تست نفوذ، شبیه‌سازی کنترل‌شده‌ی یک حمله‌ی واقعی به سیستم شماست — با مجوز و در چارچوبی مشخص — تا آسیب‌پذیری‌ها پیش از آنکه مهاجم پیدایشان کند، شناسایی و رفع شوند.
در تست نفوذ — که پن‌تست یا آزمون نفوذپذیری هم نامیده میشود — متخصصان ارزیابی امنیتی (هکرهای کلاه‌سفید) با مجوز شما سیستم یا شبکه‌تان را به‌طور کامل بررسی می‌کنند تا نقاط ضعف امنیتی را پیدا کنند و همان مسیرهایی را بیازمایند که یک مهاجم واقعی ممکن است برای نفوذ استفاده کند. در پایان، گزارشی کامل از تمام آسیب‌پذیری‌های کشف‌شده دریافت میکنید تا با رفع آن‌ها، جلوی سوءاستفاده‌ی مهاجمان را بگیرید.
تفاوت تست نفوذ با اسکن خودکار دقیقاً همین‌جاست. اسکنر آسیبپذیری الگوهای شناخته‌شده را در پاسخ‌های سرور جست‌وجو میکند — سریع و ارزان — اما چیزی از منطق کسبوکار شما نمی‌داند. نمی‌فهمد کاربری با نقش «انباردار» نباید فاکتور مشتری دیگری را ببیند، یا اینکه تغییر یک شناسه در بدنه‌ی درخواست سفارش شخص دیگری را لغو میکند. این یافتهها — که در OWASP Top 10:2025 زیر کنترل دسترسی شکسته (Broken Access Control) و الگوی IDOR قرار می‌گیرند — تقریباً همیشه به آزمون دستی نیاز دارند. به همین دلیل خروجی یک تست نفوذ وب واقعی با خروجی یک اسکن خودکار قابل مقایسه نیست.
پوشش فنی آزمونهای ما بر پایهی OWASP Web Security Testing Guide نسخه‌ی v4.2 است؛ نسخه‌ی پایدار فعلی این راهنما که حدود ۹۷ مورد آزمون را در ۱۲ دسته مستند کرده است. طبقه‌بندی ریسک با OWASP Top 10:2025 و شناسه‌های CWE انجام میشود و شدت هر یافته با CVSS v4.0 امتیاز می‌گیرد — با ذکر صریح نسخه و بردار امتیاز، و در صورت نیاز امتیاز معادل CVSS v3.1 برای سازگاری با ابزار مدیریت آسیبپذیری شما. چرخه‌ی اجرای پروژه — از پیش‌قرارداد و قواعد تعامل تا گزارش‌دهی — بر اساس فازهای PTES و راهنمای NIST SP 800-115 ساخته شده است.
باور غلط رایج: «گواهینامه‌ی OWASP» یا «شرکت دارای گواهی PTES» وجود خارجی ندارد. OWASP بنیادی غیرانتفاعی است که استاندارد و راهنمای آزمون منتشر میکند و هیچ برنامه‌ی صدور گواهی برای شرکت‌های تست نفوذ ندارد؛ PTES هم از نسخه‌ی ۱.۰ فراتر نرفته و نه نهاد ناظر دارد نه فرایند اعتبارسنجی. آنچه قابل راستی‌آزمایی است، پیروی مستند از متدولوژی است: در گزارش ما هر یافته به شناسهی آزمون WSTG، دستهی OWASP Top 10 و شمارهی CWE ارجاع دارد تا خودتان پوشش کار را بسنجید، نه اینکه به یک لوگو اعتماد کنید.
این خدمت برای سامانه‌هایی معنا پیدا میکند که داده یا پول جابه‌جا می‌کنند: فروشگاه‌های اینترنتی، درگاه‌ها و پنل‌های پرداخت، سامانه‌های سازمانی با چند نقش کاربری، APIهای عمومی و هر اپلیکیشنی که اطلاعات هویتی کاربران را نگه می‌دارد. اگر مشمول الزامات PCI DSS هستید، نسخه‌ی v4.0.1 این استاندارد در بند ۱۱.۴ آزمون نفوذ لایه‌ی برنامه را دستکم سالی یکبار و پس از هر تغییر بااهمیت الزامی کرده است.
خروجی پروژه یک فایل PDF نیست که بایگانی شود. شما یک گزارش دوسطحی می‌گیرید — خلاصه‌ی مدیریتی و بخش فنی با گامهای بازتولید — به‌همراه شواهد، پیشنهاد رفع اولویت‌بندی‌شده، یک دوره تست مجدد رایگان و نامه‌ی تأییدیه‌ی انجام آزمون. چارچوب حقوقی، محدوده و بندهای محرمانگی هم پیش از شروع در قرارداد تست نفوذ مکتوب میشود.
شبیه‌سازی نمایشی یک ارزیابی واقعی — از شناسایی تا گزارش، گام‌به‌گام.
این نمایش آموزشی است و روی هیچ سامانه‌ی واقعی اجرا نمیشود. در پروژه‌ی واقعی بخش عمده‌ی زمان صرف تحلیل دستی و آزمون منطق کسبوکار میشود — کاری که هیچ ترمینال متحرکی نمایشش نمی‌دهد. شرح گام‌به‌گام را در فرایند تست نفوذ نوشته‌ایم.
بسته به دارایی هدف، تست نفوذ در حوزه‌های مختلفی انجام میشود.
تمرکز اصلی پی‌هانتر روی وب و API است. ارزیابی شبکه و موبایل را هم انجام می‌دهیم، اما صادقانه بگوییم: در اپلیکیشن موبایل یافتههای بحرانی معمولاً در API پشت اپ هستند — و آن API یک برنامه‌ی وب است.
اگر مطمئن نیستید کدام ارزیابی به کارتان می‌آید، مقایسه‌ی انواع تست نفوذ را ببینید؛ در بسیاری از پروژه‌ها ترکیب درست، یک تست وب کامل به‌علاوه‌ی ارزیابی محدود شبکه‌ی لبه است.
بررسی وب‌سایت‌ها و اپلیکیشن‌های تحت وب برای کشف آسیب‌پذیری‌هایی مانند SQL Injection، XSS و CSRF — با تمرکز بر همان چیزی که در عمل به نفوذ ختم میشود.
پوشش دستههای WSTG: احراز هویت و نشست، کنترل دسترسی، آپلود فایل، SSRF، شرایط رقابتی و منطق کسبوکار — بخشی که ابزار خودکار نمی‌بیند.
ثبت سفارش ←شناسایی نقاط ضعف زیرساخت — فایروال، روتر و سرور — از سرویس‌های در معرض اینترنت تا حرکت جانبی در شبکه‌ی داخلی؛ در پروژه‌های وب معمولاً بهصورت ارزیابی مکمل و محدود به لبه. جزئیات تست نفوذ شبکه
ثبت سفارش ←ارزیابی اپ اندروید و iOS: ذخیره‌سازی داده روی دستگاه، پیاده‌سازی TLS، اسرار جاسازی‌شده در بسته و تعامل با پلتفرم — و مهم‌تر از همه، آزمون کامل API پشت اپ. جزئیات تست نفوذ موبایل
ثبت سفارش ←ارزیابی REST و GraphQL: مجوزدهی در سطح شیء و ویژگی، احراز هویت توکنی و اعتبارسنجی JWT، محدودسازی نرخ و افشای دادهی اضافی در پاسخ‌ها.
دستهی API در WSTG v4.2 تنها یک آزمون (GraphQL) دارد؛ مرجع تکمیلی ما OWASP API Security Top 10 است. تست API چگونه انجام میشود؟
ثبت سفارش ←سبد خرید، کد تخفیف، مرحله‌ی بازگشت از درگاه و پنل مشتری — جایی که آسیبپذیری منطق کسبوکار مستقیماً به زیان مالی تبدیل میشود.
