面向金融科技的安全

面向金融科技的渗透测试与安全

金融科技是资金、监管与 API 交汇之处，一个失效的授权校验就可能转走资金或泄露所有客户的记录。我们测试支付流程、公开与合作伙伴 API，以及您的审计方与合作伙伴期望看到的各项控制措施。以人工为主，在 NDA 下进行，并在 SoW 约定的时间窗口内提供免费复测。

行业风险

金融科技的风险所在

金融科技中影响最大的发现，很少是缺了某个补丁，而是处理资金与个人财务数据的流程中的逻辑与授权缺陷。自动化扫描器恰恰会遗漏这些问题。

资金流转逻辑

支付与转账流程中的请求竞争、限额绕过与金额篡改。人工测试正是为捕捉这类逻辑缺陷而设计的。

跨租户的失效授权

BOLA/IDOR 让一位客户能读取另一位客户的对账单、余额或发票，这是最常见的高危 API 缺陷。

持卡人数据暴露

持卡人数据环境周边薄弱的范围界定或分段，而 PCI DSS 在此要求的是主动测试，而非一次扫描。

开放银行与合作伙伴 API

跨第三方集成的令牌、授权同意与权限范围处理，在此一个范围设定有误的授权就可能过度暴露数据。

我们如何测试

我们如何测试金融科技系统

我们优先开展那些能找出真正伤害金融产品的缺陷的项目：经认证的多角色 API 测试、应用本身、CDE 周边的网络与分段，以及在您需要证明合规时的 PCI DSS 准备。

API 渗透测试

经身份认证的多角色测试，覆盖 REST 与 GraphQL 中的 BOLA、BFLA 与对象属性级授权问题，依据 OWASP API Top 10（2023）。

了解此项服务

Web 应用渗透测试

以人工测试为主，对照 OWASP WSTG 确定覆盖范围并依据 ASVS 验证，找出扫描器无法发现的业务逻辑与访问控制缺陷。

了解此项服务

网络渗透测试

依据 PTES 与 NIST SP 800-115 的外部、内部与分段测试。主动验证隔离效果，支持满足 PCI DSS Req 11.4。

了解此项服务

PCI DSS 准备与渗透测试

PCI DSS v4.0.1 准备：CDE 范围界定、差距评估，以及 Req 11.4 渗透与隔离测试。我们提供准备与测试，而非 QSA 鉴证。

了解此项服务

标准与法规

立足于金融科技须遵循的各项标准

OWASP API Top 10（2023）PCI DSS v4.0.1PCI DSS Req 11.4OWASP WSTG v4.2OWASP ASVS 5.0CVSS 3.1

应用与 API 测试对照 OWASP WSTG v4.2、OWASP API Security Top 10（2023）与 OWASP ASVS 5.0；网络与分段测试帮助您履行 PCI DSS v4.0.1 Requirement 11.4 的合规义务。我们提供准备与测试，但我们不是 QSA，也不出具合规报告。发现以 CVSS 3.1 评分。

为何选择 Vexaro

金融科技项目中您可以期待什么

Vexaro 既测试软件与基础设施，也亲手构建它们。正是这种来自内部的视角，让我们的报告优先关注业务风险，而非扫描器噪音。我们不公开任何客户名称。

您可以期待什么

以人工为主、覆盖多角色的支付流程与 API 测试
以人工为主的测试，能找出资金流转与授权逻辑缺陷
PCI DSS 准备，以及它所依赖的 Requirement 11.4 测试
优先关注业务风险的报告，并在 SoW 约定的时间窗口内对修复进行免费复测
任何访问前先签 NDA；证据加密保存，之后删除或返还

守护您的金融科技产品.

向我们介绍您的支付流程、API 与合规目标。我们将界定合适的项目、与您共同商定规则，并在 NDA 下交付报告。首次咨询免费。