Seb 100-150

Trong Laravel Blade, cú pháp {{$name}} có ý nghĩa gì?

• Hiển thị giá trị biến $name, đồng thời các ký tự đặc biệt sẽ được tự động chuyển thành dạng an toàn.

• Hiển thị giá trị biến $name dưới dạng HTML thô, giữ nguyên các thẻ và ký tự đặc biệt.

• Hiển thị giá trị biến $name dưới dạng chuỗi, trong đó các ký tự đặc biệt được thay thế bằng ký tự thay thế mặc định của Blade.

• Hiển thị giá trị biến $name nhưng bỏ qua các thẻ HTML, chỉ giữ lại nội dung văn bản thuần tuý.

Một ứng dụng web cho phép thay đổi mật khẩu mà không yêu cầu mật khẩu cũ. Đây là lỗ hổng thuộc loại nào?

• Broken Access Control

• Identification and Authentication Failures

• Insecure Design

• Security Misconfiguration

Để bảo vệ chức năng API của ứng dụng web, biện pháp nào cần được áp dụng?

• Giới hạn quyền truy cập API chỉ cho những người dùng có quyền quản trị

• Áp dụng cơ chế phân quyền chi tiết cho các API, cho phép mỗi API chỉ truy cập các tài nguyên mà người dùng cần

• Sử dụng xác thực API bằng API keys hoặc OAuth

• Sử dụng các biện pháp bảo mật như mã hóa dữ liệu và signature API để đảm bảo tính toàn vẹn

Trong PHP, hàm htmlspecialchars() khác htmlentities() ở điểm nào?

• htmlspecialchars() chỉ chuyển đổi một số ký tự đặc biệt như <, >, ", ', & thành entity HTML

• htmlspecialchars() chuyển đổi toàn bộ ký tự có thể biểu diễn được sang entity HTML tương ứng

• htmlspecialchars() bỏ qua các ký tự mở rộng, chỉ xử lý các ký tự ASCII cơ bản

• htmlspecialchars() loại bỏ thẻ HTML thay vì chuyển đổi chúng thành entity

Tại sao việc sử dụng CSRF Token có thể giúp ngăn chặn tấn công Cross-Site Request Forgery?

• Token hoạt động như một cơ chế xác thực thay thế, cho phép người dùng truy cập hệ thống mà không cần dùng đến mật khẩu

• Token buộc mọi yêu cầu từ trình duyệt phải đi qua kết nối HTTPS, giúp loại bỏ nguy cơ từ các yêu cầu giả mạo không an toàn

• Token được gắn vào mọi gói tin truyền đi và đảm bảo dữ liệu luôn được mã hóa trong suốt quá trình trao đổi với máy chủ

• Token được sinh ngẫu nhiên cho từng phiên làm việc, kẻ tấn công không thể đoán hoặc chèn đúng giá trị vào yêu cầu giả mạo

Ứng dụng thương mại điện tử: Admin logout nhưng session không bị huỷ. Người khác vẫn truy cập URL quản trị được. Đây ví dụ của lỗ hổng nào?

• Broken Access Control

• Authentication Failures

• Security Misconfiguration

• Cryptographic Failures

Một hacker thực hiện tấn công CSRF bằng cách gửi một yêu cầu rút tiền giả mạo khi người dùng đang đăng nhập vào tài khoản ngân hàng. Biện pháp nào có thể ngăn chặn điều này?

• Kiểm tra HTTP Referer Header

• Sử dụng CSRF Token

• Yêu cầu nhập lại mật khẩu khi thực hiện giao dịch

• Cả (A), (B) và (C) đều đúng

Trên một website thương mại điện tử, sau khi người dùng đăng xuất, session cũ vẫn còn hiệu lực và có thể dùng lại để truy cập. Đây là ví dụ của vấn đề nào?

• Server-Side Request Forgery (SSRF)

• Vulnerable and Outdated Components

• Identification and Authentication Failures

• Broken Access Control

Đặc điểm nào sau đây đúng với Kiểm thử động (DAST - Dynamic Application Security Testing)?

• Chỉ hoạt động được nếu có quyền truy cập vào source code

• Tích hợp trực tiếp vào quá trình biên dịch mã nguồn

• Hoạt động như "hộp đen/hộp xám", kiểm thử ứng dụng khi nó đang chạy

• Phân tích mã nguồn ứng dụng mà không cần chạy

Câu Kết quả thu được như hình vẽ sau cho thấy:

• Câu truy vấn cơ sở dữ liệu tương ứng có kết quả có số cột >8

• Câu truy vấn cơ sở dữ liệu tương ứng có kết quả có số cột <=8

• Câu truy vấn cơ sở dữ liệu tương ứng có kết quả có số cột <8

• Câu truy vấn cơ sở dữ liệu tương ứng có kết quả có số cột >=8