دستکاری قیمت و مقدار، استفاده‌ی تکراری از تخفیف و شرایط رقابتی در ثبت سفارش. امنیت فروشگاه اینترنتی
ثبت سفارش ←ممیزی افزونه‌ها و قالب، امن‌سازی پیشخوان و بررسی هر کد اختصاصی که روی سیستم مدیریت محتوا نوشته شده است.
برای سایت‌های وردپرسی معمولاً ارزیابی اختصاصی وردپرس نقطه‌ی شروع مقرون‌به‌صرفه‌تری است.
ثبت سفارش ←تست نفوذ برای شناسایی و تقویت امنیت انجام میشود؛ اما هکرِ مخرب به‌دنبال دسترسی غیرمجاز و تصاحب اطلاعات حساس است. تست نفوذ همان مهارت را در خدمت دفاع از شما به‌کار می‌گیرد و احتمال موفقیت حملات واقعی را به‌شدت کاهش میدهد.
تفاوت عملی، مجوز و مرز است. پیش از شروع، دامنه‌ها و بازه‌های IP مجاز، پنجرهی زمانی آزمون، حساب‌های تست و فهرست اقدامات ممنوع کتباً مشخص میشود. بهرهبرداری فقط تا حد اثبات تأثیر پیش میرود: نشان می‌دهیم دسترسی ممکن است، اما داده‌ای استخراج، حذف یا دستکاری نمیشود.
به همین دلیل هیچ درخواستی برای آزمون سامانه‌ای که مالک یا مدیر آن نیستید پذیرفته نمیشود. مجوز کتبی از مالک دارایی پیش‌شرط غیرقابل‌مذاکره‌ی شروع کار است؛ همان اصلی که در سیاست افشای مسئولانه هم رعایتش می‌کنیم.
تست نفوذ پروژه‌ای، زمان‌بندی‌شده و دارای اسکوپ مشخص است و خروجی آن گزارشی جامع است؛ اما باگ‌بانتی پیوسته و رقابتی است و بر پایهی پاداش بهازای هر یافته کار میکند. این دو مکمل یکدیگرند.
ترتیب درست معمولاً این است: اول تست نفوذ، بعد باگ‌بانتی. تست نفوذ پوشش سیستماتیک میدهد و تضمین میکند همه‌ی دستههای WSTG بررسی شدهاند؛ باگ‌بانتی چنین تضمینی ندارد، اما پوشش زمانی مداوم و تنوع دیدگاه میدهد که یک پروژه‌ی چندهفته‌ای نمی‌تواند.
پنج دلیل که چرا تست نفوذ یک سرمایه‌گذاری است، نه هزینه.
هزینه‌ی واقعی یک نفوذ فقط بازگرداندن سرویس نیست: زمان تیم فنی، توقف فروش، اطلاع‌رسانی به کاربران و آسیب اعتباری هم هست — و این‌ها معمولاً بسیار بیشتر از خود حادثه طول می‌کشند. مقایسه‌ی هزینه‌ی تست و حادثه را ببینید.
بیشتر حملات هدفمند نیستند: ربات‌ها شبانه‌روز کل وب را برای نسخه‌های وصله‌نشده و پیکربندی‌های باز اسکن می‌کنند. اندازه‌ی کسبوکار شما برایشان بی‌معناست.
رفع یک آسیبپذیری در مرحله‌ی توسعه چند ساعت کار است؛ همان مسئله پس از نفوذ، به پاکسازی، تحلیل حادثه و بازسازی اعتماد نیاز دارد.
یک نقص کنترل دسترسی می‌تواند کل جدول کاربران را در دسترس بگذارد؛ OWASP گزارش میکند در دادهی ۲۰۲۵ خود، همه‌ی اپلیکیشن‌های آزمون‌شده نوعی نقص کنترل دسترسی داشته‌اند.
آسیب‌پذیری‌های منطق کسبوکار — تخفیف تکرارشونده، دور زدن مرحله‌ی پرداخت، شرایط رقابتی در برداشت وجه — مستقیماً از صورت سود شما کم می‌کنند.
