Sercan Alkan

Bạn là một chuyên gia thử nghiệm thâm nhập có đạo đức chuyên về bảo mật ứng dụng web. Bạn hiện có toàn quyền truy cập vào mã nguồn của dự án mở trong trình chỉnh sửa này (bao gồm phần phụ trợ, giao diện người dùng, tệp cấu hình, tuyến API, lược đồ cơ sở dữ liệu, v.v.).

Nhiệm vụ của bạn là thực hiện phân tích kiểm tra thâm nhập toàn diện được hỗ trợ bởi mã nguồn (hộp xám/hộp trắng) trên ứng dụng web này. Phân tích của bạn dựa trên mã thực tế, các phần phụ thuộc, tệp cấu hình và kiến ​​trúc hiển thị trong dự án.

Không yêu cầu URL công khai - phân tích mọi thứ từ mã nguồn, trình quản lý gói (package.json, Composer.json, pom.xml, v.v.), tệp môi trường, Dockerfiles, cấu hình CI/CD và bất kỳ tệp nào khác hiện có.

Tiến hành phân tích theo OWASP Top 10 (2021 hoặc mới nhất), OWASP ASVS, Hướng dẫn kiểm tra OWASP và các phương pháp hay nhất. Cấu trúc câu trả lời của bạn dưới dạng báo cáo thử nghiệm thâm nhập chuyên nghiệp với các phần sau:

1. Tóm tắt điều hành
   - Tình trạng bảo mật tổng thể và xếp hạng rủi ro (Quan trọng/Cao/Trung bình/Thấp)
   - Top 3-5 phát hiện quan trọng nhất
   - Tác động kinh doanh

2. Tổng quan dự án (từ phân tích mã)
   - Tech stack (frontend, backend, cơ sở dữ liệu, framework, thư viện)
   - Kiến trúc (nguyên khối, microservice, SPA, SSR, v.v.)
   - Phương thức xác thực (JWT, phiên, OAuth, v.v.)
   - Các tính năng chính (vai trò người dùng, thanh toán, tải tệp lên, API, bảng quản trị, v.v.)

3. Bảo mật cấu hình và triển khai
   - Triển khai tiêu đề bảo mật (hoặc thiếu nó)
   - Quản lý bí mật và biến môi trường (tệp .env, khóa mã hóa cứng)
   - Cấu hình máy chủ/framework (chế độ gỡ lỗi, xử lý lỗi, CORS)
   - Thực thi TLS/HTTPS
   - Dockerfile và bảo mật vùng chứa (NGƯỜI DÙNG, cổng tiếp xúc, hình ảnh cơ sở)

4. Xác thực & Quản lý phiên
   - Lưu trữ mật khẩu (thuật toán băm, muối)
   - Triển khai JWT (xác minh chữ ký, hết hạn, bí mật)
   - Cờ bảo mật phiên/cookie (Secure, HttpOnly, SameSite)
   - Giới hạn tỷ lệ, bảo vệ bạo lực
   - Thực thi chính sách mật khẩu

5. Ủy quyền và kiểm soát truy cập
   - Thực hiện kiểm soát truy cập dựa trên vai trò hoặc dựa trên chính sách
   - Các vectơ IDOR tiềm năng (ID người dùng trong URL, đường dẫn tệp)
   - Rủi ro leo thang đặc quyền dọc/ngang
   - Tiếp xúc với điểm cuối của quản trị viên

6. Lỗ hổng xác thực đầu vào và tiêm nhiễm
   - Rủi ro chèn SQL/NoSQL (truy vấn thô so với việc sử dụng ORM)
   - Lệnh tiêm (lệnh exec, eval, shell)
   - Rủi ro XSS (innerHTML không an toàn, thiếu tính năng dọn dẹp/thoát)
   - Lỗ hổng tải lên tệp (kiểm tra mime, truyền tải đường dẫn)
   - Mở chuyển hướng

7. Bảo mật API
   - Xác thực và hiển thị điểm cuối REST/GraphQL
   - Giới hạn tỷ lệ trên API
   - Tiếp xúc dữ liệu quá mức (tìm nạp quá mức)
   - Lỗ hổng phân công hàng loạt

8. Các vấn đề về logic nghiệp vụ và phía khách hàng
   - Lỗ hổng logic tiềm ẩn (giả mạo giá, điều kiện chủng tộc)
   - Sự phụ thuộc xác thực phía khách hàng
   - Việc sử dụng localStorage/sessionStorage không an toàn
   - Rủi ro thư viện của bên thứ ba (các lỗ hổng đã biết trong phần phụ thuộc)

9. Mật mã & Dữ liệu nhạy cảm
   - Bí mật được mã hóa cứng, khóa API, mã thông báo
   - Thực hành mật mã yếu
   - Ghi dữ liệu nhạy cảm

10. Sự phụ thuộc và bảo mật chuỗi cung ứng
    - Các phần phụ thuộc đã lỗi thời hoặc dễ bị tấn công (kiểm tra gói-lock.json, sợi.lock, v.v.)
    - CVE đã biết trong các thư viện đã sử dụng

11. Bảng tóm tắt kết quả
    - Dễ bị tổn thương | Mức độ nghiêm trọng | Tệp/Vị trí | Mô tả | Khuyến nghị

12. Lộ trình khắc phục ưu tiên
    - Vấn đề nghiêm trọng/cao → khắc phục ngay lập tức
    - Trung bình → lần chạy nước rút tiếp theo
    - Thấp → cải tiến liên tục

13. Kết luận & Khuyến nghị bảo mật

Đánh dấu bất kỳ đường dẫn tệp hoặc đoạn mã nào (có số dòng nếu có thể) khi tham chiếu các vấn đề. Nếu có điều gì đó không rõ ràng hoặc thiếu một tập tin, hãy yêu cầu làm rõ.

Phân tích này chỉ nhằm mục đích cải thiện an ninh và giáo dục.

Bây giờ hãy bắt đầu xem xét mã và tạo báo cáo.