Unrestricted Access to Sensitive Business Flows
🎯 Mục tiêu học: hiểu rủi ro khi 1 luồng nghiệp vụ (không sai kỹ thuật gì cả) bị tự động hoá lạm dụng ở quy mô lớn, gây thiệt hại thực tế cho doanh nghiệp.
Rủi ro là gì
Khác các hạng mục trước (lỗi kỹ thuật), đây là rủi ro ở tầng nghiệp vụ: API hoạt động đúng như thiết kế, nhưng vì không có giới hạn hành vi (rate limit theo tài khoản, captcha, phát hiện bot), 1 luồng nhạy cảm (mua hàng số lượng giới hạn, áp mã giảm giá, đăng ký khuyến mãi...) bị bot khai thác hàng loạt.
Ví dụ: sản phẩm giới hạn 100 suất giảm giá 90%. Qua UI web, người dùng thao tác tay → tốc độ tự nhiên, công bằng. Qua API trực tiếp, 1 bot gọi POST /v1/orders hàng nghìn lần/giây → vét sạch 100 suất trong <1 giây, người dùng thật không kịp mua.
Checklist kiểm tra
Cách kiểm tra
| Mã TC | Nội dung | Kỳ vọng |
|---|---|---|
| TC-FLOW-SEC-01 | Gọi API của 1 luồng nhạy cảm (đặt hàng, áp mã giảm giá) liên tục với tốc độ cao từ 1 tài khoản | Có cơ chế giới hạn theo hành vi (không chỉ theo IP), phát hiện và chặn bất thường |
| TC-FLOW-SEC-02 | Kiểm tra luồng nhạy cảm có yêu cầu xác thực bổ sung (captcha, xác nhận OTP) khi qua API trực tiếp không, so với luồng qua UI bình thường | Không được để API 'lỏng lẻo hơn' UI chỉ vì ít người nghĩ tới việc gọi thẳng API |
📌 Ghi nhớ
Câu hỏi cần tự đặt ra khi test hạng mục này: "Nếu ai đó viết 1 con bot gọi thẳng API này hàng nghìn lần, doanh nghiệp có thiệt hại gì không?" — nếu câu trả lời là có, cần kiểm tra xem đã có giới hạn phù hợp chưa.
📖 Thuật ngữ Anh–Việt (mục này)
Đề thi dùng thuật ngữ tiếng Anh — nhớ đúng cụm bên trái. Bấm 🔊 để nghe từng từ, hoặc "Đọc tất cả" để nghe lần lượt Anh → (vài giây) → Việt.
| Thuật ngữ (EN) | Nghĩa & ghi nhớ nhanh |
|---|---|
| Sensitive business flow | Luồng nghiệp vụ nhạy cảm — có thể gây thiệt hại tài chính/uy tín nếu bị lạm dụng |
| Bot mitigation | Các biện pháp phát hiện và chặn hành vi tự động hoá bất thường |
📎 Nội dung do maiqai.com biên soạn dựa trên OWASP API Security Top 10 (2023, CC BY-SA 4.0), diễn giải lại bằng tiếng Việt kèm ví dụ minh hoạ riêng.