Zed Attack Proxy (ZAP) là một công cụ kiểm tra thâm nhập mã nguồn mở miễn phí đang được duy trì dưới sự bảo trợ của Dự án Bảo mật Ứng dụng Web Mở (OWASP). ZAP được thiết kế đặc biệt để thử nghiệm các ứng dụng web và vừa linh hoạt vừa có thể mở rộng. Về cốt lõi, ZAP là cái được gọi là “proxy maninthemiddle”. Nó nằm giữa trình duyệt của người kiểm tra và ứng dụng web để nó có thể chặn và kiểm tra các tin nhắn được gửi giữa trình duyệt và ứng dụng web, sửa đổi nội dung nếu cần, sau đó chuyển tiếp các gói đó đến đích. Nó có thể được sử dụng như một ứng dụng độc lập và như một quy trình daemon
MỤC LỤC Chương I Khái quát công cụ OSWAP ZAP I Giới thiệu ZAP 1) Kiểm thử bảo mật ( penetration testing ) ? 2) Khái niệm 3) Công dụng chức II Giao diện làm việc cấu hình 1) Giao diện 2) Automted Scan Manual Exploit a) Automated Scan b) Manual Exploit 12 3) Cấu hình sử dụng ZAP 15 a) Thiết lập session 15 b) Thiết lập sử dụng Oswap Zap 16 c) Thiết lập Protected Mode 17 Chương II Sử dụng công cụ ZAP tiến hành khai thác mục tiêu 18 I Giới thiệu công cụ hỗ trợ Burp Suite 18 1) Một số tính bật Burpsuite 18 2) Các chức Burp Suite 19 II Tiến hành khai thác 19 1) Automated Scan 19 a) Khai thác SQL Injection 20 b) Khai thác lỗi XSS 26 2) Manual Exploit 28 a) Test thâm nhập thủ công 28 b) Phương thức test thâm nhập 28 c) Một số ví dụ Test Case 29 d) Khai thác XSS thủ công 32 e) Khai thác SQL Injection thủ công 34 DANH MỤC HÌNH ẢNH Hình 1.1: Giao diện zap Hình 1.2: Automated scan 10 Hình 1.3: Spider 11 Hình 1.4: Mức độ nghiêm trọng 12 Hình 1.5: Thơng tin chi tiết alerts 12 Hình 1.6: Manual scan 13 Hình 1.7: Giao diện hub 15 Hình 1.8: Thiết lập phiên làm việc 16 Hình 1.9: Thiết lập cài đặt 16 Hình 1.10: Cấu hình proxy 17 Hình 1.11: Thiết lập protected mode 17 Hình 2.1: Quick scan automated 20 Hình 2.2: Alerts sau scan xong 20 Hình 2.3: Các kiểu công sql injection 22 Hình 2.4: Thơng tin chi tiết request 23 Hình 2.5: Xác định post tiến hành khai thác 23 Hình 2.6: Thiết lập positions phần intruder 24 Hình 2.7: Chọn payload để khai thác tự động 24 Hình 2.8: Kết trả sau khai thác tự động 25 Hình 2.9: Đăng nhập bypass authencation 25 Hình 2.10: Đăng nhập bypass authencation thành công 26 Hình 2.11: Request trả lỗi xss 27 Hình 2.12: Mã độc thực thi 28 Hình 2.13: Chọn url mục tiêu khai thác thủ công 32 Hình 2.14: Xác định input đầu vào 33 Hình 2.15: Tiến hành active scan 33 Hình 2.16: Alerts thơng báo trả lỗi xss 34 Hình 2.17: Xác định input đầu vào cơng sql injection 34 Hình 2.18: Tiến hành khai thác sql injection tự động 35 Hình 2.19: Add vùng chèn request 35 Hình 2.20: Chọn payload sql injection 36 Hình 2.21: Bắt đầu khai thác 37 Hình 2.22: Kết trả sau khai thác thành công 37 DANH MỤC TỪ VIẾT TẮT Từ viết tắt Thuật ngữ tiếng anh ZAP Zed Attack Proxy OWASP Open Web Application Security Project URL Uniform Resource Locator XSS Cross Site Scripting SQL Structured Query