您的产品理应按预期运行

🎯 目标

在面向俄罗斯市场发布前，对Web平台和移动应用（iOS、Android）进行全面审计。

⚙️ 我们做了什么

网站与移动端功能测试，设计稿核查，两轮渗透测试，正式复测周期的回归审计，iOS与Android手动测试。

🔍 发现

共发现84个缺陷，其中12个严重：SQL注入、IDOR漏洞、影子API端点、硬编码密钥、不安全文件上传。

✅ 结果

输出修复路线图，复测确认全部修复。平台上线时已清楚哪些风险已闭合。

🎯 目标

自动化集成测试，并将遗留UI测试框架从Groovy迁移至Kotlin。

⚙️ 我们做了什么

用Kotlin从零构建集成测试项目，集成至Docker和CI/CD并发布至生产环境。将UI测试框架从Groovy+Selenide迁移至Kotlin，并完成代码审查。

🔍 发现

Groovy框架速度慢、维护成本高。迁移后两个问题均得到解决。

✅ 结果

全量自动化，CI/CD集成，发布至生产环境。回归测试完全告别人工。

🎯 目标

客户需要确认：平台能否承受新年高峰流量，是否存在可被利用的安全漏洞。

⚙️ 我们做了什么

模拟高峰流量的性能测试，Web应用渗透测试，设计稿功能核查，iOS与Android手动测试。

🔍 发现

高峰负载下会导致崩溃的性能瓶颈，以及Web应用安全漏洞。

✅ 结果

节前完成瓶颈修复。高峰季零故障，营收完整保留。

🎯 目标

该服务涉及用户上传、自定义编辑器、激活码系统及平台集成，每个环节都是潜在攻击面。

⚙️ 我们做了什么

Web应用与API渗透测试，设计稿功能核查，激活码系统与用户编辑器测试，iOS与Android手动测试。

🔍 发现

用户内容处理及激活流程中存在安全漏洞。

✅ 结果

上线前完成全部修复，服务以安全状态发布。

🎯 目标

一组金融科技公司在合规审计前需要对其产品进行独立审查。五个平台均处理敏感的个人和金融数据，且从未经过外部人员测试。

⚙️ 我们做了什么

对全部五个平台进行全周期测试：网页和移动应用（iOS与Android）功能测试，随后对每个平台进行安全审计——认证流程、API、服务器配置和数据处理。

🔍 发现

功能测试发现内部团队遗漏的数十个问题。安全审计发现严重问题：一个平台的Git仓库完全公开——数据库密码、API密钥、内部凭据、完整源代码均可访问。另一个平台对访问码暴力破解毫无防护，简单脚本可在三小时内遍历全部10,000种组合。

✅ 结果

所有严重漏洞在一周内修复。仓库已保护，所有凭据已轮换，全平台实施限速。功能问题在合规截止日期前解决。五个平台全部通过审计。

🎯 目标

一个电商平台依赖付费第三方服务，免费额度为300次请求，从第301次起开始计费。团队认为阈值处理正确，但从未在真实流量下测试过。

⚙️ 我们做了什么

搭建沙箱环境，将第三方服务流量重定向其中，运行模拟真实生产模式的负载测试——包括免费额度耗尽的精确时刻。

🔍 发现

第301次请求处理不当。在负载下，系统越过免费额度而未触发控制逻辑，每个请求都悄悄计费。在生产环境中，这只会在下次账单时被发现。

✅ 结果

在上线前修复了阈值逻辑。修复后分析显示，公司每月会多付30万卢布（约3,600美元）——用于本应免费的API调用。

🎯 目标

一家产品公司将AI助手集成到平台中，面向客户运行并可访问内部工具。团队想知道AI是否可被操纵泄露敏感信息。

⚙️ 我们做了什么

执行了一系列提示注入测试——从基本指令覆盖到多步社会工程学、角色操纵和间接注入技术。

🔍 发现

AI泄露了完整的生产架构：三层系统设计、确切技术栈、容器编排细节、防火墙规则、内部API端点和云存储配置，并确认了哪些漏洞未修补。随后AI更进一步，主动建议测试人员未曾询问过的新攻击向量。

✅ 结果

公司在数小时内禁用了机器人并从头重写系统提示。每个泄露的组件均经过审计，凭据已轮换，确认的漏洞已修补。AI在一周后以适当的防护措施重新上线。