BÁO CÁO ĐỀ TÀI tấn công Cross Site Scripting (XSS) và cách phòng chống

HỌC VIỆN KỸ THUẬT MẬT MÃ KHOA CÔNG NGHỆ THÔNG TIN BÁO CÁO CƠ SỞ AN TOÀN THÔNG TIN ĐỀ TÀI NGHIÊN CỨU, TRIỂN KHAI TẤN CÔNG KHAI THÁC LỖ HỔNG XSS VÀ CÁCH PHÒNG CHỐNG Sinh viên thực hiện Đinh.

HỌC VIỆN KỸ THUẬT MẬT MÃ KHOA CÔNG NGHỆ THÔNG TIN  BÁO CÁO CƠ SỞ AN TOÀN THÔNG TIN ĐỀ TÀI: NGHIÊN CỨU, TRIỂN KHAI TẤN CÔNG KHAI THÁC LỖ HỔNG XSS VÀ CÁCH PHÒNG CHỐNG Sinh viên thực hiện: Đinh Thị Thu - AT160350 Thiều Mạnh Đức - AT160414 Bùi Đức Thắng - AT160445 Giảng viên hướng dẫn: Hà Nội 2022 Ts PHẠM DUY TRUNG LỜI NÓI ĐẦU Trong năm gần cùng với bùng nổ internet kèm theo phát triển World Wide Web Các doanh nghiệp, cá nhân, phủ đưa kết luận trang web hay ứng dụng web có khả cung cấp đầy đủ giải pháp hiệu quả, đáng tin cậy giải quyết thách thức giao tiếp tiến hành thương mại hóa thê kỷ XX Nhất thời gian dịch bệnh vừa rồi thì việc chuyển đổi công việc từ trực tiếp qua hình thức online trang web lại trở nên mạnh mẽ bởi tiện dụng ích lợi to lớn mà mang lại Tuy nhiên, kèm với tiện dụng thì vấn đề an toàn trang web hay ứng dụng web trở nên ngày quan trọng đáng để lưu tâm Các trang web giáo dục, y tế, tài hay liệu nhạy cảm bao giờ hết phải đối mặt với nhiều nguy bị công từ hacker Tại Việt Nam năm vừa qua cũng có nhiều cơng với quy mơ lớn bé khác nhắm vào tổ chức doanh nghiệp làm ảnh hưởng không nhỏ đến tài sản uy tín doanh nghiệp thị trường Nhiễu lỗ hổng trang web không được kiểm tra kỹ để điều khiển ứng dụng trang web nguyên nhân để hacker dựa vào cơng Trong số có loại cơng cực kì nguy hiểm mà nhà bảo mật cảnh báo người dùng cơng Cross-Site Scripting (hay còn gọi XSS) Ngồi còn có số dạng công khác như: SQL Injection, Shell Injection, Script language injection, File inclusion, XML injection, XPATH injection.v.v Trong báo cáo nhóm xin phép tập trung trình bày lỗ hổng bảo mật liên quan đến công Cross-Site Scripting, tương quan khái niệm, cách thức kẻ cơng hoạt động, hậu quả nặng nề mà đem đến cũng cách để phòng chống công hiệu quả MỤC LỤC DANH MỤC HÌNH VẼ CHƯƠNG 1: CHƯƠNG : THỰC NGHIỆM GIỚI THIỆU CHUNG 0.1 Tính cấp thiết đề tài Website ngày phức tạp thường web động, nội dung web được cập nhật thông qua thành viên tham gia ở khắp nơi thế giới Và hầu hết website dùng Cookie để xác thực người dùng Điều đồng nghĩa với việc Cookie thì người dùng, Nếu lấy được Cookie người dùng Hacker sẽ giả mạo được người dùng (điều hết sức nguy hiểm) Vậy để hacker lấy cookie bạn? Có nhiều cách để hacker làm việc đó, ở tơi xin trình bày cách mà hacker thường dùng, họ nhờ vào lỗi Cross Site Scripting(XSS) Cross-Site Scripting (XSS) kĩ thuật công phổ biến nay, đờng thời cũng vấn đề bảo mật quan trọng nhà phát triển web cả người sử dụng web Bất kì website cho phép người sử dụng đăng thơng tin mà khơng có kiểm tra chặt chẽ đoạn mã nguy hiểm thì tiềm ẩn lỗi XSS XSS được thực thẻ JavaScript, thẻ JavaScript chúng làm được công việc sau: Thay đổi cấu trúc toàn trang web ,tạo tùy ý phần tử HTML,định tuyến lại hình thức liên kết,phục hồi liệu, xác thực,gửi nhận liệu,đọc tổ hợp phím 0.2 Mục tiêu thực Nguyên cứu công XSS cùng kĩ thuật công ,các cách phòng tránh thực nghiệm môi trường Seedlab Mục tiêu đặt thực đề tài :  Nắm được kỹ thuật công XSS ,mô hình ,phương thức công  Phân biệt được loại cơng XSS phương pháp ngăn chặn  Demo công XSS CHƯƠNG 1: GIỚI THIỆU VỀ TẤN CƠNG XSS 1.1 Tìm hiểu XSS Hình 1 Mơ hình cơng XSS Cross-Site Scripting hay còn