Path · 35 giờ · 45 bài

Secure Backend Developer

Developer backend viết code an toàn. 9 module, 45 bài, mỗi bài 15–30 phút. Mọi bài kết thúc bằng bản vá, không phải bằng flag.

Plan · 6 tuần × 5 buổi × 25 phút···

Xong Đang học Cần ôn lại

01Bản đồ rủi ro & tư duy AppSec4 bài2.5h

Rủi ro ứng dụng là gì, và ai chịu trách nhiệmconcept16p

Top 10:2025 đổi gì, và vì sao nó đổiconcept19p

Xác thực và phân quyền: hai câu hỏi khác nhauconcept18p

Thử thách: phân loại tám phát hiện thậtchallenge35p

02Access Control6 bài4hASVS V8

IDOR và cách chặn ở tầng querywalkthrough25p

Phân quyền ở mức hàm (API5)walkthrough25p

Mass assignment và DTO riêng cho inputwalkthrough22p

Một điểm quyết định phân quyền tập trungconcept20p

RLS làm lớp phòng thủ thứ haiwalkthrough28p

Thử thách: vá một dịch vụ đầy lỗi BOLAchallenge33p

03Injection & Output Encoding6 bài4hASVS V1, V2

SQL injection và tham số hoáwalkthrough25p

Những cửa sau mà ORM vẫn để ngỏwalkthrough24p

Encode theo ngữ cảnh đầu rawalkthrough26p

Command injection: đừng đi qua shellwalkthrough24p

XXE và mặc định của bộ phân tíchwalkthrough25p

Thử thách: bốn interpreter, một nguyên tắcchallenge37p

04Authentication & Session6 bài4.5hASVS V6, V7, V9, V10

Lưu mật khẩu, và vì sao bạn không nên lưuwalkthrough26p

Verify một JWT cho đúngwalkthrough28p

Chọn luồng OAuth cho đúng loại clientconcept20p

Vòng đời session, và logout thật sự làm gìwalkthrough26p

Dò tài khoản: bốn kênh, không chỉ thông báo lỗiwalkthrough25p

Thử thách: vá một luồng đăng nhập từ đầu tới cuốichallenge37p

05Cryptography & Secrets5 bài3.5hASVS V11, V14

Chọn đúng nguyên hàm, và không phát minh gìconcept21p

Secret không nằm trong repo — và khi nó đã nằm rồiwalkthrough25p

Mã hoá dữ liệu lưu trữ, và câu hỏi "chống ai"walkthrough26p

TLS, và những gì nó không bảo vệconcept20p

Thử thách: xoay một khoá đã bị lộchallenge37p

06Supply Chain & Integrity5 bài4hASVS V10

Rủi ro dependency thật sự nằm ở đâuconcept20p

Lockfile, digest, và build tái lập đượcwalkthrough24p

SBOM: trả lời được "chúng ta có dùng cái đó không?"walkthrough25p

Làm cứng pipeline CI — nơi có quyền cao nhấtwalkthrough27p

Thử thách: điều tra một bản phát hành đáng ngờchallenge35p

07SSRF & gọi API bên ngoài4 bài3hASVS V13

SSRF và cách viết allowlist cho đúngwalkthrough28p

Egress mặc định từ chối ở tầng mạngwalkthrough29p

Response của API bên ngoài là input không tin đượcwalkthrough26p

Thử thách: một webhook fetcher an toànchallenge35p

08Logging, Error Handling & Response4 bài3hASVS V16

Ghi log gì, và tuyệt đối không ghi gìconcept20p

Trả lỗi ra ngoài mà không vẽ bản đồwalkthrough23p

Từ log tới một cảnh báo dùng đượcwalkthrough27p

Thử thách: điều tra một sự cố chỉ bằng logchallenge37p

09Secure Design & Threat Modeling5 bài4.5hASVS V1–V17

Biên giới tin cậy: chỗ duy nhất validation có nghĩaconcept21p

STRIDE dùng thật, trong bốn mươi phútwalkthrough29p

Abuse case: lỗi không có payload nàowalkthrough30p

Đọc chuẩn như đang audit chính mìnhconcept22p

Dự án: threat model một trang cho hệ thống của bạnproject38p