img

https

src

innerHTML

Dom based XSS được gây ra bởi các sửa đổi đối với Document Object Model

Stored XSS được coi là persisten(bền vững)

Một cuộc tấn công persistent XSS sẽ gây ra thiệt hại vĩnh viễn cho DOM của trang web

Reflected XSS được coi là non-persistent

False

True

3. 3- không an toàn do url không hợp lệ và sử dụng onerror ( nơi mã JS có thể chạy trực tiếp )

1 - không an toàn vì biến không nằm trong một "giá trị dữ liệu được trích dẫn" (quoted data value)

2 - không an toàn vì kẻ tấn công có thể sửa đổi dữ liệu được hiển thị dưới dạng $varUnsafe (ví dụ chèn javascript:alert(1) vào href)

5 - ổn vì không có biến nào được sử dụng bên trong các thẻ

4 - ổn vì dạng tương đương đã được xử lý sẽ không thực thi bất kỳ điều gì bất ngờ (chỉ hiển thị văn bản chuẩn)

textContent

innerHTML

value

summary

Login CSRF xảy ra khi người dùng gửi thông tin vào tài khoản của kẻ tấn công, trong khi Stored CSRF xảy ra khi người dùng gửi thông tin vào ứng dụng dễ bị tổn thương.

Stored CSRF xảy ra khi người dùng gửi thông tin vào tài khoản của kẻ tấn công, trong khi Login CSRF xảy ra khi người dùng gửi thông tin vào ứng dụng dễ bị tổn thương.

Login CSRF được gọi là “session riding” trong khi Stored CSRF được gọi là “one-click attack.”

Stored CSRF được gọi là “session riding” trong khi Login CSRF được gọi là “one-click attack.”

A get request ( 1 yêu cầu get)

A relevant action ( 1 hành động liên quan )

Cookie-based session handling ( xử lý phiên bản dựa trên Cookie )

No unpredictable request parameters ( Không có tham số yêu cầu khó đoán )

Sử dụng cơ chế tấn công một chiều

Sử dụng cơ chế tấn công hai chiều

Có phạm vi hạn chế hơn, hoặc yêu cầu người dùng thực hiện một số hành động nhất định

Yêu cầu người dùng phải đang trong một phiên web đã xác thực đang hoạt động

Mã độc được lưu trữ trực tiếp bên trong trang web dễ bị tổn thương

Sử dụng cơ chế tấn công một chiều

Sử dụng cơ chế tấn công hai chiều

Có phạm vi hạn chế hơn, hoặc yêu cầu người dùng thực hiện một số hành động nhất định

Yêu cầu người dùng phải đang trong một phiên web đã xác thực đang hoạt động

Mã độc được lưu trữ trực tiếp bên trong trang web dễ bị tổn thương

HTTP standard headers ( các tiêu đề chuẩn HTTP)

Password management system (Hệ thống quản lý mật khẩu)

CAPTCHA-based authorization (Ủy quyền dựa trên CAPTCHA)

CSRF tokens

• Đối với Mẫu Token Đồng bộ hóa, CSRF token nên được truyền bằng cookie.

Nếu không có token, kẻ tấn công không thể tạo ra một yêu cầu hợp lệ đến máy chủ backend.

• CSRF token nên dễ đoán.

1. Chèn CSRF token vào tiêu đề yêu cầu HTTP tùy chỉnh thông qua JavaScript kém an toàn hơn so với việc thêm nó vào tham số biểu mẫu trường ẩn.

• Use the AJAX authentication method (Sử dụng phương pháp xác thực AJAX)

Include a token inside an encrypted cookie (Đưa token vào bên trong một cookie được mã hóa)

• Implement login CSRF on the website (Triển khai login CSRF trên trang web)

Use HMAC (Sử dụng mã xác thực thông báo dựa trên băm)

None

Secure

Lax

Strict

Performance management (quản lý hiệu suât)

Session management (quản lý phiên )

• Personalization (Cá nhân hóa)

• Tracking (Theo dõi)

• Persistent cookies (Cookie bền vững)

Session cookies ( Cookie phiên)

• First-party cookies (Cookie bên thứ nhất)

• Third-party cookies (Cookie bên thứ ba)

• Personal identification data (Dữ liệu nhận dạng cá nhân)

Access tokens (Token truy cập)

• User passwords (Mật khẩu người dùng)

• Credit card data (Dữ liệu thẻ tín dụng)

True

False

False

True

True

False

False

True

False

True

• DOM XSS

Distributed XSS (XSS Phân tán)

• Reflected XSS (XSS Phản xạ)

• Stored XSS (XSS Lưu trữ)

Using Output Encoding (Sử dụng Mã hóa đầu ra).

