攻击面梳理
在深入测试前，识别可访问功能、暴露技术、认证入口以及应用使用的同源 API。
范围限定为一个 Web 应用YNM3000 / WEB APPLICATION PENTESTSAMPLE
HIGH已确认漏洞Y3K-2026-001
对象级授权缺失导致跨租户发票元数据泄露
CVSS8.1CATEGORYAccess ControlSTATUSReproducible
GET /api/invoices/inv_sample_024
低权限测试账号仅修改对象标识后，即可读取其他租户的发票元数据。
管理摘要复现步骤漏洞证据修复建议
你会得到什么
范围聚焦，证据清楚，交付内容不含糊。
YNM3000 将 AI 驱动的测试与专家验证结合，把一次聚焦的 Web 安全评估变成可以直接执行的安全决策。
验证真实漏洞
在不使用破坏性手段的前提下，测试访问控制、认证、会话、输入处理、服务端行为和常见业务逻辑问题。
所有发现均经复核再写入报告可执行 PDF 报告
管理层可以快速了解风险，开发人员可以根据明确的复现证据和修复建议行动，可选中文或英文。
确认接单后 3 个工作日内交付一次修复复测
报告交付后 14 天内，可集中提交一次严重和高危漏洞修复，并获得复测状态附录。
已包含在 300 美元中范围明确才有稳定交付
一个 Web 应用，就是一个边界清晰的测试项目。
固定价格能够成立，是因为测试开始前就把边界说清楚。
套餐包含
- 一个主要 Web 应用及其同源页面
- 该应用使用的同源 API
- 未登录测试，可选提供一个测试账号
- 对齐 OWASP WSTG 的非破坏性验证
- 中文或英文 PDF 报告
- 14 天内一次严重/高危修复复测
×不在 300 美元范围内
- 其他主机名、独立管理后台或独立部署的 API
- 移动端、源码审计、云环境或内网
- DDoS、社会工程、密码喷洒或撞库
- 持久化、横向移动、破坏性载荷或批量数据导出
- 合规认证或保证发现所有漏洞
下单流程
一次付款，确认范围，交付报告。
支付 300 美元
填写目标 URL，选择是否提供一个测试账号，同意服务条款，并通过 Stripe 安全付款。
确认授权与范围
开始测试前，确认资产所有权或书面授权、精确范围、测试窗口、排除项和紧急联系人。
开始测试
收到接单确认邮件后，3 个工作日交付倒计时开始。若范围或服务健康状态不明确，将立即暂停。
接收报告并修复
安全接收报告，按风险优先级修复，并在 14 天内申请套餐包含的严重/高危复测。
简单的一次性定价
一个 Web 应用渗透测试，固定价 300 美元。
没有订阅、席位费或销售预约。客户先付款，我们再核验授权与范围；无法安全接受的订单将全额退款。
3
所有订单均需人工确认，同时最多执行 3 个测试项目。
YNM3000 Web Pentest
$300一次性 · 美元
- 一个 Web 应用
- 可选一个测试账号
- 专家复核漏洞
- 中文或英文 PDF
- 确认后 3 个工作日交付
- 14 天内一次严重/高危复测
FAQ
下单前需要知道
3 个工作日从什么时候开始？+
从我们通过邮件确认授权、范围、时间以及可选账号资料已经完整时开始，不会在付款后自动开始。
可以测试需要登录的应用吗？+
可以，套餐可选一个由客户创建的测试账号。不要在 Stripe 中填写密码，接单后我们会约定安全的凭据交付方式。
如果目标无法接受怎么办？+
无法验证授权、超出套餐范围或超过当前交付能力的订单，将原路全额退款。
报告能保证系统绝对安全吗？+
不能。任何渗透测试都无法保证发现所有问题。报告会清楚记录测试范围、方法、已确认漏洞、限制和修复优先级。
免费复测包含什么？+
报告交付后 14 个自然日内，集中验证一次原报告中严重和高危漏洞的修复。新增目标和新功能需要重新下单。