Pentest je
kontrola zámku
pre vaše digitálne dvere.

Analógia s domom

Pred nasťahovaním do nového domova skontrolujete zámky, okná a alarm. Pentest robí presne to — ale pre vašu webovú stránku, aplikáciu a sieť.

Riadený útok

Naši špecialisti útočia na vašu infraštruktúru rovnako ako skutočný hacker — ale na základe zmluvy, bez škôd a s úplnou správou na konci.

Správa + náprava

Dostanete podrobnú správu: čo sme našli, aké je to nebezpečné, ako to opraviť. Žiadna vata — len akcie.

bez pentestu

Dozviete sa o diere after narušenie

⚠ Únik dát zákazníkov
⚠ Výpadok prevádzky v špičke
⚠ Regulačné pokuty
⚠ Poškodenie reputácie

úroveň rizika

92%

s pentestom

Vy uzavriete diery before útok

✓ Zraniteľnosti nájdené a opravené
✓ Tím vie, ako reagovať
✓ Súlad s bezpečnostnými štandardmi
✓ Dôvera klientov a partnerov

úroveň rizika

14%

Interné mediány v rámci našich projektov, 2024–2026; n = 120+. „Riziko“ je kompozitné skóre, ktoré váži každý nezavretý nález podľa závažnosti a využiteľnosti, merané v čase odovzdania správy a opäť jeden mesiac po náprave.

Ako to funguje.
Päť krokov k bezpečnej infraštruktúre.

01

Vymedzenie & brief

Prediskutujeme, čo testovať, ktoré systémy sú kritické a kde sú hranice. Podpíšeme NDA a dohodneme pravidlá nasadenia.
1–3 days
02

Prieskum & mapovanie

Zmapujeme útočný povrch: ktoré služby sú vystavené, ktoré technológie sa používajú a kde sú slabé vstupné body.
3–5 days
03

Exploitation

Bezpečne zneužívame zraniteľnosti: skúmame, ako ďaleko by sa skutočný útočník reálne dostal vo vašich systémoch.
5–14 days
04

Reporting

Dodávame dvojúrovňovú správu: výkonné zhrnutie pre vedenie a technické detaily pre inžiniersky tím.
3–5 days
05

Opätovný test & podpora

Po vašich opravách spustíme opätovný test, aby sme potvrdili, že diery sú uzavreté. Zostávame k dispozícii pre otázky.
2–3 days

Ihrisko.
Skúste na to zaútočiť sami.

Štyri praktické ukážky, ktoré ukazujú, ako útočníci nachádzajú slabiny — a koľko z toho sa deje v sekundách. Každá je bezpečná, beží vo vašom prehliadači a je 100% neškodná.

Round 1 / 10 Score 0/10 easy

Ako hrať

Desať reálnych úryvkov kódu od ľahkých po ťažké naprieč PHP, Python, Node.js, Rust, Go a SQL. Niektoré skrývajú klasickú zraniteľnosť, niektoré len zložitú logiku, niektoré sú naozaj čisté. Označte, čo vidíte — jeden bod za každé správne rozhodnutie.

Scoring

9–10/10 — prešli by ste pohovorom na seniorného AppSec.
6–8/10 — solídny recenzent, priestor na zdokonalenie.
3–5/10 — základy sú tam, jemné detaily unikajú.
0–2/10 — prehľadajte svoj repozitár na md5() tonight.

Na čo si dať pozor

Injekcia (SQL, command, NoSQL) · narušená autentifikácia · natvrdo zakódované tajné kľúče · IDOR · SSRF · path traversal · slabá kryptografia · súbehové stavy · nebezpečná deserializácia · chýbajúce kontroly autentifikácie.

hydra -L users.txt -P common-list-100k.txt BRUTE

target https://acme-corp.local/login

wordlist common-list-100k.txt (99,738 entries)

users admin · root · user · jerry · sarah · mike

// press "Launch attack" to start the simulation

Čo sa práve stalo

Klasický útok typu credential-stuffing. Útočník hádže zoznam 100k hesiel na bežné používateľské mená. Keď nejaké 403 začne vracať — zvyčajne pre rate-limiting — nástroj rotuje cez proxy fond a pokračuje ďalej.

Varovný signál

žiadny WAF · žiadny rate-limit · žiadna detekcia anomálií

Tisíce neúspešných prihlásení z rotujúcich IP by mali rozsvietiť každý dashboard. Tu sa nespustí nič. Nakoniec one zásah hesla.

Defense

Obmedzte rýchlosť podľa účtu (nie IP), pridajte MFA, upozorňujte na geografické anomálie, blokujte známe proxy fondy a vyžadujte CAPTCHA po N zlyhaniach.

Round 1 / 10 Score 0/10

10 moderných phishingových návnad

Desať scenárov založených na najčastejších technikách pozorovaných v rokoch 2025–2026: OAuth device-code, QR-kódový quishing, zneužitie Google Calendar/Meet/Forms, AiTM reverzné proxy, klasický BEC, AI hlasový klon vishing s podvrhnutím VoIP caller-ID, a ďalšie. Jedno kolo = jeden reálny vzorec.

Scoring

9–10/10 — tieto by ste zachytili v produkcii.
6–8/10 — solídne inštinkty, priestor na zdokonalenie.
3–5/10 — nasadenie phishing-odolného MFA je na vašom pláne.
0–2/10 — vaša schránka je narušenie čakajúce na svoju chvíľu.

