服务

Web3 渗透测试

采取主动的安全策略，抢在攻击者之前发现项目缺陷。CertiK 的 Web3 渗透测试服务运用与黑帽黑客相同的专业知识和工具，对应用程序、网络和云基础设施进行检测并实施漏洞利用，从而防范此类攻击。

服务范围

我们的渗透测试解决方案

以安全可控的方式，运用真实威胁行为者为获取未授权访问并在被攻陷环境中维持立足点所采用的策略性战术、技术和程序，对贵组织的技术控制措施和网络安全进行压力测试。

  • 应用

    评估范围涵盖 Web、移动和桌面应用、浏览器扩展及其 API，以检测影响资金安全、敏感数据和用户信任的漏洞。

  • 网络

    对内部和外部网络及服务器基础设施开展深入的渗透测试，帮助保障包括区块链 RPC 在内的 IT 环境安全。

  • 云与基础设施

    安全审查可识别 AWS、Azure 和 GCP 云基础设施中的错误配置和漏洞，并提供改进指导。

  • AI/ML

    对集成 AI 的 dApp 进行渗透测试，发现并缓解与提示词注入及 LLM 驱动漏洞相关、威胁资金安全的风险。

  • SDK

    全面审查可识别 SDK 在设计和实现上的不安全之处，尤其是支持区块链、dApp 和钱包集成的 SDK。

  • 源代码

    在代码层面保障应用安全，发现并缓解业务逻辑、密码学实现、依赖项和编码实践中的隐藏风险。

概述

什么是 Web3 渗透测试？

与 Web2 相比，Web3 带来了独特的挑战。Web3 渗透测试人员必须了解区块链技术、智能合约、密钥管理、链上/链下通信以及 Web3 特有的威胁。应用程序通常将去中心化合约与中心化后端服务和托管基础设施相结合。此外，金融法规和合规框架还对系统安全、运营韧性和数据保护提出了更多要求。有效的测试必须考虑整个技术栈中的技术漏洞和合规驱动的风险。

