Ir para o conteúdo principal
OWASP Top 10 OSCP / OSWE Reteste incluído

Pentest web profissional

Teste de penetração em aplicações web com cobertura completa das 10 categorias do OWASP Top 10, lógica de negócio específica da sua aplicação, fluxos de autenticação e autorização e configuração de infraestrutura.

Conduzido por especialistas certificados OSCP e OSWE, o pentest web da First Security entrega evidências reproduzíveis, CVSS calculado para cada vulnerabilidade e relatório que suporta tanto a equipe técnica quanto decisões de board e compliance.

Solicitar pentest web Falar com especialista
O que testamos

Cobertura técnica completa

Cada categoria é testada manualmente por especialistas, complementada por ferramentas automatizadas calibradas para reduzir falsos positivos.

Injeções

  • ● SQL Injection
  • ● NoSQL Injection
  • ● Command Injection
  • ● Template Injection (SSTI)
  • ● LDAP Injection

Autenticação e sessão

  • ● Broken Authentication
  • ● Weak Password Policy
  • ● Session Fixation
  • ● JWT Vulnerabilities
  • ● OAuth Misconfigurations

Autorização

  • ● IDOR (Insecure Direct Object Reference)
  • ● Broken Function Level Authorization
  • ● Mass Assignment
  • ● Privilege Escalation

Vulnerabilidades de cliente

  • ● Cross-Site Scripting (XSS)
  • ● CSRF
  • ● Clickjacking
  • ● Open Redirect
  • ● DOM-based vulnerabilities

Configuração e infraestrutura

  • ● Security Misconfiguration
  • ● Sensitive Data Exposure
  • ● Insecure HTTP Headers
  • ● TLS/SSL Issues
  • ● Directory Listing

Lógica de negócio

  • ● Business Logic Flaws
  • ● Race Conditions
  • ● Price Manipulation
  • ● Workflow Bypass
  • ● Rate Limiting Bypass

Vulnerabilidades modernas

  • ● SSRF (Server-Side Request Forgery)
  • ● XXE (XML External Entity)
  • ● Deserialization Attacks
  • ● GraphQL Introspection
  • ● WebSocket Security

Arquivos e uploads

  • ● Unrestricted File Upload
  • ● Path Traversal
  • ● Insecure Direct Download
  • ● Malicious File Execution
Como funciona

Processo do pentest web

1

Escopo e regras de engajamento

Definição do que pode ser testado: URLs, perfis de usuário (autenticado/anônimo), integrações externas e janela de execução. Documento de autorização assinado antes do início.

2

Reconhecimento e mapeamento

Enumeração de endpoints, parâmetros, tecnologias, dependências e superfície de ataque. Inclui análise de JavaScript do lado cliente, comentários em código e arquivos expostos.

3

Testes manuais e automatizados

Combinação de ferramentas (Burp Suite Pro, nuclei, sqlmap) com análise manual focada em lógica de negócio e vulnerabilidades que ferramentas automatizadas não detectam.

4

Exploração e validação

Confirmação manual de cada vulnerabilidade encontrada para eliminar falsos positivos. Demonstração de impacto real com prova de conceito reproduzível.

5

Relatório e debriefing

Entrega de relatório executivo e técnico, sessão de debriefing com a equipe e plano de remediação priorizado por criticidade e facilidade de exploração.

6

Reteste gratuito

Após implementação das correções, realizamos reteste para confirmar que as vulnerabilidades críticas e altas foram efetivamente mitigadas. Incluído no projeto sem custo adicional.

O que você recebe

Entregáveis do pentest web

Relatório executivo

Risco global, top vulnerabilidades e impacto em linguagem de negócio. Ideal para apresentar à diretoria, ao board ou a auditores externos.

Relatório técnico

Cada vulnerabilidade com CVSS, evidências reproduzíveis, screenshots, payload utilizado e passos de remediação para o time de desenvolvimento.

Matriz de risco

Visualização das vulnerabilidades por criticidade versus facilidade de exploração, facilitando priorização das correções pelo time técnico.

Reteste gratuito

Após as correções, realizamos novo teste das vulnerabilidades críticas e altas para confirmar que a remediação foi efetiva.

Dúvidas

Perguntas frequentes

Compliance

Pentest web para conformidade regulatória

Aplicações web processam dados sensíveis cobertos por múltiplas regulações. O relatório de pentest web da First Security inclui rastreabilidade para cada requisito.

LGPD

Art. 46 — medidas técnicas de segurança para proteção de dados pessoais.

PCI DSS 4.0

Req. 11.3 e 11.4 — pentest anual do ambiente de dados do titular do cartão.

ISO 27001

Controle A.12.6 — gestão de vulnerabilidades técnicas e SGSI.

SOC 2

Trust Services Criteria CC6.6 e CC7.1 — testes de vulnerabilidade e penetração.

Solicite seu pentest web

Diagnóstico inicial gratuito. Definimos o escopo e enviamos a proposta em até um dia útil.

Solicitar orçamento Falar com especialista