攻擊者視角的專業防護

以攻擊者視角，
為企業提前築起堅固防線

我們專注於攻擊模擬與資訊安全服務。在真正的威脅發生之前，提前找出潛在漏洞，並提供可落實的改善建議，協助企業降低風險。

預約資安諮詢

三大服務，全面檢視企業資安風險

滲透測試

Penetration Testing

模擬真實駭客攻擊手法，深入評估企業系統與網站的安全性。

了解更多

弱點掃描

Vulnerability Scanning

結合自動化弱點掃描與專業分析，快速識別系統與設備中的已知弱點。

了解更多

LLM 提示詞注入檢測

LLM Prompt Injection / AI Security Assessment

針對企業部署之 LLM、RAG 與 AI Agent 應用進行安全測試，模擬提示詞注入與越獄攻擊情境，評估 AI 應用整體安全風險。

了解更多

其他服務

資安檢測執行畫面

vulnsec@engine:~$ 自動化檢測示意

[10:14:02]INFOTARGET確認授權目標與測試邊界

[10:14:07]INFOENUM列舉對外服務、端點與身分驗證機制

[10:14:19]WARNHYPOTHESIS推測身分驗證流程存在缺陷，設計驗證方式

[10:14:41]CRITICALCONFIRMED確認可繞過身分驗證，實際取得未授權存取

[10:14:52]SUCCESSHANDOFF交付復現步驟、風險評級與修補優先順序

示意，已去識別化

以紅隊思維為核心的資安專家團隊

漏洞有限公司（VULNSEC）專注於攻擊模擬與企業資訊安全服務，致力於協助企業從攻擊者視角識別潛在資安風險，在威脅發生前主動發掘漏洞，並提供具體且可落實的改善建議。

實戰攻防經歷

團隊成員累積多年資訊安全實務經驗，熟悉各類企業環境與實際攻擊手法。

國際證照

持有多項國際資訊安全與專案管理認證，涵蓋滲透測試、Web 應用程式安全、企業網域安全與專案管理。

授課實績

具備政府機關、學術單位及企業授課經驗，擅長以易於理解的方式傳遞資安知識，協助企業提升資安意識。

中文修補技術報告

提供完整中文技術報告，包含漏洞說明與具體修補建議，便於管理階層與開發團隊溝通。

技術能力

OSCP+OffSec Certified Professional Plus
OSCPOffSec Certified Professional
OSEPOffSec Experienced Penetration Tester
OSWEOffSec Web Expert
CRTPCertified Red Team Professional
LPTLicensed Penetration Tester
CPENTCertified Penetration Testing Professional
NSPANetwork Security Packets Analysis

專案交付

PMPProject Management Professional

方法論依循標準

  • OWASP Testing Guide
  • PTES
  • NIST SP 800-115
  • OWASP LLM Top 10

報告格式示意，已去識別化

SAMPLE

管理摘要 Executive Summary

本次滲透測試共發現 4 項風險弱點，其中包含 1 項高風險弱點，涉及 JWT 簽章驗證機制不當，可能遭利用繞過身分驗證並取得未授權存取。相關漏洞描述與修補建議均已於報告中說明。

#02　JWT 簽章驗證繞過與未授權存取CVSS v3.1：8.6（高風險）

漏洞描述：系統 /api/v1/user/profile API 端點未正確驗證 JWT Token 的 alg 演算法標頭，導致攻擊者可能將演算法修改為 none 並移除 Token 簽章，進而偽造具高權限之使用者身分，未經授權存取受限制的系統資源。

修補建議：強化 API 身分驗證與伺服器端權限控管，導入 RBAC 機制並完善 JWT 驗證流程，明確限制可接受的簽章演算法，並確認 Token 簽章、有效期限及相關權限資訊均經伺服器端驗證。建議由開發團隊依實際系統架構與權限設計進行調整，完成修補後再進行複測，以確認弱點已獲得妥善處理。

全中文技術報告

便於管理階層與開發團隊溝通

提供漏洞驗證步驟

協助工程團隊重現與確認漏洞

專案包含一次複測

確認修補後的改善成效

準備好評估貴單位的資訊安全防禦能力了嗎？

無論是新系統上線、定期合規審查或 AI 模型安全評估，VULNSEC 資安專家團隊均能協助您進行初步範疇評估。

預約資安諮詢
預約資安諮詢