覆盖范围

专注于 Web3 技术栈安全

  • 中心化交易所

  • Web3 钱包

  • 托管解决方案

  • 去中心化应用

  • 区块链基础设施

为什么选择 CertiK

为什么选择 CertiK 渗透测试：研究驱动，兼具 Web2 与 Web3 专业能力

作为业界领先的渗透测试团队，我们的测试方法以持续研究为支撑，获得 Web2 巨头和领先 Web3 项目的认可，并不断提升能力与技术，始终保持行业前列。

  • 内部专业团队

    由内部安全专家组成的专家团队，实行严格的质量控制。经过认证的渗透测试人员兼具攻防两方面的专业知识。

  • 提升社区信任

    渗透测试记录现已在项目主页上公开，有助于增强信任，并提升 Skynet Score 中“代码”和“运营”类别的评分。

  • 对标行业标准

    我们的渗透测试对标 OWASP、MASVS 与 MASTG、CVSS、NIST、PTES 和 CREST 等业界公认标准。

  • 合规支持

    提供合规与监管支持，依据 SOC 2、ISO 27001、MiCA 与 DORA、HKSFC、MAS 等框架和要求，开展量身定制的评估与报告。

方法

渗透测试流程

我们的渗透测试工作流程针对 Web3 环境的独特架构、威胁模型和攻击面进行了优化。

  1. 准备

    明确测试范围与条件

    CertiK 将发出一份问卷，确保双方就测试范围、时间安排、限制条件、约束事项和定制目标达成一致。

  2. 探索

    侦察与漏洞分析

    我们的团队将开展侦察，识别对外公开的资产，随后进行漏洞分析，发现潜在风险。

  3. 漏洞利用

    针对目标的漏洞利用

    我们的团队将尝试利用漏洞，并使用各种工具和策略绕过安全控制。

  4. 提权

    权限提升与横向移动

    我们的渗透测试人员将尝试提升权限，并访问密钥材料和敏感数据，以模拟攻击者的目标。

  5. 改进

    交付发现项与建议

    CertiK 将提供一份详细报告，概述潜在的业务影响，并提出具体可行的建议。

交付成果

以下是我们的交付内容

  • 执行摘要

  • 威胁建模

  • 详细技术报告

  • 建议

  • 修复步骤

报告

客观报告

渗透测试报告内容全面，详列所有已识别漏洞的细节，并按严重程度从“严重”到“信息”进行分级。每个发现项都包含清晰的描述、复现步骤、概念验证和量身定制的修复建议。

完成渗透测试的项目将登上 Skynet 排行榜 （在新标签页中打开），向整个 Web3 社区有力展示其对安全的承诺。渗透测试报告证明项目重视安全，并优先保障用户资金安全。渗透测试有助于 Web3 项目保护应用程序，避免代价高昂的错误。

客户

全球行业领导者的信赖之选

资质认证

我们的渗透测试资质认证

  • Offensive Security OSCP
  • Offensive Security OSWE
  • Offensive Security OSEP
  • Offensive Security OSCE
  • CREST CRT Registered
  • Zero Point Security
  • AWS Certified Security Specialty

常见问题

有问必答

  • Web3 渗透测试是一种主动式安全评估，通过模拟真实世界的网络攻击，在恶意攻击者利用漏洞之前，识别应用程序、网络和基础设施中的漏洞。它将区块链专业知识与传统的攻击性安全技术相结合，保护智能合约、托管系统、钱包和后端服务。

  • Web3 环境引入了独特的风险，例如智能合约交互、密钥管理、链上/链下通信以及托管基础设施。有效的 Web3 渗透测试除了需要传统的 Web 和网络安全测试知识外，还需要深入了解区块链架构、去中心化系统和合规框架。

  • CertiK 的测试范围涵盖应用程序（Web、移动端、桌面端、浏览器扩展、API）、内部和外部网络、区块链 RPC 基础设施、云环境（AWS、Azure、GCP）、集成 AI 的 dApp、SDK 以及源代码，以发现整个 Web3 技术栈中的业务逻辑、密码学和依赖项风险。

  • 渗透测试有助于抢在攻击者之前识别可被利用的弱点，从而降低经济损失、数据泄露和声誉受损的风险。它还清晰展现了项目对安全的承诺，增强用户信心和生态信任。

  • CertiK 提供一份全面的报告，内容包括执行摘要、威胁建模、详细的技术发现项、严重程度分级、复现步骤、概念验证证据，以及根据项目风险状况量身定制、可落地执行的修复建议。

  • CertiK 的渗透测试人员采用与威胁行为者相同的战术、技术和程序，包括侦察、漏洞分析、漏洞利用尝试、权限提升和横向移动，以评估攻击者可能如何获取并维持未经授权的访问。

  • 该流程包括五个阶段：准备并定义范围、通过侦察探索资产、利用已识别的漏洞、提升权限以模拟更深层次的入侵，以及交付详细的发现项和修复建议以加强防御。

  • CertiK 的测试方法与 OWASP、NIST、PTES 和 CREST 等业界公认标准保持一致，并支持 SOC 2、ISO 27001、MiCA、DORA、HKSFC 和 MAS 等监管框架，帮助项目同时满足技术层面和合规驱动的安全要求。

  • 已完成的渗透测试会展示在项目主页上，有助于提升 Skynet Score 在“代码”和“运营”类别中的指标。公开的渗透测试记录可向更广泛的 Web3 社区透明地证明项目在安全方面的投入。

  • CertiK 的内部团队由兼具攻防两方面专业能力的认证安全专家组成，并以持续的 Web2 和 Web3 安全研究为支撑。这种以研究为驱动的方法使团队能够领先应对新兴威胁，并交付高影响力、贴近真实场景的测试结果。

资源

了解更多相关资源

告诉我们 您正在打造的项目。