Chương 20: Security Testing & Ethical Hacking

// KHI TÍCH HỢP SAST (SpotBugs / Semgrep):
// Máy quét lập tức báo đỏ (BUILD FAILED):
// [CRITICAL] SECSQLI: Non-constant string passed to executeQuery at UserService.java:42
// Bắt buộc sửa thành:
public List search(String name) {
    return em.createQuery("SELECT u FROM User u WHERE u.name = :name", User.class)
             .setParameter("name", name)
             .getResultList();
}

# TÍCH HỢP OWASP ZAP TRONG GITHUB ACTIONS (DAST SCANNER)
- name: ZAP Full Scan
  uses: zaproxy/action-full-scan@v0.10.0
  with:
    token: ${{ secrets.GITHUB_TOKEN }}
    docker_name: 'ghcr.io/zaproxy/zaproxy:stable'
    target: 'https://staging.mycompany.com'
    rules_file_name: '.zap/rules.tsv'

// CẤU HÌNH MAVEN ENFORCER CHẶN TRANSITIVE VULNERABILITIES

    org.apache.maven.plugins
    maven-enforcer-plugin
    
        
            enforce-banned-dependencies
            enforce
            
                
                    
                        
                            commons-collections:commons-collections:[3.0,3.2.1]
                            log4j:log4j
                        
                    
                
            
        
    

// KIỂM THỬ FUZZING VỚI JAZZER (JAVA FUZZING FRAMEWORK):
public class XmlParserFuzzTest {
    public static void fuzzerTestOneInput(FuzzedDataProvider data) {
        byte[] inputBytes = data.consumeRemainingAsBytes();
        try {
            SafeXmlParser.parse(new ByteArrayInputStream(inputBytes));
        } catch (IllegalArgumentException | ParseException expected) {
            // Lỗi nghiệp vụ bình thường được phép bắt
        }
        // Nếu phát sinh OutOfMemoryError hay NullPointerException -> Jazzer sẽ báo lỗi Bug!
    }
}

# QUY TRÌNH PENTEST CHUẨN QUỐC TẾ (PTES STANDARD):
1. Pre-engagement Interactions: Ký hợp đồng RoE (Rules of Engagement) và cam kết NDA
2. Intelligence Gathering: Thu thập thông tin OSINT
3. Threat Modeling & Vulnerability Analysis: Phân tích bề mặt tấn công
4. Exploitation: Khai thác có kiểm soát (Proof-of-Concept)
5. Reporting: Báo cáo kỹ thuật chi tiết các bước tái hiện và giải pháp khắc phục