được gọi tắt XSS (thay vì gọi tắt CSS để tránh nhầm lẫn với CSS-Cascading Style Sheet HTML) kĩ thuật công cách chèn vào website động (ASP, PHP, CGI, JSP ) thẻ HTML hay đoạn mã script nguy hiểm có khả đánh cắp hay thiết lập được thông tin quan trọng cookies, mật khẩu, usename Trong đó, đoạn mã nguy hiểm đựơc chèn vào hầu hết được viết Client-Site Script JavaScript, JScript, DHTML cũng cả thẻ HTML Phương pháp không nhằm vào máy chủ hệ thống mà chủ ́u cơng máy người sử dụng Hacker sẽ lợi dụng kiểm tra lỏng lẻo từ ứng dụng hiểu biết hạn chế người dùng cũng biết đánh vào tò mò họ dẫn đến người dùng bị thông tin cách dễ dàng Thông thường hacker lợi dụng địa URL để đưa liên kết tác nhân kích hoạt đoạn chương trình được viết ngôn ngữ máy khách VBScript, JavaScript được thực thi trình duyệt nạn nhân 1.2 Cơ chế hoạt động công XSS 1.2.1 Bản chất công Về bản thực công Cross-site scripting thì hacker sẽ thực gửi chèn lệnh script độc hại, thường thì mã script được viết ngơn ngữ lập trình phía client VBScript, ActiveX Flash (hiện được coi cũ thậm chí lỗi thời), phổ biến JavaScript - chủ yếu vì JavaScript tảng cho hầu hết trải nghiệm duyệt web XSS hoạt động cách điều khiển trang web dễ bị công để trả JavaScript độc hại cho người dùng Khi mã độc được thực thi bên trình duyệt, hacker hồn tồn xâm nhập vào tài khoản sử dụng liệu người dùng vào mục đích cá nh 1.2.2 Quá trình thực cơng Để chạy được code JavaScript độc hại trình duyệt nạn nhân, trước tiên, kẻ công phải tìm cách truyền payload vào trang web mà nạn nhân truy cập Tất nhiên, kẻ cơng sử dụng kỹ thuật social engineering để thuyết phục người dùng truy cập trang bị cơng Để công XSS diễn ra, trang web bị công cần trực tiếp bao gồm đầu vào người dùng trang mình Kẻ công sau chèn chuỗi sẽ được sử dụng trang web được xử lý dạng code bởi trình duyệt nạn nhân Mã giả phía máy chủ (server-side pseudo-code) được sử dụng để hiển thị bình luận gần trang web: print "" print "Most recent comment" print database.latestComment print "" Tập lệnh sẽ in bình luận từ sở liệu in nội dung trang HTML, giả sử bình luận được in bao gồm phần văn bản Trang dễ bị công bởi XSS vì kẻ cơng gửi nhận xét có chứa payload độc hại, chẳng hạn như: doSomethingEvil(); Người dùng truy cập trang web sẽ được hiển thị trang HTML sau: Most recent comment doSomethingEvil(); Khi trang load trình duyệt nạn nhân, tập lệnh độc hại kẻ công sẽ thực thi, mà người khơng hay biết cũng khơng thể ngăn chặn công Lưu ý: Lỗ hổng XSS tờn nếu payload (tập lệnh độc hại) mà kẻ cơng chèn vào được phân tích (thành HTML trường hợp trên) trình duyệt nạn nhân 1.3 Hình thức tồn XSS 1.3.1 Stored XSS Hình Mơ hình công Stored XSS Stored XSS hình thức công mà ở cho phép kẻ cơng chèn đoạn script nguy hiểm (thƣờng Javascript) vào website thông qua chức (vd: viết lời bình, guestbook, gởi ), để từ thành viên khác truy cập website sẽ bị dính mã độc từ kẻ cơng này, mã độc thường được lưu lại database website nên gọi Stored Stored XSS phát sinh không lọc liệu thành viên gởi lên cách đắn, khiến cho mã độc được lưu vào Database website 1.3.2 Reflected XSS Hình Mơ hình cơng Reflected XSS Trong hình thức này, kẻ công thường gắn thêm đoạn mã độc vào URL website gởi đến nạn nhân, nếu nạn nhân truy cập URL thì sẽ bị dính mã độc Điều xảy ta không ý filter input từ URL website mình Tấn công XSS công nguy hiểm, cho phép kẻ công ăn cắp thông tin máy nạn nhân thông qua javascript ăn cắp cookie, chèn mã độc để