Language Pentesting penetration testing AJAX Asynchronous JavaScript and XML HUD Heads Up Display LỜI MỞ ĐẦU Với gia tăng dịch vụ cung cấp thông qua mạng lưới internet, ngày có nhiều vụ xâm nhập bảo mật lĩnh vực ngân hàng trực tuyến, game trực tuyến hay xâm nhập email khách Việc kết nối máy tính ngày tăng lên thông qua mạng lưới internet góp phần làm gia tăng số lượng cơng số lượng phần mềm bị công đặt hệ thống vào rủi ro lớn Con người, kinh tế tổ chức phủ ngày phụ thuộc nhiều vào kết nối trực tuyến email trang web cung cấp hệ thống thông tin Khi hệ thống kết nối với nhau, chúng dễ bị công phần mềm khác dù chúng cách xa Do việc kết nối thơng qua internet khơng bắt buộc phải có can thiệp người nên việc phát động công tự động dễ dàng Trong vài năm qua, có xâm phạm tài liệu nhiều hệ thống phần mềm trực tuyến Cho dù lý trị (Anonymous / WikiLeaks) trộm cắp (Sony PlayStation Network), việc xâm nhập vào dịch vụ trực tuyến phổ biến chắn tăng lên vài năm qua, tiếp tục tăng, nhiều đến mức mà việc nghe chúng khơng cịn thấy quốc gia chí tin quốc tế Kiểm thử bảo mật đặc trưng chiếm đến 90% ngân sách bảo mật thông tin, số tiền thường đầu tư vào bảo mật mạng lưới tường lửa hệ thống xâm nhập Tuy nhiên việc xâm nhập khơng nhắm vào thân ứng dụng sở hạ tầng chỗ Dev cần phải đảm bảo khơng có lỗ hổng an ninh tồn dòng code họ Điều trở nên phức tạp phần mềm xây dựng để đáp ứng yêu cầu Nó khiến cho kịch kiểm thử phải xây dựng dựa theo yêu cầu chức năng, ví dụ mục đích phần mềm, mà khơng cần quan tâm đến phần mềm thực Một nhân viên kiểm thử phần mềm giỏi cần phải cân nhắc đến kịch tiêu cực Với việc kiểm thử bảo mật ngày trở nên quan trọng thiếu cơng ty phần mềm, nhiều cơng cụ hỗ trợ đắc lực đời nhằm giúp chuyên gia kiểm thử bảo mật, giúp họ giảm bớt gánh nặng trình kiểm tra bảo mật ứng dụng Chương I Khái quát công cụ OWASP ZAP I Giới thiệu ZAP 1) Kiểm thử bảo mật ( penetration testing ) ? Kiểm thử bảo mật phần mềm trình đánh giá thử nghiệm hệ thống nhằm phát rủi ro lỗ hổng bảo mật hệ thống liệu Khơng có thuật ngữ chung mục đích chúng tơi, chúng tơi định nghĩa đánh giá việc phân tích phát lỗ hổng bảo mật mà không cố gắng thực khai thác lỗ hổng Chúng định nghĩa kiểm tra việc phát cố gắng khai thác lỗ hổng Kiểm tra thâm nhập (pentesting) thực thể người kiểm tra kẻ cơng độc hại bên ngồi với mục tiêu đột nhập vào hệ thống đánh cắp liệu thực số loại công từ chối dịch vụ Pentesting có lợi xác có kết dương tính giả (kết báo cáo lỗ hổng thực khơng xuất hiện), tốn thời gian để chạy Pentesting sử dụng để kiểm tra chế phòng thủ, xác minh kế hoạch phản ứng xác nhận việc tuân thủ sách bảo mật Tự động dồn nén phần quan trọng xác thực tích hợp liên tục Nó giúp phát lỗ hổng hồi quy cho lỗ hổng trước mơi trường thay đổi nhanh chóng phát triển mang tính cộng tác phân phối cao Pentesting thường theo giai đoạn sau: 1) Explore- Người kiểm tra cố gắng tìm hiểu hệ thống kiểm