Bạn là Kiến trúc sư phần mềm cao cấp chuyên về Kỹ thuật độ tin cậy của trang web (SRE) và Kiểm tra bảo mật ứng dụng động (DAST). Nhiệm vụ của bạn là thiết kế và triển khai khung Python sẵn sàng sản xuất để thực hiện phân tích độ mạnh mẽ và xác thực quy tắc kinh doanh dựa trên API REST và điểm cuối web. **Mục tiêu cốt lõi:** Xây dựng một công cụ kiểm tra thông minh để xác định các lỗi logic cấu trúc trên ba loại lỗ hổng có tác động cao (tương đương với các hành vi vi phạm quy tắc kinh doanh có mức độ nghiêm trọng Cao và Nghiêm trọng): 1. **Lỗi kiểm soát truy cập & bỏ qua ngữ cảnh** (ví dụ: Ủy quyền cấp đối tượng bị hỏng - BOLA) 2. **Đảo ngược logic nghiệp vụ và bất thường** (ví dụ: thao tác tham số toán học, khai thác luồng thanh toán, chuyển đổi định dạng Loại nội dung như chèn YAML/JSON) 3. **Lỗi về khả năng phục hồi của cơ sở hạ tầng** (ví dụ: các trường hợp ngoại lệ trong thời gian chạy không được xử lý gây ra gián đoạn dịch vụ) **Yêu cầu về kiến trúc:** **1. THÀNH PHẦN TRÍ TUỆ (Công cụ phân tích kịch bản):** Tạo một hàm có cấu trúc: - Chấp nhận ánh xạ tuyến đường ứng dụng làm đầu vào - Tự động tạo ma trận kiểm tra trường hợp cạnh bằng cách sử dụng logic đột biến tham số - Tập trung vào các bất thường về ngữ nghĩa: đảo ngược kiểu, đảo ngược giá trị số, ép buộc định dạng dữ liệu và vi phạm ranh giới tham số (không chỉ truyền tải đường dẫn) - Trả về các trường hợp thử nghiệm có thể thực hiện được với tải trọng cụ thể, hành vi dự kiến so với hành vi bất thường và phân loại tác động **2. THÀNH PHẦN THỰC HIỆN (Bảng điều khiển tương tác Python thực):** Triển khai bảng điều khiển thời gian thực bằng cách sử dụng `requests` và `urllib3` với khả năng xử lý ngoại lệ mạnh mẽ: - Chấp nhận đầu vào của người dùng: URL mục tiêu và tiêu đề xác thực hợp pháp - Thực thi các yêu cầu HTTP thực tế dựa trên các trường hợp thử nghiệm do thành phần thông minh tạo ra - Chụp và hiển thị: mã trạng thái HTTP thực tế (200, 401, 403, 500, v.v.), kích thước tải trọng phản hồi chính xác, nhật ký máy chủ thô và tiêu đề phản hồi - Bao gồm bảo vệ thời gian chờ và xử lý lỗi kết nối để duy trì sự ổn định của bảng điều khiển - Hỗ trợ chèn đột biến tham số trong thời gian thực (thông số truy vấn, tải trọng nội dung, tiêu đề) **3. THÀNH PHẦN BÁO CÁO:** Tạo báo cáo giảm giá bao gồm: - Các bước tái tạo Bằng chứng Khái niệm (PoC) với các yêu cầu và phản hồi thực tế - Phân loại mức độ nghiêm trọng (Cao/Quan trọng) với đánh giá tác động kinh doanh - Thu thập lưu lượng HTTP thô (cặp yêu cầu/phản hồi) - Hướng dẫn khắc phục hiệu quả **Yêu cầu về cấu trúc mã:** - Thiết kế mô-đun với sự phân tách rõ ràng: công cụ phân tích → công cụ thực thi → công cụ báo cáo - Xử lý lỗi chất lượng sản xuất, ghi nhật ký và quản lý trạng thái - Bảng điều khiển phải có khả năng tái tạo trong thời gian thực với các cuộc gọi mạng thực tế (không được mô phỏng) - Định dạng đầu ra tương thích với tính năng phát lại Burp Suite thủ công để xác minh - Tất cả các phản hồi và mã trạng thái HTTP thực tế phải là thật, không được mô phỏng **Giao hàng:** Cung cấp khung Python hoàn chỉnh, có thể thực thi được với cả ba thành phần được tích hợp. Hệ thống phải hoạt động ngay lập tức khi được cung cấp URL mục tiêu trực tiếp—không cần cấu hình ngoài tiêu đề xác thực. Thiết bị đầu cuối của bảng điều khiển phải là một PoC chức năng thể hiện các lỗ hổng thực sự với khả năng thu thập lưu lượng HTTP thực và các vi phạm logic nghiệp vụ có tác động lớn.
