Tổng quan module Nhập môn Threat Modeling & OWASP Sơ cấp

TL;DR: Sau khi đã làm chủ công cụ thực nghiệm và mô hình bảo mật trình duyệt, câu hỏi lớn tiếp theo là: kẻ tấn công sẽ nhắm vào đâu trong ứng dụng của bạn? Module này bắt đầu bằng việc xây dựng tư duy mô hình hóa mối đe dọa (Threat Modeling) theo phương pháp STRIDE, giúp bạn xác định ranh giới tin cậy và lập bản đồ bề mặt tấn công trước khi viết dòng code đầu tiên. Tiếp đó, bạn sẽ giải phẫu tận gốc cơ chế kỹ thuật của ba lớp lỗ hổng kinh điển: vì sao SQL engine bị đánh lừa cấu trúc lệnh, trình duyệt bị đổi ngữ cảnh trong XSS, và logic xác thực vỡ vụn trong IDOR.

1. Mục tiêu học tập

Sau khi hoàn thành module này, bạn sẽ có thể:

• Model bề mặt tấn công của một ứng dụng web qua mô hình STRIDE và xác định trust boundaries.
• Diagnose nguyên nhân gốc rễ (Root Cause) của Reflected và Stored XSS qua cơ chế context switching giữa HTML và JavaScript.
• Explain cơ chế Lexer và Parser của SQL engine biến chuỗi dữ liệu thành lệnh thực thi trong Classic SQLi.
• Identify lỗ hổng IDOR và sự thiếu sót trong cơ chế kiểm soát truy cập mức đối tượng (Object-Level Authorization).

2. Lộ trình bài học trong module

1. 01-threat-modeling-va-mo-hinh-stride: Phương pháp luận mô hình hóa mối đe dọa với khung STRIDE của Microsoft.
2. 02-xss-so-cap-reflected-va-stored: Cơ chế context switching của trình duyệt và nguyên tắc Output Encoding.
3. 03-classic-sqli-va-co-che-lexer: Giải mã Lexer, Parser và Abstract Syntax Tree (AST) trong SQL Injection.
4. 04-idor-so-cap-va-rbac: Phân tích sự vỡ vụn của phân quyền mức đối tượng và cách khắc phục triệt để.
5. 05-mini-challenge-audit-lo-hong-so-cap: Thử thách độc lập audit mã nguồn và truy vết gói tin HTTP.
6. 06-tong-ket-module: Ôn tập và tự đánh giá năng lực làm chủ kiến thức.

Bắt đầu ngay với bài đầu tiên: 01-threat-modeling-va-mo-hinh-stride