tra Điều bao gồm việc cố gắng xác định phần mềm sử dụng, điểm cuối tồn tại, vá lỗi cài đặt, v.v Nó bao gồm việc tìm kiếm trang web để tìm nội dung ẩn, lỗ hổng biết dấu hiệu điểm yếu khác 2) Attack- Người thử nghiệm cố gắng khai thác lỗ hổng biết bị nghi ngờ để chứng minh chúng tồn 3) Report- Người thử nghiệm báo cáo lại kết thử nghiệm họ, bao gồm lỗ hổng, cách họ khai thác chúng mức độ khó khăn việc khai thác mức độ nghiêm trọng việc khai thác 2) Khái niệm Zed Attack Proxy (ZAP) công cụ kiểm tra thâm nhập mã nguồn mở miễn phí trì bảo trợ Dự án Bảo mật Ứng dụng Web Mở (OWASP) ZAP thiết kế đặc biệt để thử nghiệm ứng dụng web vừa linh hoạt vừa mở rộng Về cốt lõi, ZAP gọi “proxy man-in-the-middle” Nó nằm trình duyệt người kiểm tra ứng dụng web để chặn kiểm tra tin nhắn gửi trình duyệt ứng dụng web, sửa đổi nội dung cần, sau chuyển tiếp gói đến đích Nó sử dụng ứng dụng độc lập quy trình daemon Nếu có proxy mạng khác sử dụng, nhiều môi trường công ty, ZAP định cấu hình để kết nối với proxy ZAP cung cấp chức cho nhiều cấp độ kỹ - từ nhà phát triển, người thử nghiệm thử nghiệm bảo mật, đến chuyên gia thử nghiệm bảo mật ZAP có phiên cho hệ điều hành Docker, bạn không bị ràng buộc với hệ điều hành Chức bổ sung có sẵn miễn phí từ nhiều tiện ích bổ sung ZAP Marketplace, truy cập từ bên ứng dụng khách ZAP Bởi ZAP mã nguồn mở, mã nguồn kiểm tra để xem xác chức triển khai Bất nguyện làm việc ZAP, sửa lỗi, thêm tính năng, tạo yêu cầu kéo để đưa sửa lỗi vào dự án tác giả tiện ích bổ sung để hỗ trợ tình chuyên biệt 3) Công dụng chức Owasp Zap – The Open Web Application Security Project hiểu dự án mở bảo mật ứng dụng web Đây dự án cộng đồng chung tay tham gia, giúp tổ chức phát triển mở bảo trì ứng dụng trạng thái an toàn Chúng người dùng biết đến nhiều với tính quét lỗi bảo mật ứng dụng web, mã nguồn mở Bạn tìm thấy nhiều tính tuyệt vời Owasp Zap bao gồm miễn phí trả phí như: Là mã nguồn mở Các cơng cụ đạt chuẩn an tồn thơng tin Thực sách kiểm tra bảo mật, an tồn cho mã nguồn Sử dụng hồn tồn miễn phí Ứng dụng đa tảng Dễ dàng cài đặt sử dụng Cho phép triển khai sử dụng nhiều ngôn ngữ Quét tự dộng Tự động cập nhật nhiều tính cho người dùng Là công cụ nhiều người dùng tham gia sử dụng, tạo thành cộng đồng nhiều thành viên o Được phát triển chuyên gia lập trình chuyên nghiệp o o o o o o o o o o Ngoài ra, Owasp Zap đưa 10 rủi ro mà bạn gặp phải o o o o o o o o o o Khả bị tiêm nhiễm mã độc Tính san lầm việc kiểm tra định danh phiên làm việc Thực thi mã Scrip xấu Đối tượng tham chiếu khơng an tồn tuyệt đối Cấu hình an ninh bị sai Có thể bị lộ cấu hình nhạy cảm Đơi cịn bị kiểm sốt mức độ truy cập chức Giả mạo yêu cầu Bị công sử dụng thành phần với lỗ hổng bảo mật Chuyển hướng khơng an tồn Tuy Owasp Zap số hạn chế ưu điểm chúng mang lại chiếm lòng tin người dùng Rấ nhiều cá nhân, đơn vị, tổ chức tìm hiểu cài đặt Owasp Zap thành cơng để áp dụng chúng cơng việc