Thành phố Cuồng loạn

Khi phát triển ứng dụng web, bạn thường gặp tình trạng trình duyệt chặn các yêu cầu AJAX nếu tên miền của phía gửi (client) và phía nhận (server) khác nhau. Đây được gọi là chính sách đồng nguồn (Same-Origin Policy). Để giải quyết vấn đề này, chúng ta cần cấu hình CORS (Cross-Origin Resource Sharing) trên phía server bằng PHP. Lỗi CORS phổ ...

CodeIgniter là một framework PHP mã nguồn mở, tập trung vào hiệu năng và tính đơn giản, phù hợp với các dự án web vừa và nhỏ yêu cầu triển khai nhanh, bảo trì dễ dàng. Khác biệt nổi bật của nó nằm ở việc không bắt buộc sử dụng các thành phần nặng như ORM phức tạp hay hệ thống DI container — thay vào đó, framework cung cấp một lớp nền mỏng, linh ...

Tổng quan về Cookie và Session Cookie và Session là hai cơ chế phổ biến để duy trì trạng thái người dùng trong ứng dụng web. Trong khi cookie lưu trữ dữ liệu trên trình duyệt của người dùng, session lại lưu trữ dữ liệu trên máy chủ và chỉ gửi một session ID qua cookie. Cookie trong Django Django cung cấp các phương thức đơn giản để thao tác vớ ...

Xác thực loại tệp chính xác bằng kỹ thuật Magic Numbers trong thư viện Uppy Trong phát triển web, tính năng tải lên tệp tin có vẻ đơn giản nhưng tiềm ẩn nhiều rủi ro bảo mật. Người dùng độc hại có thể giả mạo phần mở rộng tệp để vượt qua kiểm tra hệ thống, đưa mã độc hoặc script nguy hiểm lên máy chủ dưới dạng tệp thường. Đây là lý do tại sao ...

Trong các ứng dụng web hiện đại, việc tải lên nhiều tệp hình ảnh một cách mượt mà — mà không gây gián đoạn giao diện — đã trở thành tiêu chuẩn thiết yếu. Giải pháp dưới đây xây dựng một hệ thống tải lên đa ảnh hoàn chỉnh dựa trên ba thành phần cốt lõi: HTML5 <input type="file" multiple>, thư viện jQuery để xử lý sự kiện và gửi yêu cầu, cù ...

Giới thiệu tổng quan upload-labs là một môi trường thực hành bảo mật viết bằng PHP, được thiết kế để mô phỏng đa dạng các tình huống khai thác lỗ hổng tải lên (file upload vulnerabilities) trong kiểm thử xâm nhập. Dự án gồm 19 cấp độ, mỗi cấp áp dụng một cơ chế kiểm soát đầu vào khác nhau — từ xác thực client-side đơn giản đến các biện pháp lọ ...

Tổng Quan Phần thi Web trong cuộc thi này tập trung chủ yếu vào các lỗ hổng kinh điển như SSTI (Server-Side Template Injection), RCE (Remote Code Execution) thông qua bypass filter và các lỗi logic trong PHP. Hầu hết các thách thức đều yêu cầu kỹ năng đọc源码 (source code) và hiểu rõ cơ chế hoạt động của ngôn ngữ mục tiêu. Flag thường được lưu ...

Tổng Quan Về Lỗ Hổng XSS XSS (Cross-Site Scripting) là một lỗ hổng bảo mật nghiêm trọng thường gặp trong các ứng dụng web. Lỗ hổng này cho phép kẻ tấn công chèn các mã script độc hại vào nội dung trang web, sau đó được thực thi trên trình duyệt của người dùng khác. Tên gọi XSS được sử dụng nhằm phân biệt với CSS (Cascading Style Sheets). Phươn ...

Hệ thống phân quyền trong các ứng dụng quản lý nghiệp vụ như hệ thống đặt đồ ăn đòi hỏi sự linh hoạt cao, khả năng kiểm soát chi tiết theo chức năng và dễ tích hợp vào luồng xử lý hiện có. Bài viết này trình bày một kiến trúc phân quyền dựa trên mô hình RBAC (Role-Based Access Control) được áp dụng thực tế trong nhiều dự án thương mại điện tử v ...

Cross-Site Scripting (XSS) là một lỗ hổng bảo mật phổ biến trong các ứng dụng web, cho phép kẻ tấn công chèn các đoạn mã độc hại (thường là JavaScript) vào các trang web được người dùng tin tưởng. Khi nạn nhân truy cập vào trang bị nhiễm mã độc, trình duyệt sẽ thực thi đoạn mã này dưới quyền hạn của người dùng đó. Lỗ hổng này thường được chia t ...