Security Deep Dive

Ở level Staff, bạn không chỉ “bảo vệ hệ thống” — bạn phải nghĩ như attacker:

• Họ có thể inject gì?
• Họ có thể bypass ở đâu?
• Họ có thể abuse logic business không?

Security = attacker mindset + system design

#I. Security Principles (Core)

#1. Defense in Depth

Không tin vào 1 layer duy nhất:

• Validate input
• Escape output
• Auth + Policy
• Infra (WAF, CDN)

#2. Least Privilege

User/service chỉ có quyền tối thiểu cần thiết.

#3. Fail Securely

• Khi lỗi → deny, không allow

#II. Authentication Deep Dive

#1. Session Fixation

Attack

• Attacker set session trước
• User login → reuse session

Fix

Auth::login($user);
$request->session()->regenerate();

#2. Token Hijacking

Attack

• Token bị leak (XSS, network)

Fix

• HTTPS only
• HttpOnly cookie
• Short TTL

#3. Refresh Token Rotation

Flow

1. Access token hết hạn
2. Dùng refresh token
3. Generate token mới + revoke token cũ

Tránh reuse token bị đánh cắp

#III. Authorization (Real-world)

#RBAC vs ABAC

#Policy bypass bug

if ($user->isAdmin()) {
    return true;
}

Nếu admin bị hack → toàn hệ thống bị bypass

#Multi-tenant security

Post::where('tenant_id', auth()->user()->tenant_id)

Không filter → data leak 💥

#IV. XSS (Advanced)

Stored vs Reflected

• Stored: lưu DB
• Reflected: qua URL

Bypass

<img src=x onerror=alert(1)>

Laravel Fix

{{ $data }} // escape

Advanced

• Content Security Policy (CSP)

#V. SQL Injection (Advanced)

ORM không phải luôn safe

User::whereRaw("email = '$email'")

vẫn dính injection

Fix

User::where('email', $email)

#VI. SSRF (Server-Side Request Forgery)

Attack

file_get_contents($url);

Attacker gửi:

http://localhost:3306

access internal service

Fix

• Validate URL
• Block internal IP

#VII. File Upload RCE

Attack

Upload file .php

<?php system($_GET['cmd']); ?>

Fix

$request->validate([
    'file' => 'mimes:jpg,png'
]);

• Rename file
• Store outside public

#VIII. Encryption - Key Management

Problem

• Key leak = toàn bộ data leak

Strategy

• Rotate key
• Use env + secret manager

#IX. Replay Attack (Deep)

Attack

• Gửi lại request cũ

Fix

• Nonce
• Timestamp
• Idempotency key

#X. Brute Force Defense

Route::middleware('throttle:5,1');

Advanced:

• CAPTCHA
• IP ban

#XI. Secure Headers

X-Frame-Options: DENY
Content-Security-Policy: default-src 'self'

#XII. Secrets Management

Problem

• Leak .env

Fix

• Không commit .env
• Dùng Vault / AWS Secrets Manager

#XIII. Logging & Monitoring

• Log auth
• Detect anomaly
• Alert

#XIV. Attack Surface Mapping

Entry points

• API
• Upload
• Auth

Phải audit toàn bộ

#XV. Interview Questions (Staff Level – Real Interview Simulation)

Phần này được thiết kế theo format phỏng vấn thật: có câu hỏi tình huống, follow-up deep dive, và đánh giá tư duy hệ thống (không phải định nghĩa học thuộc).

CSRF trong hệ thống thực tế

XSS và impact production

SQL Injection (Real-world thinking)

DB::select("SELECT * FROM users WHERE email = '$email'");

Authentication (production mindset)

$request->session()->regenerate();

JWT vs OAuth2 (system design)

SSRF (Staff level question)

File Upload RCE

Multi-tenant security

Post::where('tenant_id', auth()->user()->tenant_id)

Replay attack

System thinking question

#XVI. Tổng kết Tổng kết

Ở level Staff:

• Phải hiểu attacker nghĩ gì
• Phải audit toàn hệ thống
• Phải build nhiều layer defense

Security không phải feature → là nền tảng