Porão Security

Porão Security / Pentest

Não aponta a falha.
Prova o que ela
faz com você.

Simulamos ataques reais contra seus sistemas e demonstramos, com evidência, o que um adversário conseguiria fazer — acesso, dados, dinheiro. Impacto, não uma lista de CVEs.

Solicitar um pentest O que testamos
Superfícies Web API Mobile Rede interna

Exemplo de achadoRelatório técnico

PS-EX-014 Crítica CVSS 9.1

Upload sem validação leva a RCE

Ativo
app.example.com — /perfil/avatar
Impacto
Execução remota de código no servidor de aplicação; acesso ao banco e a credenciais de outros serviços.
Correção
Validar tipo real do arquivo, servir fora do webroot e remover permissão de execução.
# envia um webshell disfarçado de imagem
POST /perfil/avatar HTTP/2
Content-Type: image/png; name="x.php"

HTTP/2 200 OK
# e então, no servidor:
GET /uploads/x.php?cmd=id → uid=33(www-data)
Severidade 9.1 / 10
AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HReteste: corrigido ✓

Exemplo ilustrativo. Todo teste ocorre contra escopo autorizado.

01 / Por que um pentest

Automação encontra o óbvio. O resto exige um humano.

Scanners cobrem volume, mas não entendem o seu negócio. As falhas que realmente derrubam empresas vivem exatamente onde a automação não chega.

Scanner não vê

Lógica de negócio

Comprar com preço negativo, pular a etapa de pagamento, aprovar o próprio pedido. Nenhuma assinatura detecta isso.

Scanner não vê

Encadeamento de falhas

Três "médias" isoladas que, juntas, viram um comprometimento total. O impacto só aparece quando alguém conecta os pontos.

Scanner não vê

Bypass de autorização

Acessar o recurso de outro cliente trocando um ID (IDOR/BOLA). Para a ferramenta, é só um 200 OK.

02 / O que testamos

Cada superfície, com profundidade.

Exploração manual em cada camada — o operador prova o que importa, não só o que aparece.

01

Pentest Web

OWASP Top 10, falhas lógicas e bypass de controles de acesso em aplicações web.

02

Pentest API

REST e GraphQL com foco em autenticação, autorização (BOLA/IDOR) e abuso de função.

03

Pentest Mobile

Análise dinâmica e estática de apps Android e iOS e de suas APIs de apoio.

04

Pentest Interno

Redes internas, Active Directory, escalonamento de privilégios e movimentação lateral.

03 / Metodologia

Referências reconhecidas, não improviso.

Padrões consolidados como base, adaptados ao contexto de cada cliente — e um reteste sempre incluído.

Padrão

OWASP Testing Guide

Padrão

PTES

Padrão

NIST SP 800-115

Referência

MITRE ATT&CK

04 / Equipe

Quem executa os testes.

Operadores ofensivos com experiência em ambientes reais — as mesmas pessoas que assinam o relatório.

Bruno Imperador

Bruno Imperador

Pentester & Red Team Operator

WebAPIMobileCloudRede Interna
Diogo Scrivano

Diogo Scrivano

Pentester & Red Team Tool Developer

WebAPICloudRede InternaLógica de negócio

05 / FAQ

Perguntas frequentes

Ficou com alguma dúvida específica? Nossa equipe está pronta para ajudar.

Entre em contato
Depende do escopo. Um pentest web de uma aplicação média leva entre 5 e 10 dias úteis. Redes internas ou projetos mais amplos podem levar de 2 a 4 semanas. O prazo é definido no escopo inicial.
Não necessariamente. Trabalhamos com abordagem controlada e guarda anti-destrutiva; quando necessário, acordamos janelas de manutenção. Testes em produção são conduzidos com cuidado para evitar impacto nos serviços.
Os dois. O relatório técnico detalha cada vulnerabilidade com evidências, CVSS e passos de reprodução. O executivo apresenta os riscos de forma clara para gestores e diretoria.
Com disciplina de prova. Toda confirmação exige um sinal que só o alvo poderia gerar; o que não conseguimos confirmar é registrado como inconclusivo, nunca como achado. Reflexão de payload não é evidência.
Sim. O reteste das vulnerabilidades críticas e altas está incluído no escopo para validar as correções antes de encerrarmos o engajamento.

Próximo passo

Descubra o que um
atacante já veria.

A maioria das invasões não começa com malware, mas com uma vulnerabilidade negligenciada. Conte o seu cenário e respondemos em até 1 dia útil.

Fale com um especialista