• Enabling remote code execution on the server (Cho phép thực thi mã từ xa trên máy chủ).

• Using weak passwords for user accounts (Sử dụng mật khẩu yếu cho tài khoản người dùng).

• Allowing users to upload arbitrary files to the server (Cho phép người dùng tải lên các tệp tùy ý lên máy chủ).

• Một loại tấn công cho phép kẻ tấn công thực thi các tập lệnh độc hại trong trình duyệt của nạn nhân. (Đây là định nghĩa của XSS).

• Một loại tấn công cho phép kẻ tấn công đánh cắp thông tin đăng nhập của nạn nhân.

Một loại tấn công lừa nạn nhân thực hiện một hành động không mong muốn trên một trang web.

• Một loại tấn công cho phép kẻ tấn công chặn lưu lượng mạng giữa nạn nhân và máy chủ. (Đây là định nghĩa của tấn công Man-in-the-Middle).

• Persistent Cookies (Cookie bền vững)

Second-party cookies (Cookie bên thứ hai)

• First-party cookies (Cookie bên thứ nhất)

• Session Cookies (Cookie phiên)

• layout (bố cục)

data (dữ liệu)

• URL address (địa chỉ URL)

• image files (các tệp hình ảnh)

• Entering a password on a login page (Nhập mật khẩu trên trang đăng nhập)

• Entering a username on a login page (Nhập tên người dùng trên trang đăng nhập)

• Entering a search query in a search bar (Nhập truy vấn tìm kiếm vào thanh tìm kiếm)

Entering malicious SQL code into an input field (Nhập mã SQL độc hại vào trường nhập liệu)

• Placing a meta character into a data input field (Đặt một ký tự meta vào trường nhập dữ liệu).

Clicking on an option from a drop-down menu on a website (Nhấp vào một tùy chọn từ menu thả xuống trên trang web).

• SQL makes no real distinction between the control and data planes (SQL không phân biệt thực sự giữa mặt phẳng điều khiển và dữ liệu).

• Passing a SQL comment into an input field (Truyền một chú thích SQL vào trường nhập liệu).

Use of string concatenation to build a query (Sử dụng nối chuỗi để xây dựng truy vấn)

• Use of stored procedures (Sử dụng thủ tục lưu trữ)

• Escape all user-supplied input (Escape tất cả đầu vào do người dùng cung cấp)

• Use of prepared statements (Sử dụng câu lệnh chuẩn bị trước)

• Submitting the single quote character ' and looking for errors or other anomalies (Gửi ký tự dấu nháy đơn ' và tìm lỗi).

• Submitting Boolean conditions and looking for differences in the application’s responses (Gửi các điều kiện Boolean và tìm sự khác biệt trong phản hồi).

Submitting a cookie with a Secure flag (Gửi một cookie có cờ Secure).

• Submitting several SQL-specific syntax evaluations... (Gửi đánh giá cú pháp SQL đặc thù...).

Ensuring that the data’s values are appropriate within a specific business context (Đảm bảo rằng các giá trị của dữ liệu phù hợp trong một ngữ cảnh nghiệp vụ cụ thể).

• Enforcing the correct syntax of structured fields (Thực thi cú pháp chính xác của các trường có cấu trúc).

• Confirming that the data provided matches the expected format (Xác nhận rằng dữ liệu được cung cấp khớp với định dạng mong đợi).

• Checking if user inputs adhere to requirements such as integer values for integer fields (Kiểm tra xem đầu vào của người dùng có tuân thủ các yêu cầu như giá trị số nguyên cho các trường số nguyên hay không).

• To prevent users from accessing sensitive information (Để ngăn người dùng truy cập thông tin nhạy cảm).

