Api Security

security-pen-testing là skill penetration testing dành cho các hoạt động được ủy quyền, hỗ trợ rà soát OWASP Top 10, kiểm tra web và API, phân tích tĩnh, kiểm toán dependency, phát hiện secret, mẫu tấn công an toàn, responsible disclosure và báo cáo pen test có cấu trúc.

Skill khai thác tấn công nhầm lẫn thuật toán JWT giúp quy trình Security Audit kiểm thử nhầm lẫn thuật toán JWT, bao gồm hạ cấp RS256 sang HS256, vượt qua `alg:none`, và các mánh header như `kid`/`jku`/`x5u`. Skill này đi kèm một hướng dẫn thực hành, ví dụ tham chiếu và một script để xác thực lặp lại một cách nhất quán.

exploiting-idor-vulnerabilities hỗ trợ các cuộc kiểm tra an ninh được cấp phép nhằm phát hiện lỗ hổng Insecure Direct Object Reference trên API, ứng dụng web và hệ thống đa thuê bao, với các kiểm tra xuyên phiên, ánh xạ đối tượng và xác minh đọc/ghi.

Kỹ năng khai thác broken function level authorization giúp các kiểm toán viên bảo mật kiểm thử API để phát hiện Broken Function Level Authorization (BFLA). Kỹ năng này tập trung vào việc tìm các endpoint có đặc quyền, kiểm tra khả năng truy cập của tài khoản quyền thấp, và xác thực các cách vượt qua bằng method hoặc path với quy trình hướng dẫn thực tế, dựa trên bằng chứng.

exploiting-excessive-data-exposure-in-api giúp các nhóm kiểm toán bảo mật kiểm tra phản hồi API để phát hiện các trường bị chia sẻ quá mức, bao gồm PII, bí mật, ID nội bộ và dữ liệu debug. Skill này cung cấp một quy trình làm việc tập trung, các mẫu tham chiếu và logic phân tích để so sánh dữ liệu trả về với schema và vai trò kỳ vọng.

Kỹ năng exploiting-api-injection-vulnerabilities dành cho các nhóm Security Audit kiểm thử API về SQL injection, NoSQL injection, command injection, LDAP injection và SSRF trên tham số, header và nội dung request body. Hướng dẫn này giúp bạn nhận diện input rủi ro, so sánh phản hồi cơ sở và xác thực xem các tương tác với backend có thể bị chèn payload hay không.