chiến quyền điều khiển XSS lỗi phổ biến, có nhiều trang web bị mắc phải lỗi này, vì thế ngày có nhiều người quan tâm đến lỗi Gần đây, theo Brian Krebs tờ Washington Post báo cáo hàng ngàn trang web không an tồn được xác định vào năm ngối, trang Xssed.com đưa danh sách gần 13.000 trang có nhiều lỗ hổng cross-site scripting (XSS) 1.3 Mức độ nguy hiểm XSS Theo thống kê lỗ hổng bảo mật thường bị công vào năm 2009 10 Sử dụng tài khoản Alice để xem profile Samy Kết quả: ta bắt được cookie Alice Lab 4: Cướp sesion (Session Hijacking) sử dụng cookie bị đánh cắp Nhiệm vụ: sẽ thực công cướp session viết chương trình để thêm bạn bè với tư cách nạn nhân 35 Để nạn nhân thêm bạn bè, đầu tiên, cần tìm cách người dùng thêm người bạn Elgg Cụ thể hơn, cần phải thứ được gửi đến máy chủ người dùng thêm người bạn Tiện ích mở rộng LiveHTTPheadersLive giúp xác định tất cả thăm số request Sau biết HTTP request để thêm bạn sẽ viết chương trình để gửi request tương tự Server Elgg phân biệt được có phải request được gửi đến bởi trình duyệt người dùng hay bởi chương trình Java người công Miễn thiết lập xác tất cả tham số gửi kèm session cookie, server sẽ chấp nhận xử lý HTTP request Chương trình Java: 36 Các bước thực hiện: B1: Đăng nhập vào tài khoản Samy sửa profile 37 B2: Đăng nhập vào tài khoản chưa có kết bạn với Samy(ở Alice) Tìm đến profile Samy, chương trình lúc sẽ được chạy tự động gửi yêu cầu kết bạn đến Samy Kết quả: 38 Lab 5: Viết sâu máy tính thực công XSS (XSS Worm) Nhiệm vụ: viết mã JavaScript độc để giả mạo HTTP request trực tiếp từ trình duyệt nạn nhân mà không cần can thiệp người công Mục tiêu: chỉnh sửa tiểu sử nạn nhân thêm Samy vàọ danh sách bạn bè nạn nhân Các bước làm: B1: Tương tự với 4, ta chỉnh sửa profile Samy với chương trình chỉnh sửa profile nạn nhân 39 B2: chuyển sang tài khoản Boby với profile trắng 40 Ghé sang chỗ Samy lúc Và giờ profile Boby bị thay đổi 41 Và cách xss worm lây lan sang cho người khác Lab 6: Viết sâu máy tính XSS tự lây lan Để thật trở thành worm, chương trình JăvăScript độc phải có khả tự lây lan Có nghĩă là, xem profile bị nhiễm, không profile họ bị chỉnh sửa mà worm cũng sẽ lây lan đến profile họ, lây lăn đến người vào xem profile người vừa nhiễm Bằng cách này, nhiều người xem profile bị nhiễm thì worm sẽ lây lan nhanh Đây xác chế được dùng bởi Samy Worm: vòng 20 giờ phát tán ngàỳ tháng 10 năm 2005, có triệu người dùng bị nhiễm, làm cho Samy trở thành trọng virus máy tính lây lan với tốc độ nhanh thời đại Nhiệm vụ: Ta cần tạo worm vậy, lây nhiễm profile nạn nhân 42 Các bước làm: B1: tương tự câu trên, sửa lại profile Samy với chương trình worm tự lây lan 43 44 B2: sử dụng tài khoản bất kì để vào xem profile Samy 45 Profile Charlie trắng Sau vào xem profile Samy, Charlie bị dính worm 46 Tiếp tự thử với Alice, 47 Đến xem Charlie thì cũng bị dính ln 48 Kết quả tương tự Charlie 49 ... cookie bạn? Có nhiều cách để hacker làm việc đó, ở xin trình bày cách mà hacker thường dùng, họ nhờ vào lỗi Cross Site Scripting( XSS) Cross- Site Scripting (XSS) kĩ thuật công phổ biến nay,... XPATH injection.v.v Trong báo cáo nhóm xin phép tập trung trình bày lỗ hổng bảo mật liên quan đến công Cross- Site Scripting, tương quan khái niệm, cách thức kẻ công hoạt động, hậu quả... mật thường bị công vào năm 2009 10 Hình Thống kê lỗ hổng phổ biến Cross- Site Scripting (XSS) chiếm tỉ lệ cao so với phương pháp công khác Kĩ thuật XSS được mô tả lần cách năm (từ năm