• To improve application performance (Để cải thiện hiệu suất ứng dụng).

• To ensure data is properly stored in a database (Để đảm bảo dữ liệu được lưu trữ đúng cách trong cơ sở dữ liệu).

To protect against malicious attacks and prevent vulnerabilities (Để bảo vệ chống lại các cuộc tấn công độc hại và ngăn chặn các lỗ hổng).

• “This field is required” (Trường này là bắt buộc).

“Please enter your information here” (Vui lòng nhập thông tin của bạn vào đây).

• “Please enter a valid email address” (Vui lòng nhập một địa chỉ email hợp lệ).

• “Please enter your phone number in the format xxx-xxx-xxxx” (Vui lòng nhập số điện thoại của bạn theo định dạng xxx-xxx-xxxx).

src

crossorigin

integrity

hash

We can install an elevated version of a dependency without our will (Chúng ta có thể vô tình cài đặt một phiên bản nâng cấp của phần phụ thuộc mà không mong muốn).

• Different developers may have different versions of dependencies (Các nhà phát triển khác nhau có thể có các phiên bản phụ thuộc khác nhau).

• We have not tested new versions of the library for performance and compatibility (Chúng ta chưa kiểm tra các phiên bản mới của thư viện về hiệu suất và khả năng tương thích).

• The new version of the library may be compromised or have a vulnerability (Phiên bản mới của thư viện có thể bị xâm phạm hoặc có lỗ hổng).

• Obtaining components only from official sources over secure links... (Chỉ lấy các thành phần từ nguồn chính thức qua liên kết an toàn và ưu tiên các gói có chữ ký...).

Neglecting to update or upgrade the underlying platform, frameworks, and dependencies in a risk-based, timely fashion (Bỏ bê việc cập nhật hoặc nâng cấp nền tảng, framework và các phần phụ thuộc cơ bản một cách kịp thời dựa trên rủi ro).

• Pinning scripts to specific versions and using integrity checks (Ghim các tập lệnh vào các phiên bản cụ thể và sử dụng kiểm tra tính toàn vẹn).

• Regularly scanning for vulnerabilities... (Thường xuyên quét các lỗ hổng và đăng ký nhận bản tin bảo mật...).

• Run npm audit again to see if the vulnerability has been fixed (Chạy npm audit lần nữa để xem lỗ hổng đã được sửa chưa).

Search for an alternative package that performs a similar function without this vulnerability (Tìm kiếm một gói thay thế thực hiện chức năng tương tự mà không có lỗ hổng này).

• Ignore the vulnerability as its severity is only moderate (Bỏ qua lỗ hổng vì mức độ nghiêm trọng chỉ là trung bình).

• Apply the update automatically using npm audit fix (Áp dụng cập nhật tự động bằng npm audit fix).

• Dependabot only supports NodeJS for automating dependency updates (Dependabot chỉ hỗ trợ NodeJS để tự động hóa cập nhật phần phụ thuộc).

Dependabot can be set up to regularly check for updates in your dependencies and automatically open pull requests for any outdated dependency (Dependabot có thể được thiết lập để thường xuyên kiểm tra các bản cập nhật trong các phần phụ thuộc của bạn và tự động mở các yêu cầu kéo cho bất kỳ phần phụ thuộc nào đã lỗi thời).

• Dependabot alerts about security flaws and vulnerabilities but does not automate the process of updating dependencies (Dependabot cảnh báo về các lỗi bảo mật và lỗ hổng nhưng không tự động hóa quá trình cập nhật các phần phụ thuộc).

• Dependabot requires a manual trigger to check for new versions of dependencies (Dependabot yêu cầu kích hoạt thủ công để kiểm tra các phiên bản mới của các phần phụ thuộc).

• A technique used to encrypt data in transit between a web server and a client (Một kỹ thuật dùng để mã hóa dữ liệu đang truyền giữa máy chủ web và máy khách).

A technique used to limit the number of requests a user or IP address can make to a web application (Một kỹ thuật dùng để giới hạn số lượng yêu cầu mà người dùng hoặc địa chỉ IP có thể thực hiện đối với ứng dụng web).

