Trả lời câu hỏi

• Tại sao chúng ta phải dùng BurpSuite để thực hiện pentest web

• Khi chúng ta đánh giá Ứng dụng Web, có nghĩa là chúng ta đánh giá những gì?

• Chu trình xử lý của trình duyệt từ khi nhập địa chỉ website trên thanh URL tới khi render toàn bộ nội dung website

Trả lời

Câu 1

• Nó kiểm soát hoàn toàn luồng HTTP/s, cho phép quan sát, chỉnh sửa Request/Response Header của từng request 1 cách dễ dàng nhất

• Tích hợp nhiều extension đơn giản hóa quá trình exploit lỗ hổng

• Có chức năng scan các endpoint của 1 host

⇒ Là 1 công cụ mạnh mẽ cho Pentest Web.

Câu 2

Thành phần	Mục tiêu đánh giá	Ví dụ kiểm tra
Giao thức & cấu hình mạng	Đảm bảo truyền thông an toàn và đúng tiêu chuẩn	HTTPS bắt buộc, cấu hình TLS, HTTP header bảo mật (HSTS, X-Frame-Options)
Xác thực & quản lý phiên	Ngăn chiếm đoạt, suy đoán, rò rỉ phiên	Brute-force login, cookie flags, session fixation, token entropy
Quyền hạn & kiểm soát truy cập	Ngăn truy cập trái phép vào chức năng/tài nguyên	IDOR, vertical/horizontal privilege escalation
Xử lý dữ liệu đầu vào	Ngăn chèn mã, phá vỡ truy vấn hay cú pháp	SQL/NoSQL injection, OS command injection, XSS (stored, reflected, DOM)
Chức năng nghiệp vụ	Phát hiện lỗ hổng logic gây thiệt hại kinh doanh	Bypass bước thanh toán, tăng số lượng đơn hàng, đổi giá
API & dịch vụ phụ trợ	Bảo vệ endpoint và dữ liệu truyền/nhận	Rate-limit, CORS, GraphQL introspection, insecure direct datalink
Quản lý tệp & tải lên	Ngăn thực thi/tải về nội dung độc hại	File upload restriction, MIME sniffing, path traversal
Mã hóa & lưu trữ dữ liệu nhạy cảm	Giữ bí mật dữ liệu người dùng và khóa	Hash mật khẩu, encryption at rest, key management
Thiết lập & thông tin công khai	Tránh rò rỉ version, key, debug info	.git, backup files, verbose error, banner “X-Powered-By”
Hiệu năng & khả năng chống từ chối dịch vụ	Ứng dụng vững trước tấn công lưu lượng cao	Rate-limit, input size limit, resource exhaustion

Câu 3