網站／API 安全測試
網站／API 安全測試
適合推出或更新前的自訂客戶平台。
HK$7,800 起
1 個應用 · 最多 2 個流程／2 種角色／6 個 API 端點
所有上限同時適用。
- 報告及開發人員修補建議
- 結果講解：最多 30 分鐘
- 原有發現複測一次，報告後： 30 日內 / 2 小時上限
不包括修改程式碼、阻斷服務測試（DoS）及合規認證。
檢查約定的客戶登入、權限、資料存取及輸入處理功能。
固定報價按約定範圍、複雜程度及存取安排釐定。
香港中小企網站及 API 安全測試
為香港中小企，找出網站與 API 的安全弱點。
適合有會員登入、網上預約或客戶紀錄的企業網站。
我們按約定範圍檢查網站及 API 功能，例如客戶能否查看他人的資料，或執行超出權限的操作。你會收到清楚的測試結果、已確認問題的證據，以及供開發人員跟進的實用修補建議。
HK$7,800 起；測試前確認範圍及固定報價。
關於 Handoff Security 團隊
如何進行評估
先以書面約定目標及檢查項目，再核實重要結果，並區分已確認與未能驗證的項目。報告列明證據、影響、修補建議及測試限制。應用程式檢查參考 OWASP 指引，但這項指定範圍服務不涵蓋所有項目，亦不能代替全面滲透測試。
直接與負責評估的測試人員溝通。
Handoff Security · info@handoffsecurity.com
- CREST Registered Penetration Tester（CRT）
- 曾於 Hack The Box 全球排行榜排名第 3
- HTB MVP：2024、2025
- PrimeRank 團隊 — 2026 年 HTB Global Cyber Skills Benchmark 冠軍
- 於 HackerOne 及 Bugcrowd 參與漏洞獎賞研究，曾發現獲計劃確認的高風險漏洞。
服務與價格
不確定選哪項？先介紹網站，我們會商討是否適合。
對外系統漏洞評估
適合對外開放的系統。
HK$4,800 起
1 個約定並獲授權的對外目標
自動掃描，重要結果經核實。
- 報告及開發人員修補建議
- 結果講解：最多 20 分鐘
- 原有發現複測一次，報告後： 30 日內 / 1 小時上限
不包括登入後全面測試及業務邏輯測試。
掃描對外服務的常見漏洞，再由測試人員核實重要結果。
固定報價按約定範圍、複雜程度及存取安排釐定。
單項問題驗證
適合已知問題或修補驗證。
HK$1,200 起
1 個指定問題 · 最多 1 小時實際驗證
須有現有報告或可重現資料、書面授權及可用測試權限。交付簡短驗證紀錄及限制；無法重現不代表已證明修復。環境調查或額外工作須重新報價，評估已包含的複測不會重複收費。
不包括新一輪全面評估或重新發出合規結論。
驗證一個已提出的問題能否重現，或檢查約定的修補結果。
固定報價按約定範圍、複雜程度及存取安排釐定。
- 流程是一連串操作，例如完成一次預約；角色是使用者類別，例如客戶或管理員。報價前會由我們與你及網站負責人確認。
- API 是讓網站與其他系統交換資料或執行操作的介面。實際端點由我們與網站負責人確認；一個端點不等於一項網站功能。
- 起價只適用於有限範圍，確認範圍後提供固定報價。費用涵蓋約定工作及交付，不按發現數量計酬，亦不保證發現漏洞或完全安全。
- 測試開始前須全數付款（100%）並取得書面測試授權。付款前，固定報價會列明範圍、交付內容、不包括項目、費用、測試日期及預計交付時間。
甚麼時候考慮測試
推出客戶平台
開放帳戶或網上預約前，檢查客戶存取權限。
更改使用權限
新增角色或功能時，檢查指定流程。
擔心資料外洩
檢查誰能查看或更改客戶資料。
是否適合取決於網站、託管及授權安排，第三方平台不會自動納入範圍。
你會收到甚麼
給負責人的摘要，以及供開發人員跟進的證據及修補建議。評估包括結果講解及一次有限度複測，詳見各項服務。
預約網站例子：客戶看到別人的預約
這個虛構網站未有核對預約擁有人，已登入客戶因此可查看另一位客戶的預約。
- 有甚麼影響
- 私人預約資料可能外洩。
- 需要處理甚麼
- 推出此功能前，應優先檢查查看權限。