• A technique used to protect against distributed denial of service (DDoS) attacks (Một kỹ thuật dùng để bảo vệ chống lại các cuộc tấn công DDoS).

• A technique used to detect and prevent SQL injection attacks (Một kỹ thuật dùng để phát hiện và ngăn chặn các cuộc tấn công SQL injection).

Infrastructure Layer Attacks are typically large in volume and aim to overload the capacity of the network or the application servers (Các cuộc tấn công Tầng Hạ tầng thường có khối lượng lớn và nhằm mục đích làm quá tải dung lượng của mạng hoặc máy chủ ứng dụng).

• Infrastructure Layer Attacks are less common, more sophisticated, and target specific parts of the application (Các cuộc tấn công Tầng Hạ tầng ít phổ biến hơn, tinh vi hơn và nhắm vào các phần cụ thể của ứng dụng). -> Sai, đây là đặc điểm của Tầng Ứng dụng.

• Application Layer Attacks are usually large in volume and aim to overload the capacity of the network or the application servers (Các cuộc tấn công Tầng Ứng dụng thường có khối lượng lớn và nhằm mục đích làm quá tải dung lượng của mạng hoặc máy chủ ứng dụng). -> Sai, Tầng ứng dụng thường có khối lượng nhỏ hơn.

• Application Layer Attacks are less common and usually aim to overload the capacity of the network (Các cuộc tấn công Tầng Ứng dụng ít phổ biến hơn và thường nhằm mục đích làm quá tải dung lượng của mạng). -> Sai, nó nhắm vào khả năng xử lý của ứng dụng chứ không phải băng thông mạng.

• By integrating a third-party security service like Cloudflare... (Bằng cách tích hợp dịch vụ bảo mật bên thứ ba như Cloudflare...).

• By deploying a rate limiting tool on the server side of the application (Bằng cách triển khai công cụ giới hạn tốc độ ở phía máy chủ của ứng dụng).

• By applying the limit_conn_zone directive, a shared memory zone is created to store requests for a specified key (Bằng cách áp dụng chỉ thị limit_conn_zone... -> Lưu ý: Cái này để giới hạn số lượng kết nối (connections), không phải tốc độ yêu cầu (rate of requests)).

By applying the limit_req_zone directive, a shared memory zone is configured to store the state of requests for a specified key, such as the client IP address (Bằng cách áp dụng chỉ thị limit_req_zone, một vùng bộ nhớ chia sẻ được cấu hình để lưu trữ trạng thái của các yêu cầu cho một khóa được chỉ định, chẳng hạn như địa chỉ IP máy khách).

• The attacker can bypass authentication without the correct credentials (Kẻ tấn công có thể vượt qua xác thực mà không cần thông tin đăng nhập chính xác).

The attacker gains access to sensitive data on the server (Kẻ tấn công giành được quyền truy cập vào dữ liệu nhạy cảm trên máy chủ).

• The attacker executes arbitrary code on the server (Kẻ tấn công thực thi mã tùy ý trên máy chủ).

• The victim’s computer is infected with malware (Máy tính của nạn nhân bị nhiễm phần mềm độc hại).

• List allowed file extensions (Liệt kê các phần mở rộng tệp được phép - Whitelist).

• Run the file through an antivirus or a sandbox (Chạy tệp qua phần mềm diệt virus hoặc môi trường sandbox).

Allow any user to upload files (Cho phép bất kỳ người dùng nào tải tệp lên).

• Set a file size limit (Đặt giới hạn kích thước tệp).

• package.json

• package-npm.json

package-lock.json

• package-specified.json

• Using haproxy, a popular loadbalancer (Sử dụng haproxy, một bộ cân bằng tải phổ biến).

Avoiding the encryption of traffic to allow better traffic flow (Tránh mã hóa lưu lượng truy cập để cho phép luồng lưu lượng lưu thông tốt hơn).

• Limiting the rate of requests to a value typical for real users (Giới hạn tốc độ yêu cầu ở một giá trị điển hình cho người dùng thực).

• Limiting the number of connections that can be opened by a single client IP address (Giới hạn số lượng kết nối có thể được mở bởi một địa chỉ IP máy khách duy nhất).

