Penetration Testing Collaborator (2-Month Contract)

TRÁCH NHIỆM CHÍNH:

• Tiếp nhận, rà soát và xác nhận phạm vi kiểm thử theo phân công của Pentest Lead.
• Chuẩn bị môi trường, tài khoản, proxy, công cụ và checklist trước khi bắt đầu kiểm thử.
• Thực hiện Pentest đối với Web Application, REST API, Mobile Application, Mini App hoặc các thành phần liên quan.
• Thực hiện Source Code Review khi được phân công; xác định luồng dữ liệu, điểm vào, điểm xử lý nhạy cảm và khả năng khai thác thực tế.
• Xác minh thủ công kết quả từ công cụ quét; loại bỏ false positive và đánh giá tác động của lỗ hổng.
• Xây dựng Proof of Concept an toàn, có thể tái hiện và không gây ảnh hưởng ngoài phạm vi được phê duyệt.
• Ghi nhận finding, bằng chứng, mức độ rủi ro và khuyến nghị khắc phục theo biểu mẫu của team.
• Thực hiện Retest, cập nhật trạng thái khắc phục và lưu bằng chứng sau kiểm tra.
• Cập nhật tiến độ hằng ngày, báo cáo blocker kịp thời và bàn giao đầy đủ dữ liệu khi kết thúc dự án.

YÊU CẦU CÔNG VIỆC:

1. Kỹ năng bắt buộc:

Kiến thức nền tảng:

• Nắm vững nguyên lý hoạt động của Web Application, REST API và Mobile Application.
• Hiểu OWASP Top 10, OWASP API Security Top 10 và các rủi ro phổ biến trên ứng dụng di động.
• Hiểu Authentication, Authorization, Session Management, Access Control và Business Logic.
• Có khả năng phân tích điều kiện khai thác, tác động và mức độ rủi ro của lỗ hổng.

Pentest Web và API:

• Có kinh nghiệm thực hiện kiểm thử Gray-box đối với Web Application và API.
• Có khả năng kiểm tra Broken Access Control, IDOR/BOLA, Authentication Bypass, Injection, File Upload, SSRF, XSS, Sensitive Data Exposure, Rate Limit và lỗi Business Logic.
• Sử dụng thành thạo Burp Suite hoặc công cụ proxy tương đương.
• Sử dụng được Postman, Swagger/OpenAPI hoặc công cụ tương đương để kiểm thử API.
• Biết viết script hoặc sử dụng công cụ hỗ trợ để tự động hóa các bước lặp lại trong quá trình kiểm thử.

Pentest Mobile

• Có khả năng kiểm thử ứng dụng Android hoặc iOS.
• Biết phân tích APK/IPA, intercept traffic, kiểm tra local storage, deep link, WebView và cơ chế bảo vệ ứng dụng.
• Có kinh nghiệm sử dụng một hoặc nhiều công cụ như JADX, MobSF, Frida, Objection hoặc tương đương.
• Có khả năng kiểm tra luồng giao tiếp giữa Mobile App, SDK, Mini App và backend API.

Source Code Review

• Có khả năng đọc và phân tích tối thiểu một nhóm công nghệ: JavaScript/TypeScript, NodeJS, ReactJS/NextJS, Java/Kotlin hoặc C#/.NET.
• Có khả năng xác định source, sink, validation, authorization check và luồng dữ liệu nhạy cảm.
• Biết sử dụng công cụ SAST nhưng phải có khả năng xác minh thủ công kết quả và chứng minh khả năng khai thác.

2. Tiêu chí ưu tiên

• Có kinh nghiệm thực tế với Mobile Application Pentest hoặc Source Code Review.
• Có kinh nghiệm kiểm thử hệ thống tài chính, ngân hàng, thanh toán, hàng không hoặc hệ thống doanh nghiệp.
• Có chứng chỉ eWPT, eCPPT, PNPT, CPTS, OSCP, OSWE hoặc chứng chỉ thực hành tương đương.
• Có portfolio, write-up, báo cáo mẫu đã ẩn thông tin nhạy cảm hoặc kết quả thực hành chứng minh năng lực.
• Có thể onboard sớm và tham gia ổn định trong toàn bộ thời gian hợp tác

3. Tác phong và phương thức phối hợp

• Chủ động cập nhật tiến độ, báo cáo sớm các khó khăn và không che giấu sai sót.
• Có khả năng làm việc độc lập, đồng thời phối hợp tốt với Pentester, PM và các bên liên quan.
• Không tự ý mở rộng phạm vi, khai thác gây gián đoạn hoặc thay đổi dữ liệu hệ thống.
• Không trao đổi kết luận kỹ thuật hoặc gửi báo cáo trực tiếp cho khách hàng khi chưa được phê duyệt.
• Sẵn sàng hỗ trợ ngoài giờ hành chính khi có mốc go-live hoặc deadline đặc biệt, theo thỏa thuận trước.

THỜI GIAN LÀM VIỆC: Linh động, có thể kết hợp làm việc tại văn phòng và từ xa

ĐỊA ĐIỂM: Tòa Galaxy Innovation Hub, Đường D1 - Khu Công Nghệ Cao, Phường Tăng Nhơn Phú, TP.HCM