Bạn là một Kiến trúc sư Phần mềm Cấp cao (Senior Software Architect) chuyên về Kỹ thuật Độ tin cậy Hệ thống (SRE) và Kiểm thử Bảo mật Ứng dụng Động (DAST). Nhiệm vụ của bạn là thiết kế và triển khai một framework Python sẵn sàng cho môi trường thực tế (production-ready) nhằm thực hiện phân tích độ bền vững và xác thực quy tắc nghiệp vụ đối với các REST API và điểm cuối (endpoints) trang web. **Mục tiêu Cốt lõi:** Xây dựng một công cụ kiểm thử thông minh giúp xác định các lỗi logic cấu trúc thuộc ba nhóm lỗ hổng có tác động nghiêm trọng (tương đương với các vi phạm quy tắc nghiệp vụ ở mức độ Cao và Nghiêm trọng - High/Critical): 1. **Lỗi Kiểm soát Truy cập & Vượt qua Ngữ cảnh** (ví dụ: Lỗi Phân quyền Cấp độ Đối tượng - Broken Object Level Authorization - BOLA) 2. **Đảo ngược & Bất thường Logic Nghiệp vụ** (ví dụ: thao túng tham số toán học, khai thác luồng thanh toán, chuyển đổi định dạng Content-Type như tiêm nhiễm YAML/JSON) 3. **Lỗi Khả năng Chống chịu Cơ sở hạ tầng** (ví dụ: các ngoại lệ thời gian chạy chưa được xử lý gây gián đoạn dịch vụ) **Yêu cầu Kiến trúc:** **1. THÀNH PHẦN TRÍ TUỆ (Công cụ Phân tích Kịch bản - Scenario Analysis Engine):** Tạo một hàm có cấu trúc thực hiện việc: - Tiếp nhận bản đồ định tuyến (route mappings) của ứng dụng làm đầu vào - Tự động sinh ma trận kiểm thử các trường hợp biên (edge cases) bằng logic đột biến tham số (parameter mutation logic) - Tập trung vào các bất thường ngữ nghĩa: đảo ngược kiểu dữ liệu, đảo chiều giá trị số học, ép kiểu định dạng dữ liệu và vi phạm ranh giới tham số (chứ không chỉ dừng lại ở lỗi duyệt thư mục path traversal) - Trả về các kịch bản kiểm thử (test cases) có thể thực thi kèm theo payload cụ thể, hành vi kỳ vọng so với hành vi bất thường, và phân loại mức độ tác động **2. THÀNH PHẦN THỰC THI (Bảng điều khiển Tương tác Python Thực tế):** Triển khai một bảng điều khiển (console) thời gian thực sử dụng thư viện `requests` và `urllib3` với cơ chế xử lý ngoại lệ chặt chẽ nhằm: - Tiếp nhận đầu vào từ người dùng: URL mục tiêu và các header xác thực hợp lệ - Thực thi các yêu cầu HTTP thực tế dựa trên các kịch bản kiểm thử do thành phần trí tuệ sinh ra - Thu thập và hiển thị: mã trạng thái HTTP thực tế (200, 401, 403, 500, v.v.), kích thước chính xác của payload phản hồi, nhật ký máy chủ thô và các header phản hồi - Bao gồm cơ chế bảo vệ chống quá thời gian chờ (timeout protection) và xử lý lỗi kết nối để duy trì sự ổn định của bảng điều khiển - Hỗ trợ tiêm các đột biến tham số theo thời gian thực (tham số truy vấn query params, body payloads, headers) **3. THÀNH PHẦN BÁO CÁO:** Tạo một báo cáo định dạng markdown bao gồm: - Các bước tái hiện Bằng chứng Khai thác (Proof-of-Concept - PoC) kèm theo các yêu cầu và phản hồi thực tế - Phân loại mức độ nghiêm trọng (Cao/Nghiêm trọng) kèm theo đánh giá tác động kinh doanh - Bản ghi lưu lượng HTTP thô (các cặp request/response) - Hướng dẫn khắc phục cụ thể, có tính khả thi cao **Yêu cầu Cấu trúc Mã nguồn:** - Thiết kế dạng module với sự tách biệt rõ ràng: công cụ phân tích → công cụ thực thi → công cụ báo cáo - Xử lý lỗi, ghi nhật ký (logging) và quản lý trạng thái đạt chất lượng môi trường thực tế (production-quality) - Bảng điều khiển phải có khả năng tái lập theo thời gian thực với các lệnh gọi mạng thực tế (không dùng dữ liệu giả lập mock) - Định dạng đầu ra tương thích với tính năng phát lại (replay) thủ công trên Burp Suite để phục vụ việc kiểm chứng - Mọi phản hồi và mã trạng thái HTTP thực tế đều phải là thật, không được mô phỏng giả lập **Bàn giao:** Cung cấp toàn bộ framework Python hoàn chỉnh, có thể chạy được ngay với cả ba thành phần đã được tích hợp. Hệ thống phải hoạt động ngay lập tức khi được cung cấp một URL mục tiêu đang hoạt động—không cần cấu hình gì thêm ngoài các header xác thực. Cửa sổ dòng lệnh (console terminal) phải là một bản PoC hoạt động thực sự, chứng minh được các lỗ hổng thực tế với bản ghi lưu lượng HTTP thật và các vi phạm logic nghiệp vụ có tác động cao.
