檢查指定網站功能
指定範圍 Web／API 手動安全測試
以手動測試檢查約定的登入、權限及資料存取功能，取得有記錄的發現及可交給開發人員的修補建議。
HK$7,800 起
1 個應用 · 最多 2 個流程／2 種角色／6 個 API endpoints
- 報告及開發人員修補建議
- 線上結果講解 · 30 分鐘
- 一次原報告問題複測 · 30 日 / 2 小時上限
不包括修改程式碼、阻斷服務測試（DoS）及合規認證。
約定測試範圍重要結果人工核實記錄清楚的發現直接與測試者溝通
不同網站，各有合適起點。
公司介紹網站
了解網站的對外入口是否適合有限範圍的評估。
客戶使用網上功能
討論指定的登入、預約、私人紀錄或 API 功能。
需要核實安全問題
驗證一項已報告的問題，或檢查開發人員的修補。
是否適合取決於網站、託管及授權安排，第三方平台不會自動納入範圍。
服務與價格
不必先選擇技術服務。先介紹網站用途，我們會了解是否適合、約定範圍，再提供固定報價。
檢查網站的對外入口
對外系統漏洞評估
自動化掃描檢查一個約定的對外主機或網站入口，找出常見問題，再由我們人工核實重要結果；不包括登入後所有功能。
HK$4,800 起
1 個獲授權對外入口
- 報告及開發人員修補建議
- 線上結果講解 · 20 分鐘
- 一次原報告問題複測 · 30 日 / 1 小時上限
不包括登入後全面測試及業務邏輯測試。
核實問題或檢查修補
單項漏洞驗證／獨立修補複測
按已有報告或重現資料，檢查一項指定問題。未能重現問題，不代表已證明修復。
HK$1,200 起
1 個指定問題 · 最多 1 小時
不包括新一輪全面測試。
費用按約定工作與交付計算，不按漏洞數量計酬，不保證找到漏洞或系統完全安全。所有測試須事前書面授權。
從安全疑問，到實際跟進。
一項發現應說明問題、影響及修補方向。以下虛構例子示範這種交付結構。
我們負責測試及建議，程式修改由你的開發人員處理。
- 記錄發現、重現證據及風險判斷原因。
- 修補建議，協助開發人員跟進。
- 指定範圍手動測試包括最多 30 分鐘講解，以及 30 日內一次最多 2 小時的複測。
此處交付內容適用於指定範圍 Web／API 手動安全測試，其他服務按各自範圍提供。
示意／存取控制
一位客戶能否讀取另一位客戶的預約？
在這個虛構情境中，更改預約編號可能會顯示另一位客戶的預約資料。
可能影響
若真實應用存在這種問題，資料可能會被沒有權限的使用者讀取。
開發人員的跟進起點
伺服器應針對每次預約存取，檢查登入使用者是否有權讀取。只隱藏按鈕不能限制存取。
查看示意重現步驟
使用虛構資料的示意例子，並非客戶案例或已完成的評估。
- 在自有測試環境建立兩個虛構客戶帳戶及各自的預約。
- 以客戶 A 的身分，請求客戶 B 的預約編號。
- 示意的失敗情況是回傳 B 的資料，而非拒絕存取。
- 修補後重新檢查允許及拒絕存取的情況；此例子不含實際測試結果。
使用虛構資料的示意例子，並非客戶案例或已完成的評估。
Handoff Security 背後的專業。
從確認測試範圍到交付報告，你都能直接與負責評估的測試人員溝通。我們以清楚的發現及具體修補建議，協助你和開發人員掌握跟進方向。
測試人員資歷
- CREST Registered Penetration Tester (CRT)
- Previously ranked #3 on the Hack The Box global leaderboard
- HTB MVP · 2024, 2025
- Team PrimeRank — winner of the 2026 HTB Global Cyber Skills Benchmark
合作流程
- 01
範圍討論
介紹網站用途及疑慮。
- 02
報價與書面授權
約定範圍、固定報價、日期及書面授權。
- 03
測試
安排測試帳戶及存取，優先使用測試資料。
- 04
報告及講解
取得約定報告或紀錄；評估服務包括有時限的講解。
- 05
約定複測
開發人員修補後，在已包括的限制內重查原有問題。
常見問題
如何知道是否適合測試？
先介紹網站及你的疑慮。簡單的資訊網站可能只需較小範圍評估，亦可能不適合這些服務；客戶帳戶及網上交易涉及不同檢查。報價前會先討論是否適合及測試範圍。
不知道網站是怎樣建成的，可以查詢嗎？
可以。介紹訪客可以做甚麼，以及有沒有人維護網站便可。技術資料及所需存取可稍後與相關人員確認；初步查詢請勿傳送密碼。
你們會替我修好網站嗎？
我們負責測試、解釋結果及提供修補建議，由你的開發人員修改程式。不包括修改程式或持續維護；如沒有開發人員，委託測試前應先討論如何跟進結果。
如何報價？
先介紹網站或應用的用途、約略規模，以及希望檢查的部分。我們了解技術、測試範圍、複雜程度和時間安排後，會提供固定報價。網站上的起價只適用於各項服務列明的範圍。開始及交付日期會按測試範圍和時間安排商定。測試前須確認報價、取得書面授權，並備妥所需的測試帳戶或存取安排。
可以測試正在使用的網站嗎？
一般優先使用獨立的測試環境。如需測試正在使用的網站，須先確認授權、可測試的部分及相關安排。不進行阻斷服務測試，即以大量請求或其他方式令服務無法正常運作的測試。
保證找到漏洞嗎？
不保證。測試費用按雙方約定的工作和交付內容計算，不按發現漏洞的數量收費。完成測試亦不代表網站已完全安全。
先從你的網站談起。
介紹網站用途及你擔心的事情。我們會了解是否適合、討論工作內容，再提供固定報價。日期及書面授權另行確認。
初步查詢請勿傳送密碼、存取憑證（Token）、客戶個人資料或敏感截圖。