• MD5 và SHA-1 là các thuật toán băm an toàn nhất vì chúng được thiết kế để chậm... (Sai, MD5/SHA-1 được thiết kế để nhanh và không an toàn cho mật khẩu).

The bcrypt algorithm, with a work factor as large as the verification server performance allows, is the top choice for password storage if Argon2id is not available or PBKDF2 is required for FIPS-140 compliance. (Thuật toán bcrypt, với hệ số công việc lớn nhất mà hiệu suất máy chủ cho phép, là lựa chọn hàng đầu để lưu trữ mật khẩu nếu Argon2id không khả dụng hoặc PBKDF2 là bắt buộc để tuân thủ FIPS-140).

• Argon2id là thuật toán kém an toàn nhất trong số các thuật toán băm hiện đại... (Sai, nó là thuật toán chiến thắng cuộc thi năm 2015).

1. Scrypt và Argon2id là các hàm dẫn xuất khóa dựa trên mật khẩu với ba tham số khác nhau... (Câu này đúng về mặt kỹ thuật mô tả, nhưng trong bối cảnh câu hỏi trắc nghiệm này, đáp án về bcrypt được coi là đáp án chính xác nhất dựa trên phần "Solution" của bài).

• Permitting the use of all characters, including unicode and whitespace (Cho phép sử dụng tất cả các ký tự, bao gồm cả unicode và khoảng trắng).

Silently truncating passwords that exceed a certain length (Âm thầm cắt ngắn các mật khẩu vượt quá độ dài nhất định).

• Enforcing a minimum password length of 8 characters (Bắt buộc độ dài mật khẩu tối thiểu là 8 ký tự).

• Using a password strength meter to help users create more complex passwords (Sử dụng thước đo độ mạnh mật khẩu để giúp người dùng tạo mật khẩu phức tạp hơn).

• It determines who or what can access an object (program, process or file) - Nó xác định ai hoặc cái gì có thể truy cập một đối tượng.

• It determines what operations are allowed to be performed by the subject (user or user group) - Nó xác định những thao tác nào được phép thực hiện bởi chủ thể.

It can protect against social engineering attacks or malware that bypasses access controls - Nó có thể bảo vệ chống lại các cuộc tấn công kỹ thuật xã hội hoặc phần mềm độc hại vượt qua các kiểm soát truy cập.

• It determines what operations are prohibited to be performed by the subject (user or user group) - Nó xác định những thao tác nào bị cấm thực hiện bởi chủ thể.

• MAC is a type of RBAC (MAC là một loại RBAC).

• RBAC and MAC are competing models with similar functionalities (RBAC và MAC là các mô hình cạnh tranh với các chức năng tương tự).

• RBAC is a completely separate model from MAC (RBAC là một mô hình hoàn toàn tách biệt khỏi MAC).

RBAC is a subset of MAC (RBAC là một tập hợp con của MAC).

• undefined

true

• false

• An error is thrown (Một lỗi được ném ra)

• Tr0ub4dor&3

• X6#9kYp$mZ

qwerty

• CorrectHorseBatteryStaple

• Scope is a mechanism in OAuth 2.0 to limit an application’s access to a user’s account (Scope là một cơ chế trong OAuth 2.0 để giới hạn quyền truy cập của ứng dụng vào tài khoản của người dùng). -> Đúng.

OAuth 2.0 is only suitable for use in web applications, and cannot be used in mobile or desktop applications (OAuth 2.0 chỉ phù hợp để sử dụng trong các ứng dụng web và không thể được sử dụng trong các ứng dụng di động hoặc máy tính để bàn). -> Sai.

• OAuth 2.0 is a standard designed to allow a website or application to access resources hosted by other web applications on behalf of a user (OAuth 2.0 là một tiêu chuẩn được thiết kế để cho phép một trang web hoặc ứng dụng truy cập các tài nguyên được lưu trữ bởi các ứng dụng web khác thay mặt cho người dùng). -> Đúng.

• Authorization code, client credentials, and device code are grant types that OAuth 2.0 offers (Authorization code, client credentials và device code là các loại cấp quyền mà OAuth 2.0 cung cấp). -> Đúng.

r-read

w-write

x-execute

r-read

r-x

w-execute

w-write

r-read

x-execute

r-write

w-read

x-execute