一、服务简介
铁牛科技提供应用级安全渗透测试服务，针对网站、小程序、APP、管理系统、物联网平台、API 接口开展安全评估。模拟黑客攻击思路，主动挖掘漏洞、安全缺陷、权限缺陷，输出安全报告与修复建议，提前规避数据泄露、越权访问、注入攻击、网站篡改等安全风险，满足上线安全自查、等保测评前置自查、业务平台风险审计需求。
二、核心服务项目
- 前期信息收集与方案规划 业务资产梳理，确定测试范围（域名、IP、接口、APP 包、小程序）；确认测试边界、禁止操作项、业务时间窗口；制定渗透测试方案、测试计划，签订保密协议。
- 信息探测与资产梳理 子域名探测、端口扫描、服务版本识别、目录扫描、接口爬虫；梳理后台地址、敏感文件、第三方组件、API 接口清单。
- 漏洞安全检测 Web 漏洞检测：SQL 注入、XSS 跨站、文件上传、文件包含、代码执行、弱口令、目录遍历、CSRF； 接口 / API 安全检测：越权访问、未授权访问、参数篡改、敏感信息泄露、重放攻击； 移动端检测（APP / 小程序）：代码反编译、本地数据泄露、硬编码密钥、接口安全校验缺陷。
- 业务逻辑安全测试 权限越权测试、身份认证缺陷、验证码绕过、支付逻辑漏洞、订单篡改、越权查看用户数据、业务表单恶意提交。
- 漏洞验证与风险定级 漏洞人工复现，区分误报；按照高危 / 中危 / 低危 / 信息提示进行风险分级；验证漏洞可利用场景、影响范围。
- 安全报告输出 完整渗透测试报告，包含资产清单、漏洞详情、风险描述、复现步骤、风险等级、详细修复方案；提供漏洞整改指引。
- 漏洞复测验证 客户完成漏洞修复后，进行复测，验证漏洞是否修复，确认风险关闭，出具复测结论。
- 增值安全服务
- 安全代码审计（可选）：源代码漏洞审计，挖掘底层逻辑缺陷
- 安全基线检查：服务器、数据库、中间件安全配置核查
- 安全加固咨询：服务器、应用、WAF 安全配置建议
- 安全培训：开发人员安全开发意识培训
- 周期性安全巡检：月度 / 季度漏洞扫描、风险监测
三、渗透测试服务分类
- Web 网站渗透测试：企业官网、营销网站、后台管理系统
- API 接口渗透测试：业务接口、物联网接口、系统对接接口
- 小程序 / H5 渗透测试：微信小程序、H5 应用安全检测
- APP 移动端渗透测试：安卓 /iOS 应用安全评估
- 业务逻辑专项测试：订单、支付、会员、签名、权限体系专项审计
四、服务优势
- 先签订授权与保密协议，只在授权范围内开展测试，不影响生产业务稳定
- 人工 + 工具结合，减少误报，聚焦真实可利用高危漏洞
- 报告附带可落地修复方案，开发人员可直接参照整改
- 支持漏洞复测，验证修复效果
- 可配套网站、管理平台、物联网平台项目联合交付安全评估
五、服务说明
- 本服务属于授权安全测试，严禁在未授权情况下对任何系统进行渗透，客户需提供书面授权。
- 测试会尽量规避业务高峰，仍存在极小概率影响业务访问风险，重要业务建议优先在测试环境实施。
- 渗透测试仅发现并提供漏洞修复建议，漏洞修复开发工作可单独报价。
- 渗透测试不等于等保测评，如需等保认证，需对接具备资质的第三方测评机构。
- 交付成果为安全测试报告；周期性安全巡检可按年度签约。
六、适用客户
平台运营企业、软件开发公司、工厂、工程服务商，网站 / 小程序 / APP / 业务管理系统上线前安全自查、定期风险审计、数据安全风险排查。