Nós testamos o nosso próprio site
Pontuação atual da autoavaliação executada pelo mesmo motor que analisa o seu domínio.
Executando autoavaliação…
$ thpwn modules --list
Módulos do motor de varredura
Cada módulo executa uma bateria de verificações independentes e devolve achados normalizados com severidade, evidência bruta e mapeamento de conformidade.
$ thpwn surface --domain target.com --ct-logs
Superfície de ataque
- ›Resolução A / AAAA / NS / MX / TXT
- ›Enumeração de subdomínios via Certificate Transparency (crt.sh)
- ›SPF, DMARC e CAA — anti-spoofing e emissão de certificados
- ›Detecção de registros órfãos (risco de subdomain takeover)
→ inventário de ativos + hosts fora do radar
$ openssl s_client -connect target.com:443 -servername target.com
Camada TLS
- ›Cadeia de certificação, emissor, SAN e data de expiração
- ›Protocolos aceitos (TLS 1.0/1.1 depreciados) e cipher suites
- ›Redirecionamento HTTP → HTTPS e presença de HSTS
- ›max-age, includeSubDomains e preload do HSTS
→ risco de interceptação e downgrade
$ thpwn web --owasp-top10 --headers --fuzz-paths
Aplicação web (OWASP)
- ›CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
- ›CORS permissivo (Access-Control-Allow-Origin: *) com credenciais
- ›Atributos de cookie: Secure, HttpOnly, SameSite
- ›Métodos HTTP perigosos (TRACE, PUT, DELETE), listagem de diretórios
- ›Painéis e arquivos expostos: /wp-login.php, .git, .env, backups
- ›Divulgação de tecnologia e versão via headers Server / X-Powered-By
→ achados mapeados para A01–A10
$ nmap -sV --top-ports 1000 target.com
Infraestrutura e CVEs
- ›Portas e serviços expostos na borda
- ›Fingerprint de banner e versão do serviço
- ›Correlação com base de CVEs conhecidas e score CVSS 3.1
- ›Identificação de provedor / WAF / CDN à frente da origem
→ CVEs aplicáveis e portas indevidas
$ thpwn compliance --map lgpd,gdpr,pci-dss,iso27001
Conformidade
- ›Mapeamento automático de cada achado para o controle correspondente
- ›LGPD Art. 46, GDPR Art. 32, PCI-DSS 4.0 req. 4 e 6, ISO 27001 A.8
- ›Cálculo de desvio agregado por norma
→ matriz de conformidade por norma
$ thpwn report --format pdf --lang pt
Relatório
- ›Sumário executivo com pontuação 0–100 e nível de risco
- ›Detalhe técnico por achado: evidência bruta, CWE, CVSS
- ›Passos de correção e comando de validação
- ›Gerado no idioma da sua sessão (PT / ES / EN)
→ PDF pronto para auditoria
$ thpwn coverage --owasp-top10
Cobertura OWASP Top 10 (2021)
Mapeamento direto entre o que o motor testa e a categoria de risco correspondente, com o CWE associado.
| ID | Categoria de risco | O que o motor testa | CWE |
|---|---|---|---|
| A01 | Quebra de Controle de Acesso | Painéis administrativos expostos, diretórios navegáveis, métodos HTTP inseguros | CWE-284 |
| A02 | Falhas Criptográficas | TLS depreciado, ausência de HSTS, cookies sem Secure, certificado a expirar | CWE-327 |
| A03 | Injeção | Refletidos em parâmetros, cabeçalhos de resposta e tratamento de erro | CWE-79 |
| A04 | Design Inseguro | Ausência de CSP, política de referrer permissiva, superfície além do necessário | CWE-1173 |
| A05 | Configuração Incorreta | Headers ausentes, CORS com wildcard, listagem de diretórios, TRACE ativo | CWE-16 |
| A06 | Componentes Vulneráveis | Fingerprint de versão e correlação com CVEs conhecidas | CWE-1104 |
| A07 | Falhas de Identificação | Endpoints de login expostos, cookies de sessão sem HttpOnly/SameSite | CWE-287 |
| A08 | Integridade de Software e Dados | Scripts de terceiros sem SRI, CSP sem restrição de origem | CWE-494 |
| A09 | Falhas de Log e Monitoramento | Ausência de security.txt e canal de reporte de vulnerabilidades | CWE-778 |
| A10 | SSRF | Endpoints que aceitam URL de terceiros e proxies abertos na borda | CWE-918 |
$ cat methodology.md
Metodologia e ética
Varredura não intrusiva, baseada em PTES e OWASP WSTG. Nenhuma exploração destrutiva, nenhuma alteração de estado no alvo.
- 01Reconhecimento passivo — DNS, Certificate Transparency, registros públicos.
- 02Enumeração ativa leve — requisições HTTP idempotentes, sem payload destrutivo.
- 03Análise e correlação — severidade CVSS 3.1, deduplicação e cálculo de score.
- 04Verificação de posse — TXT DNS obrigatório antes de qualquer varredura ativa.
- 05Entrega — relatório com evidência, remediação e comando de validação.
$ thpwn remediate --key tls.hsts-missing
Depois da análise: como corrigir
Cada achado vem com impacto explicado, passos ordenados, snippet de configuração pronto para nginx, Apache ou CDN e o comando exato para confirmar que a falha foi fechada.
Impacto real
Cada achado vem com impacto explicado, passos ordenados, snippet de configuração pronto para nginx, Apache ou CDN e o comando exato para confirmar que a falha foi fechada.
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always; add_header Content-Security-Policy "default-src 'self'; object-src 'none'; frame-ancestors 'none'" always; add_header X-Content-Type-Options "nosniff" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always;
Comando de validação
curl -sSI https://target.com | grep -iE "strict-transport-security|content-security-policy" echo | openssl s_client -connect target.com:443 -servername target.com 2>/dev/null \ | openssl x509 -noout -dates dig +short TXT _dmarc.target.com
Como Funciona em 3 Passos
1. Cadastre o domínio
Informe o site que deseja analisar em segundos.
2. Varredura Inteligente
Nossos scanners procuram vulnerabilidades conhecidas 24/7.
3. Baixe o Relatório
Receba um PDF com recomendações claras para agir.