II Giao diện làm việc cấu hình 1) Giao diện Hình 1.1: Giao diện ZAP Giao diện người dùng ZAP Desktop bao gồm phần tử sau: o Menu Bar- Cung cấp quyền truy cập vào nhiều công cụ tự động thủ công o Toolbar - Bao gồm nút giúp truy cập dễ dàng vào tính thường sử dụng o Tree Window- Hiển thị Trang web Tập lệnh o Workspace Window - Hiển thị yêu cầu, phản hồi tập lệnh cho phép bạn chỉnh sửa chúng o Information Window - Hiển thị chi tiết công cụ tự động thủ công o Footer - Hiển thị tóm tắt cảnh báo tìm thấy trạng thái cơng cụ tự động 2) Automted Scan Manual Exploit a) Automated Scan Hình 1.2: Automated Scan Cách dễ để bắt đầu sử dụng ZAP thông qua tab Bắt đầu nhanh Quick Start tiện ích bổ sung ZAP tự động đưa vào bạn cài đặt ZAP Để chạy Quét Tự động Bắt đầu Nhanh: o Khởi động ZAP nhấp vào tab Quick Start Cửa sổ không gian làm việc o Nhấp vào nút Quét tự động lớn o Trong hộp văn URL to attack, nhập URL đầy đủ ứng dụng web bạn muốn công o Nhấp vào Attack ZAP tiến hành thu thập liệu ứng dụng web trình thu thập liệu quét thụ động trang mà tìm thấy Sau đó, ZAP sử dụng trình quét hoạt động để công tất trang, chức thông số phát ZAP cung cấp trình thu thập thơng tin để thu thập liệu ứng dụng web, bạn sử dụng hai hai trình thu thập thơng tin từ hình Spider ZAP truyền thống phát liên kết cách kiểm tra HTML phản hồi từ ứng dụng web Nhện nhanh lúc hiệu khám phá ứng dụng web AJAX tạo liên kết JavaScript Đối với ứng dụng AJAX, AJAX spider ZAP hiệu Spider khám phá ứng dụng web cách gọi trình duyệt sau theo liên kết tạo Spider AJAX chậm nhện truyền thống yêu cầu cấu hình bổ sung để sử dụng mơi trường Hình 2.6: Thiết lập Positions phần Intruder Bước Thêm payload tiến hành gửi request tự động Hình 2.7: Chọn payload để khai thác tự động Bước Sau hoàn thành ta kiểm tra request tiến hành Login Bypass Authencation Hình 2.8: Kết trả sau khai thác tự động Hình 2.9: Đăng nhập Bypass Authencation Hình 2.10: Đăng nhập Bypass authencation thành công b) Khai thác lỗi XSS Cross Site Scripting (XSS) công phổ biến dễ bị công mà tất Tester có kinh nghiệm biết đến Nó coi cơng nguy hiểm ứng dụng web mang lại hậu nghiêm trọng Giới thiệu công XSS Tấn công XSS đoạn mã độc, để khái thác lỗ hổng XSS, hacker chèn mã độc thông qua đoạn script để thực thi chúng phía Client Thơng thường, công XSS sử dụng để vượt qua truy cập mạo danh người dùng Mục đích công ăn cắp liệu nhận dạng người dùng như: cookies, session tokens thông tin khác Trong hầu hết trường hợp, công sử dụng để ăn cắp cookie người khác Như biết, cookie giúp chúng tơi đăng nhập tự động Do với cookie bị đánh cắp, chúng tơi đăng nhập thông tin nhận dạng khác Và lý do, công coi công nguy hiểm Tấn công XSS thực phía client Nó thực với ngơn ngữ lập trình phía client khác Tuy nhiên, thường xuyên công thực với Javascript HTML Tấn công Cross Site Scripting nghĩa gửi chèn lệnh script độc hại, mã độc thường viết với ngôn ngữ lập trình phía client Javascript, HTML, VBScript, Flash… Tuy nhiên, cách công thông thường sử dụng Javascript HTML Cách cơng thực theo nhiều cách khác nhau, phụ thuộc vào loại cơng XSS, mã độc phản chiếu trình duyệt nạn nhân lưu trữ sở liệu chạy người dùng gọi chức thích hợp Nguyên nhân loại công xác thực đầu vào liệu người dùng không phù hợp, liệu độc hại từ đầu vào xâm nhập vào liệu đầu Mã độc nhập script chèn vào mã nguồn website Khi trình duyệt khơng thể biết mã thực thi có phải độc hại hay khơng Do mã độc hại thực thi trình duyệt nạn nhận hình thức giả hiển thị cho người sử dụng Có số hình thức cơng XSS xảy Bên hình thức cơng Cross Site Scripting: o Cross Site Scripting xảy tập lệnh độc hại thực phía client o Trang web form giả mạo hiển thị cho người dùng (nơi nạn nhân nhập thông tin đăng nhập nhấp vào liên kết độc hại) o Trên trang web có quảng cáo hiển thị o Email độc hại gửi đến nạn nhân Tấn công xảy tin tặc tìm kiếm lỗ hổng website gửi làm đầu vào độc hại Tập lệnh độc hại tiêm vào mã lệnh sau gửi dạng đầu cho người dùng cuối Bước Ta xem thông tin chi tiết lỗ hỏng cách click vào lỗ hỏng từ tab Alert Các dòng code gây lỗi highlight ảnh Ở ta kiểm tra lỗi XSS Hình 2.11: Request trả lỗi XSS Bước Sau xác định nơi xảy lỗi XSS, ta kiểm tra cách chèn đoạn mã scrip vào nơi xác định có xảy XSS Hình 2.12: Chèn đoạn mã độc script Hình 2.12: Mã độc thực thi 2) Manual Exploit a) Test thâm nhập thủ công Thật khó để tìm thấy tất lỗ hổng cơng cụ tự động Có lỗ hổng tìm thấy test thủ cơng Tester test thâm nhập thực công tốt ứng dụng dựa vào kỹ kinh nghiệm hệ thống test thâm nhập Và phương thức social engineering thực người Kiểm tra thủ công bao gồm: design, logic kinh doanh xác minh code b) Phương thức test thâm nhập - Thu thập liệu: Người ta sử dụng phương pháp khác bao gồm Goolge Search để get liệu hệ thống đích Họ sử dụng kỹ thuật phân tích source code trang web để lấy nhiều thông tin hệ thống, phần mềm, phiên plugin Có nhiều tool dịch vụ miễn phí có sẵn thị trường Chúng cung cấp cho bạn thơng tin sở liệu, tên bảng, phiên DB, phiên phần mềm, phần cứng sử dụng, plugin bên thứ ba sử dụng hệ thống đích - Đánh giá lỗ hổng: Dựa liệu thu thập bước trên, người ta tìm thấy điểm yếu bảo mật hệ thống đích Nó giúp tester test thâm nhập thực công cách sử dụng điểm truy cập xác định hệ thống - Khai thác thực tế: Đây bước quan trọng Nó yêu cầu kỹ kỹ thuật đặc biệt để thực công hệ thống đích Tester test thâm nhập có kinh nghiệm sử dụng kinh nghiệm họ để thực cơng vào hệ thống - Phân tích kết báo cáo test thâm nhập: Sau kết thúc việc test thâm nhập, báo cáo chi tiết chuẩn bị để có hành động khắc phục Tất lỗ hổng tìm thấy phương pháp khắc phục đề cập liệt kê báo cáo Bạn tùy chỉnh format báo cáo dựa nhu cầu công ty bạn: HTML, XML, MS Word PDF c) Một số ví dụ Test Case Test thâm nhập test chức Mục đích bạn tìm thấy lỗ hổng bảo mật hệ thống Dưới số test case