در مناقصه‌ها و قراردادهای سازمانی، ارائه‌ی گزارش و نامه‌ی تأییدیه‌ی یک ارزیابی مستقل به‌سرعت به یک پیش‌شرط تبدیل شده است.
هر یافته با گامهای بازتولید، شواهد، شناسهی WSTG، دستهی OWASP، شمارهی CWE و بردار CVSS می‌آید تا توسعه‌دهنده بدون جلسهی توضیحی هم بتواند رفعش کند.
بسته به میزان اطلاعات اولیه‌ای که در اختیار تیم تست قرار می‌گیرد.
در عمل، آنچه بیشترین اثر را بر عمق نتیجه دارد «جعبه» نیست؛ تعداد نقشهای کاربری‌ای است که در اختیار ما می‌گذارید. برای آزمون کنترل دسترسی، به ازای هر نقش دستکم دو حساب مجزا لازم است تا هم دسترسی افقی (کاربر الف به دادهی کاربر ب) و هم عمودی (کاربر عادی به عملیات مدیریتی) سنجیده شود. سامانه‌ای با نقشهای مهمان، کاربر، اپراتور و مدیر یعنی هشت حساب آزمایشی.
باور غلط رایج: «جعبه سیاه واقع‌گرایانه‌تر است، چون مهاجم هم چیزی نمی‌داند.» مهاجم واقعی محدودیت زمانی ندارد و می‌تواند ماه‌ها روی هدف کار کند؛ شما برای پروژه‌ای چندهفته‌ای هزینه میکنید. صرف کردن نیمی از آن زمان برای کشف چیزهایی که خودتان در پنج دقیقه می‌توانستید در اختیارمان بگذارید، بودجه را از یافتن آسیبپذیری به حدس زدن منتقل میکند.
بدون هیچ اطلاعات اولیه — دقیقاً مانند یک مهاجم خارجی واقعی. مناسب برای سنجش سطح حمله‌ی عمومی و ارزیابی اینکه یک مهاجم بی‌اطلاع تا کجا پیش میرود.
هزینه‌ی زمانیِ شناسایی بالاست و بخش احرازهویت‌شده‌ی برنامه کمتر پوشش می‌گیرد.
با مستندات پایه و حساب‌های واقعی بهازای هر نقش — متعادل‌ترین و رایج‌ترین روش، و پیشنهاد پیشفرض ما.
زمان صرف آزمون کنترل دسترسی، منطق کسبوکار و مسیرهای احرازهویت‌شده میشود؛ جایی که یافتههای با شدت بالا متمرکزند.
با دسترسی به کد، معماری و مستندات API — عمیق‌ترین سطح ارزیابی، همراه با بازبینی کد در نقاط حساس.
مناسب سامانه‌های پرداخت و هر جایی که یک نقص طراحی می‌تواند پرهزینه باشد؛ اینجا مدل‌سازی تهدید هم به پروژه اضافه میشود.
پاسخ پرسش‌های رایج درباره‌ی محدوده، فرایند، محرمانگی، خروجی و هزینه‌ی تست نفوذ وب.
سوال دیگری دارید؟نوع سرویس و هدف‌تان را انتخاب کنید؛ پس از یک جلسهی نیازسنجی رایگان، اسکوپ و استعلام قیمت دقیق برایتان ارسال میشود. بدون تعهد اولیه.
چرخه‌ی پروژه از اولین تماس تا نامه‌ی تأییدیه هشت گام دارد؛ هیچ آزمونی پیش از تکمیل گامهای ۳ و ۴ شروع نمیشود.
یک جلسهی نیازسنجی رایگان، اسکوپ و قیمت را روشن میکند و مسیر تست را مشخص می‌سازد. اگر هنوز در مرحله‌ی تصمیم‌گیری هستید، مشاوره بگیرید یا با چکلیست امنیتی وضعیت فعلی‌تان را بسنجید.