- 由誰跟進
- 負責人訂定優先次序，開發人員按 Handoff 的證據及建議修補存取檢查。
開發人員技術詳情
01 / 範圍及覆蓋
例子的範圍：一個虛構預約應用程式；兩個流程（查看及修改預約）、兩種角色（客戶、管理員）及兩個端點（GET /bookings/{id}、PATCH /bookings/{id}）。使用兩個合成客戶帳戶及一個管理員帳戶。覆蓋紀錄亦包括未確認問題的檢查；結論不涵蓋未測部分。
02 / DEMO-01 · 未檢查預約擁有權
受影響功能：透過 GET /bookings/{id} 查看預約。此例的優先程度：高，因一般客戶帳戶毋須另一位客戶同意便可讀取其私人預約。實際嚴重程度須按已驗證的存取及外露資料判斷。
03 / 合成重現步驟及證據
- 以合成客戶 A 登入，確認 DEMO-A 屬於 A，DEMO-B 屬於合成客戶 B。
- 使用 A 的同一登入狀態，先請求 GET /bookings/DEMO-A，再請求 GET /bookings/DEMO-B。
- 例子中的結果：兩次均回傳 200；第二次包含 {"id":"DEMO-B","owner":"customer-B","service":"Demo appointment"}。預期應拒絕存取，不回傳預約資料。
04 / 業務影響
例子中可讀取另一位客戶的預約內容。如包括姓名或聯絡資料，影響會更大；本合成證據未包含這些欄位，亦不推斷所有紀錄均可存取。
05 / 開發人員修補建議
每次讀取及修改預約時，伺服器須按已登入身分、紀錄擁有者及明確授權的角色判斷權限；未獲授權時先拒絕存取，才處理資料回傳。單靠難以猜測的紀錄編號並不足夠。加入自己紀錄、其他客戶及管理員存取的回歸檢查，由你的開發人員修改程式。
06 / 複測紀錄示例
DEMO-01 · 假設開發人員修補後的複測例子：A 請求 DEMO-B 時回傳 403，沒有預約資料；A 仍可讀取 DEMO-A。狀態：原有重現方式在已測條件下被阻止。這並非新一輪評估，亦不證明所有權限問題已修好。
07 / 限制及沒有確認漏洞的報告
本例子並非完整評估。未測端點、第三方平台、阻斷服務及源碼審計不包括在內。真實報告即使沒有確認漏洞，仍會記錄約定範圍、檢查、結果及限制；沒有確認漏洞不代表系統完全安全。
合作流程
- 01
查詢及確認範圍
說明網站用途及關注事項，一起確認是否適合及需要檢查的功能。
- 02
報價及安排測試
先確認固定報價所列的範圍、交付內容、不包括項目、費用及測試與交付日期，再提供書面授權、全數付款（100%）及安排所需測試權限，才開始測試。
- 03
安全檢查及報告
按約定日期進行測試，記錄檢查項目、已確認結果及限制，再交付報告；單項問題驗證提供簡短驗證紀錄。
- 04
協助開發人員理解及複測
由你的開發人員修正程式。我們提供可跟進的資料，並按評估服務約定的限制複測；額外工作另議。
程式修改由你的開發人員處理，開發工作及費用另行安排。
常見問題
不知道網站是怎樣建成的，可以查詢嗎？
介紹網站用途即可，技術資料可稍後與維護人員確認。請勿傳送密碼。 完整範圍及條款
沒有開發人員怎麼辦？誰負責修補？
委託測試前，先商討發現問題後如何跟進。服務不包括程式修改及持續維護。 完整範圍及條款
需要準備甚麼？
須安排書面授權、全數付款及所需測試權限。優先使用測試環境、獨立測試帳戶及虛構資料。 完整範圍及條款
可以測試正在使用的網站嗎？
優先使用測試環境。正式網站須事先約定範圍、授權及安排，不包括阻斷服務測試。 完整範圍及條款
何時確認測試及交付日期？
測試及交付日期按範圍和可用時間商定，並列於報價。 完整範圍及條款
複測包括甚麼？
修補後按服務期限及時數上限，複測原有發現一次。並非新一輪評估，額外工作另議。 完整範圍及條款
先從你的網站談起。
說明網站用途及你關注的問題，即可在此提交查詢，亦可直接電郵聯絡。
初步查詢毋須技術知識。
電郵聯絡 Handoff Securityinfo@handoffsecurity.com
想用電郵？可使用以上地址。
請勿提供密碼、Token、客戶資料、私人連結或敏感截圖。