chung không thiết phải áp dụng cho tất ứng dụng - Kiểm tra xem ứng dụng web có khả xác định công spam form liên hệ sử dụng hệ thống hay không - Proxy server - Kiểm tra xem lưu lượng network có giám sát thiết bị proxy không Proxy server gây khó khăn cho hacker việc lấy thông tin chi tiết nội network, từ bảo vệ hệ thống khỏi cơng từ bên ngồi - Bộ lọc email spam - Xác minh lưu lượng email đến có lọc khơng, email khơng mong muốn có bị block không - Nhiều ứng dụng email kèm với lọc spam sẵn có cần phải cấu hình theo yêu cầu bạn Các cấu hình wop dụng cho mail header, subject body - Firewall - Đảm bảo toàn mạng máy tính bảo vệ Firewall Firewall phần mềm phần cứng ngăn chặn truy cập trái phép vào hệ thống Firewall ngăn chặn việc gửi liệu bên mạng mà khơng có cho phép bạn - Cố gắng khai thác tất server, hệ thống desktop, printer thiết bị mạng - Xác minh xem username password mã hóa chuyển sang kết nối bảo mật https hay chưa - Xác minh xem thơng tin lưu trữ website cookies khơng Nó khơng nên lưu định dạng đọc - Xác minh xem lỗ hổng tìm thấy trước sau fix có hoạt động tốt khơng - Xác minh khơng có cổng mở network - Xác minh tất thiết bị telephone - Xác minh bảo mật WIFI network - Xác minh tất phương thức HTTP Các phương thức PUT DELETE không nên đợc enable web server - Xác minh xem password chuẩn yêu cầu chưa Password nên có ký tự, có chưá ký tự số ký tự đặc biệt - Username không nên "admin" "administrator" - Trang login nên khóa sau vài lần đăng nhập không thành công - Các message lỗi nên mô tả chung chung, không nên đề cập đến lỗi cụ thể "Invalid username" "Invalid password" - Xác minh ký tự đặc biệt, thẻ HTML script xử lý input - Chi tiết hệ thống nội không nên tiết lộ thông báo lỗi hay cảnh báo - Thông báo lỗi tùy chỉnh nên hiển thị cho end user trường hợp web bị crash - Xác minh sử dụng mục đăng ký Các thông tin nhạy cảm không giữ cửa sổ đăng ký - Các liệu nhạy cảm không nên truyền vào URL giao tiếp với module nội khác ứng dụng web - Không nên hard code username password - Tất file phải scan trước upload lên server - Xác minh tất trường input với chuỗi input dài có khơng có khoảng trống - Xác minh chức reset password bảo mật - Xác minh ứng dụng với SQL Injection - Xác minh ứng dụng với Cross Site Scripting - Những validate đầu vào quan trọng nên thực server thay check Javascript phía client - Những resource quan trọng hệ thống nên có sẵn cho người dịch vụ ủy quyền - Tất log truy cập nên lưu trữ với quyền truy cập thích hợp - Xác nhận phiên người dùng kết thúc đăng xuất.Xác minh thư mục duyệt bị disbale server - Xác minh phiên ứng dụng database cập nhật - Xác minh việc xử lý URL để check xem ứng dụng web có hiển thị thơng tin không mong muốn không - Xác minh xem nhớ có bị rị rỉ có bị tràn đệm không - Xác minh lưu lượng network đến scan để tìm cơng Trojan hay chưa - Xác minh hệ thống an toàn khỏi các công Brute Force chưa Brute Force phương