Web 與 API 滲透測試
聚焦身分驗證、存取控制、資料流與業務邏輯，找出系統邊界是否與原先設計一致。
網站 / 後台 / API02 / SECURITYSORAING / TAIWAN
找出風險，
也走到修補那一步。
以攻擊者視角檢視應用與流程，在明確授權下驗證安全邊界。提供能理解、可重現、可安排優先順序的發現。
ASSESSMENT服務範圍
從實際攻擊面，
找到該驗證的問題。
依系統現況、業務風險與授權條件，
共同決定測試深度與標的。
情境式紅隊演練
以雙方同意的業務情境與目標，驗證防護、偵測與應變流程。演練手法與限制事先約定。
目標導向 / 授權範圍 / 演練規則應用與整合安全評估
檢視行動應用、第三方串接及 AI 工具流程中的信任邊界、權限與敏感資料處理。
應用程式 / 系統整合 / AI 流程RULES OF ENGAGEMENT測試流程
讓驗證有依據，
讓營運有邊界。
所有主動測試都以合法、明確的書面授權為前提。未納入範圍的系統或第三方服務，不會因為技術上可接觸就自動成為測試標的。
- 01
範圍與授權
確認資產、帳號角色、測試環境、時間窗、允許手法、停止條件與緊急聯絡人。
- 02
盤點與驗證
依約定方法檢查攻擊面，使用最小必要步驟與證據驗證風險，避免不必要的資料存取。
- 03
報告與說明
說明受影響範圍、風險、重現條件與修補方向，協助技術與業務團隊理解優先順序。
- 04
修補後複測
依約定範圍驗證改善結果，記錄已修補、仍待處理或需要進一步確認的項目。
PUBLIC RECORD公開研究經歷
研究能力，
用公開紀錄說話。
團隊成員以 Longwei Wang、Lucas Futures、gn00295120 與 lucasfutures 等署名參與漏洞研究與協調揭露。
從 CVE 公告到上游安全修補，相關紀錄集中整理於 Lucas Futures 的公開研究頁，方便逐筆查證。
01 / RESEARCH INDEX
CVE 與上游修補紀錄
依來源公告與公開合併紀錄查證。
另開分頁02 / RESEARCHER PROFILEHackerOne · lucasfutures
研究者公開個人檔案。
另開分頁公開研究不代表相關廠商是翔馳的客戶或合作夥伴；未公開案件與敏感細節不在網站揭露。
節選公開紀錄
SOURCE-CHECKED / 2026.10.08CVE / 公開揭露CVE-2026-34450查閱原始紀錄（另開分頁）CVE / 公開揭露CVE-2026-39821查閱原始紀錄（另開分頁）CVE / 公開揭露CVE-2026-73851查閱原始紀錄（另開分頁）PATCH / 已合併google/draco #1203查閱原始紀錄（另開分頁）
Anthropic · Python SDK
本機記憶工具的預設檔案權限
公開署名：lucasfutures / gn00295120Go · x/net/idna
網域名稱轉換與權限判斷邊界
公開署名：Longwei Wang / gn00295120（共同致謝）Microsoft · Kiota
外掛資訊清單的路徑驗證
公開署名：gn00295120 / FinderGoogle · Draco
STL 解碼器的緩衝區邊界檢查
公開署名：gn00295120 / PR author此處為節選，並非 CVE 總數。廠商名稱只用於識別公開研究來源，不代表商業合作、客戶關係或官方背書。
開始前，請先準備
想評估的系統類型、你與標的的權利關係、測試環境與預期時間。初次聯繫請勿寄送密碼、API 金鑰、客戶個資或未經遮蔽的敏感資料。
MAKE THE NEXT MOVE開始一個合作
把風險變成可以處理的事情。
先說明你的系統與想確認的問題，我們再一起定義合適的測試範圍。