Nová realita

Phishing už nie je len e-mail. Hlas možno naklonovať z 3 sekúnd zvuku. Caller-ID sa triviálne podvrhne cez VoIP (Twilio, 3CX, Asterisk). AI-generované phishe majú o 60 % vyššia miera prekliknutia. Kontrola domény odosielateľa už dnes nestačí.

nmap -sV <target> SCAN

// select a target and press launch

curl -I <target> PROBE

Vývojárske tímy posúvajú kód rýchlo a niekedy zabudnú upratať. Vyberte zabudnutú cestu a uvidíte, čo za ňou útočník nájde.

dev.acme-corp.com

// click a path above to probe it

Čo sa deje

Každá cesta je reálna kategória úniku. Útočníci spúšťajú nástroje ako dirsearch or ffuf ktoré ich vyskúšajú tisíce za sekundy — ak nejaký zásah vráti 200 OK, je po hre.

Dôsledok

Jediný vystavený .git priečinok umožňuje útočníkovi zrekonštruovať celú históriu vášho zdrojového kódu — vrátane vymazaných commitov s tajnými kľúčmi.

Defense

Blokujte dotfiles & vývojárske cesty na okraji (nginx / WAF), spúšťajte automatizované skenery únikov v CI, vynucujte čisté build artefakty.

subfinder -d <domain> | httpx RECON

@

// press enumerate to launch subdomain discovery

Prvý ťah útočníka

Pred všetkým ostatným pentester zmapuje váš útočný povrch. Každá zabudnutá subdoména je potenciálnym oporným bodom — staging server, starý interný nástroj, wiki.

Ako to funguje

subfinder > dnsx > httpx > nuclei

Záznamy Certificate Transparency, brute-forcing DNS a pasívne zdroje vytiahnu subdomény, na ktorých zverejnenie si nikto nepamätá.

Dávajte pozor na

Čokoľvek označené ako dev, staging, test, old, or admin. Zriedka majú bezpečnostné spevnenie ako vaša hlavná stránka.

mobscan :: static analysis (.apk / .ipa) MOBSF

Vyberte aplikáciu na skenovanie

žiadna aplikácia nevybraná

// pick an app above and press "Start scan" to begin static analysis

Čo to v skutočnosti robí

Skutoční mobilní pentesteri rozbaľujú .apk / .ipa archívy (sú to len ZIP súbory), dekompilujte bajtkód nástrojmi ako jadx, apktool, or MobSF, potom prehľadajte dekompilovaný zdrojový kód na tajné kľúče, koncové body a nebezpečné vzory.

Prečo na tom záleží

Podľa správy Zimperium 2025 Mobile Threat Report, takmer polovica mobilných aplikácií stále obsahuje natvrdo zakódované tajné kľúče, 60 % aplikácií pre iOS nemajú žiadnu ochranu proti reverznému inžinierstvu, a 1 z 3 aplikácií pre Android úniku citlivých dát.

Čo hľadáme

Natvrdo zakódované API kľúče & tokeny · tajné kľúče AWS/Stripe/Firebase · súkromné backendové koncové body · ponechané ladiace príznaky · vypnuté pripínanie certifikátov · chýbajúce hlavičky rate-limit · allowBackup="true" · exported="true" activities.

Services.
Pre každý útočný povrch.

01

Web pentest

Testovanie webových aplikácií & API podľa metodiky OWASP. SQLi, XSS, IDOR, SSRF, logické chyby — všetko, čo by útočník mohol využiť.

— OWASP Top 10 + biznis logika
— Autentifikované & neautentifikované
— API / GraphQL / WebSocket
— Manuálna + automatizovaná analýza

popular

02

Sieťový pentest

Externý a interný perimeter. Skúmame, ako ďaleko sa útočník dostane — z internetu, alebo keď je už vnútri kancelárie.

— Externé & interné
— Kompromitácia AD / domény
— Eskalácia privilégií
— Laterálny pohyb

03

Red Team

Plnorozsahová simulácia APT. Sociálne inžinierstvo, phishing, fyzický prístup — netestujeme len systémy, ale aj vašich ľudí.

— TTP MITRE ATT&CK
— Phishing & vishing
— Fyzický prienik
— Spolupráca purple teamu

Prečo PWN-ALL.

Nie sme skener zraniteľností. Sme tím, ktorý myslí ako útočník. Každé nasadenie vedú inžinieri so skutočnými skúsenosťami z red teamu a bug bounty.

95%
kritických nálezov sa objaví v prvých 2 týždňoch: 120+
firiem nám zverilo svoju infraštruktúru: 340+
zistenia kritických zraniteľností zdokumentované v našich správach: 72h
maximálny čas reakcie na naliehavé požiadavky

Riziko vs. čas — po penteste

highmedlow

W0

W1

W2

W3

W4

W6

W8

bez pentestu riziko zostáva trvalo vysoké — po našom audite v priebehu mesiaca klesá o medián 78 %.

Interné mediány v rámci našich projektov, 2024–2026; n = 120+. „Riziko“ je kompozitné skóre, ktoré váži každý nezavretý nález podľa závažnosti a využiteľnosti, merané v čase odovzdania správy a opäť jeden mesiac po náprave.

Pripravení vidieť
vašu infraštruktúru očami útočníka?

Napíšte nám priamo — žiadny formulár, žiadna réžia. Bezplatná 30-minútová konzultácia, vymedzenie a odhad harmonogramu do jedného pracovného dňa.

✓ We sign the NDA first
✓ No spam, no cold calls
✓ Reply within 24 hours

// pick_a_channel

email hello@pwn-all.com pgp

signal Šifrovaný kanál

nda_first · reply < 24h · no_sales_calls

WE FIND WHAT OTHERS MISS.

Analógia s domom

Riadený útok

Správa + náprava

Vymedzenie & brief

Prieskum & mapovanie

Exploitation

Reporting

Opätovný test & podpora

—

—

Riziko vs. čas — po penteste

Pripravení vidieťvašu infraštruktúru očami útočníka?

Pripravení vidieť
vašu infraštruktúru očami útočníka?