pháp thử sai để tìm thơng tin nhạy cảm password - Xác minh xem hệ thống network bảo vệ khỏi cơng DoS (denial-of-service) chưa Hacker thực request liên tục đến mạng đích máy tính khiến tài nguyên hệ thống đích bị tải dẫn đến việc từ chối dịch vụ yêu cầu hợp pháp - Xác minh ứng dụng với công HTML script injection - Xác minh việc chống lại công COM & ActiveX - Xác minh việc chống lại công giả mạo (spoofing) Có thể giả mạo nhiều loại - giả mạo IP address, Email ID, ARP, Người giới thiệu, ID người gọi, điểm network chia sẻ file, GPS, - Kiểm tra công chuỗi định dạng không kiểm sốt - cơng bảo mật làm cho ứng dụng bị crash thực thi script gây có hại - Xác minh cơng XML injection - sử dụng để thay đổi logic dự định ứng dụng - Xác minh chống lại cơng chuẩn hóa - Xác minh xem trang lỗi có hiển thị thơng tin giúp hacker truy cập hệ thống khơng - Xác minh xem có liệu quan trọng password lưu trữ file bí mật hệ thống khơng - Xác minh ứng dụng có trả nhiều liệu yêu cầu không d) Khai thác XSS thủ công Bước Nhập URL website mà bạn muốn check vào field URL to exploit click Launch Browser Hình 2.13: Chọn URL mục tiêu khai thác thủ công Bước Xác định input đầu vào Website Hình 2.14: Xác định input đầu vào Bước - Click chuột phải vào Input xác định bước - Chọn Attack -> Chọn Active Scann Hình 2.15: Tiến hành Active Scan Bước Sau Scan xong ta quan sát Alert thấy hình dưới, phát lỗi XSS Hình 2.16: Alerts thơng báo trả lỗi XSS e) Khai thác SQL Injection thủ công Bước Xác định input đầu vào Website Ở ta xác định input đầu vào trường Login Hình 2.17: Xác định input đầu vào công SQL Injection Bước - Chuột phải vào URL xác định bước - Chọn Attack - Chọn Fuzz Hình 2.18: Tiến hành khai thác SQL Injection tự động Bước - Ta bôi đen hình vẽ - Chọn Add - Tích chọn SQL Injection Hình 2.19: Add vùng chèn Request Hình 2.20: Chọn payload SQL Injection Bước - Chọn Start Fuzz Hình 2.21: Bắt đầu khai thác Bước Ta quan sát request tự động Sau thấy Response phản hồi “200 OK”, lỗi SQL Injection, cho phép Bypass Authencation Hình 2.22: Kết trả sau khai thác thành công TÀI LIỆU THAM KHẢO [1] AnonyViet, "Top 20 công cụ hacker chuyên gia bảo mật sử dụng," 2020 [2] OWASP, "A1:2017-Injection," 2017 [3] OWASP, "A3:2017-Cross-Site Scripting (XSS)," 2017 [4] Burp Suite Essentials - Akash Mahajan,2014 ... từ nhiều tiện ích bổ sung ZAP Marketplace, truy cập từ bên ứng dụng khách ZAP Bởi ZAP mã nguồn mở, mã nguồn kiểm tra để xem xác chức triển khai Bất nguyện làm việc ZAP, sửa lỗi, thêm tính năng,... Cách dễ để bắt đầu sử dụng ZAP thông qua tab Bắt đầu nhanh Quick Start tiện ích bổ sung ZAP tự động đưa vào bạn cài đặt ZAP Để chạy Quét Tự động Bắt đầu Nhanh: o Khởi động ZAP nhấp vào tab Quick... cơng trình duyệt để proxy qua ZAP nhập tin cậy Chứng ZAP Root CA Xem Hướng dẫn Sử dụng Máy tính để bàn ZAP để biết thêm chi tiết Theo mặc định, Hiển thị cảnh báo ZAP (HUD) bật Bỏ chọn tùy chọn