发现暴露的服务、错误配置以及横向移动路径。
- 外网与内网
- Active Directory
- 无线网络安全
价格
透明的起步价格
免费范围界定沟通后确定固定价格，测试过程中不会产生额外费用。
Web 应用
最多 10 个核心功能
起价
USD 5,600
API
最多 20 个端点
起价
USD 4,700
移动应用
≤ 10,000 用户
起价
USD 7,600
网络
最多 16 个 IP
起价
USD 6,600
价值
为什么您的企业需要渗透测试
- 01
抢先发现漏洞
在恶意攻击者利用之前，掌握系统的薄弱环节。
- 02
满足审计与合规
报告可支持 ISO 27001、印尼《个人数据保护法》（UU PDP）、OJK 监管规定（POJK）及 PCI DSS。
- 03
修复优先级清晰
每项发现均附有风险评级（CVSS）、证据与技术修复建议。
- 04
修复后复测
我们会对发现项进行复测，确认修复真正有效。
流程与周期
从首次沟通到最终报告，约 3 周。
以单个应用范围为例的最佳实践周期。每个阶段都有明确产出，严重漏洞不会等到最终报告才通知。
01范围界定沟通
第 1–2 天
通过简短会议梳理资产、目标和合规需求。在分享技术细节前签署保密协议。
02方案与测试规则
第 3–4 天
固定价格、排期、测试时间窗口、紧急联系人和书面授权。未经书面许可不进行任何测试。
03准备与启动
第 5 天
测试账号、必要时的预发布环境访问、测试 IP 白名单，以及与您团队的简短启动会。
04主动测试
第 6–13 天
依据 OWASP/PTES 进行手工与自动化测试。严重漏洞在 24 小时内上报。
05分析与报告
第 14–15 天
面向管理层的执行摘要，面向技术团队的漏洞细节与 PoC、CVSS 评分及逐项修复建议。
06结果复盘
第 16 天
与您的开发团队和管理层逐一讲解发现，并确定修复优先级。
07您的团队进行修复
约 1–4 周
您的团队修复已发现的问题，期间我们随时提供技术支持。
08复测与证明函
2–3 天
验证修复效果，出具复测报告以及面向审计方、监管机构或客户的证明函。
- 约 15 个工作日交付最终报告，随后进行复盘会议，并在您修复后进行复测。
约 15 个工作日交付最终报告，随后进行复盘会议，并在您修复后进行复测。
04 / 08
主动测试
第 6–13 天
依据 OWASP/PTES 进行手工与自动化测试。严重漏洞在 24 小时内上报。
* 以上周期为单个应用范围的示例。实际周期取决于测试范围，包括应用、功能和端点的数量。
报告样例
先看报告质量，再做决定。
我们的报告面向两类读者：需要了解风险概况的管理层，以及需要明确修复步骤的开发人员。
- 执行摘要
- CVSS 风险评分
- 逐项漏洞证明 (PoC)
- 修复建议
- 框架映射
FAQ
关于渗透测试的常见问题
没有找到您想要的答案？我们的团队随时为您提供帮助。
起价 USD 4,700。最终价格取决于测试范围内的应用、功能、端点和 IP 数量，并在免费范围界定沟通后以固定价格锁定。
通常为 1–4 周，具体取决于测试范围：应用数量、API 端点数量与主机数量。确切周期将在与您的团队完成范围界定后确定。
黑盒测试在没有任何内部信息的情况下进行（如同外部攻击者）；灰盒测试使用有限的账号或文档；白盒测试则提供包括源代码在内的完整访问权限。灰盒通常能在真实性与测试深度之间取得最佳平衡。
测试严格遵循双方约定的测试规则（Rules of Engagement）。高风险技术仅在获得批准后执行，如有需要，我们也可以在预发布（Staging）环境中测试。
至少每年一次；此外，每当发生重大变更，如重要功能上线、基础设施迁移或第三方系统集成时，也应进行测试。
相关洞察
渗透测试相关文章
威胁趋势、最佳实践，以及我们所构建解决方案背后的故事。
#LetsSecure
获取合适的解决方案，保障您的业务安全。
欢迎就网络安全或软件开发需求与我们沟通。首次咨询免费。
- Email[email protected]
- 地址雅加达, 印度尼西亚
- 响应时间1 个工作日内