BÁO cáo môn học THỰC tập cơ sở đề tài một số kĩ THUẬT đảm bảo AN TOÀN THÔNG TIN CHO WEBSITE

HỌC VIỆN KỸ THUẬT MẬT MÃ BÁO CÁO MÔN HỌC THỰC TẬP CƠ SỞ ĐỀ TÀI MỘT SỐ KĨ THUẬT ĐẢM BẢO AN TỒN THƠNG TIN CHO WEBSITE Sinh viên thực hiện: Dương Văn Minh AT160726 Nguyễn Văn Anh AT160701 Mai Văn Thắng AT160744 Nhóm 57 Giảng viên hướng dẫn: TS Phạm Văn Hưởng TIEU LUAN MOI download : skknchat123@gmail.com moi nhat TIEU LUAN MOI download : skknchat123@gmail.com moi nhat LỜI CẢM ƠN Để có thành ngày hơm nay, ngồi nỗ lực khơng ngừng nghỉ thành viên nhóm phần khơng nhỏ đóng góp nên thành cơng nhờ quan tâm, bảo, giúp đỡ thầy cơ, anh chị khóa bạn bè xung quanh Chúng em xin chân thành cảm ơn thầy Phạm Văn Hưởng – giảng viên trực tiếp hướng dẫn, bảo, tạo điều kiện thuận lợi giúp đỡ chúng em trình thực đề tài Tuy có nhiều cố gắng nỗ lực thành viên để hoàn thiện đề tài, chắn đề tài “ MỘT SỐ KĨ THUẬT ĐẢM BẢO AN TỒN THƠNG TIN TRONG WEBSITE ” chúng em cịn nhiều thiếu sót Chúng em mong nhận góp ý từ thầy giáo để nhóm em hồn thiện tốt đề tài nghiên cứu sau Chúng em xin chân thành cảm ơn! Hà Nội, ngày 24 tháng năm 2022 Nhóm sinh viên thực đề tài Nhóm 57 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat MỤC LỤC LỜI CẢM ƠN MỤC LỤC CHƯƠNG TỔNG QUAN VỀ TẤN CÔNG LỖ HỔNG BẢO MẬT WEBSITE 1.1 Tổng quan công nghệ Web 1.1.1 Giới thiệu chung .7 1.1.2 Dịch vụ chế hoạt động Web 10 1.1.3 Công nghệ Web 2.0 3.0 11 1.1.4 Ưu điểm hạn chế Web app 11 1.2 Một số phương thức công lỗ hổng bảo mật Website 12 1.2.1 Giới thiệu chung 11 1.2.2 Các phương thức công lỗ hổng bảo mật Website 12 1.2.3 Nhận xét đánh giá 12 1.3 Một số nguyên nhân gây lỗ hổng bảo mật Website 13 1.2.1 Nguyên nhân tảng xây dựng website 11 1.2.2 Nguyên nhân hạ tầng cung cấp hạ tầng web 12 1.2.3 Nguyên nhân người vận hàng sử dụng dịch vụ web 12 1.4 Kết luận 20 CHƯƠNG NGHIÊN CỨU GIẢI PHÁP PHÁT HIỆN LỖ HỔNG BẢO MẬT WEBSITE 20 2.1 Tổng quan phát hiên lỗ hổng bảo mật Website 20 2.1.1 Giới thiệu chung 11 2.1.2 Cơ chế mô hình phát lỗ hổng bảo mật Website 11 2.2 Giải pháp sử dụng cơng cụ phần mềm dị qt 21 2.2.1 Giới thiệu giải pháp 11 2.2.2 Một số phần mềm phát lỗ hổng bảo mật Website 11 2.2.3 Nhận xét 11 2.3 Giải pháp sử dụng hệ thống phát 25 2.3.1 Giới thiệu chung 25 2.3.2 Ứng dụng hệ thống IDS phát xâm nhập 11 2.3.3 Nhận xét 11 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 2.4 Kết luận 32 CHƯƠNG THỰC NGHIỆM 24 3.1 Cài đặt phầm mềm 24 3.2 Tiến hành quét 24 3.3 Kết thực nghiệm 24 3.3 Kết luận 24 DANH MỤC CÁC TÀI LIỆU THAM KHẢO 25 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat DANH SÁCH CÁC HÌNH VẼ TIEU LUAN MOI download : skknchat123@gmail.com moi nhat MỞ ĐẦU 1.Tính cấp thiết đề tài Ngày công nghệ thông tin công nghệ mũi nhọn chiến lược phát triển kinh tế, xây dựng đất nước hầu hết quốc gia Các sản phẩm công nghệ thông tin ứng dụng rộng rãi lĩnh vực đời sống kinh tế, xã hội hầu hết đem đến giá trị thiết thực Đối tượng phục vụ chủ yếu ngành công nghệ thơng tin tổ chức, sở doanh nghiệp… Bảo mật luôn vấn đề hàng đầu cho tất loại ứng dụng, đặc biệt website Từ ngày đầu Internet người ta quan tâm đến tính an tồn trao đổi thơng tin Tuy khơng có an toàn tuyệt đối phát triển lĩnh vực nhanh mang lại nhiều thành vấn đề cấp bách nhiều doanh nghiệp Khơng có mức an tồn thích hợp, khai thác thương mại Internet khơng hồn tồn an tồn Chính an tồn Web mạng khơng thể nằm ngồi vấn đề Có thể nói ngày ngồi việc nghiên cứu để tạo Website tốt mang lại nhiều lợi ích việc nghiên cứu để mang lại an toàn cho Website vấn đề quan trọng Thật khó tin tưởng để sử dụng dịch mua hàng giao diện website, chuyển tiền trực tuyến website không đảm bảo mức độ an tồn tối đa Vì em chọn đề tài để báo cáo cho môn thực tập sở “Một số kĩ thuật đảm bảo an tồn thơng tin cho Website” Đề tài tập trung sâu vào tìm hiểu lỗ hổng kĩ thuật công website vấn đề bảo mật liên quan, sử dụng ứng dụng mã nguồn mở có tên VEGA để phân tích lỗ hổng giải tốn đề Mục đích nghiên cứu Mục đích nghiên cứu đề tài nghiên cứu phát lỗ hổng bảo mật website thử nghiệm số giải pháp phát lỗ TIEU LUAN MOI download : skknchat123@gmail.com moi nhat hổng bảo mật website thường gặp Đối tượng phạm vi nghiên cứu Đối tượng phạm vi nghiên cứu luận văn nghiên cứu giải pháp công cụ phát lỗ hổng bảo mật website Phương pháp nghiên cứu - Về mặt lí thuyết : Thu thập, khảo sát, phân tích tài liệu thơng tin có liên quan đến phát lỗ hổng bảo mật website - Về mặt thực nghiệm : Tiến hành phát lỗ hổng bảo mật ứng dụng Vega xây dựng số chương trình Kết cấu luận văn gồm chương với nội dung sau: Chương 1: Tổng quan Chương 2: Nghiên cứu giải pháp Chương 3: Thử nghiệm Trong chương tiến hành tìm kiếm thử nghiệm phát số dạng lỗ hổng bảo mật website vấn đề liên quan TIEU LUAN MOI download : skknchat123@gmail.com moi nhat CHƯƠNG TỔNG QUAN VỀ TẤN CÔNG LỖ HỔNG BẢO MẬT WEBSITE Nội dung chương khảo sát tổng quan công nghệ web, số phương thức công lỗ hổng bảo mật website, số nguyên nhân gây lỗ hổng bảo mật website vấn đề khác liên quan 1.1 Tổng quan công nghệ Web 1.1.1 Giới thiệu chung Trang web (web page) mạng Internet nơi giới thiệu thông tin, hình ảnh doanh nghiệp sản phẩm, dịch vụ doanh nghiệp (hay giới thiệu thông tin gì) để khách hàng truy cập nơi đâu, lúc Website tập hợp nhiều trang web Khi doanh nghiệp xây dựng website nghĩa xây dựng nhiều trang thông tin, catalog sản phẩm, dịch vụ, Để tạo nên website cần phải có yếu tố [1]:  Cần phải có tên miền (domain)  Nơi lưu trữ website (hosting)  Nội dung trang thông tin (web page) Một số thuật ngữ bản: Website động (Dynamic website) website có sở liệu, cung cấp công cụ quản lý website (Admin Tool) Đặc điểm website động tính linh hoạt cập nhật thông tin thường xuyên, quản lý thành phần website dễ dàng Loại website thường viết ngơn ngữ lập trình PHP, Asp.net, JSP, Perl, , quản trị Cơ sở liệu SQL MySQL Website tĩnh lập trình ngơn ngữ HTML theo trang brochure, khơng có sở liệu khơng có cơng cụ quản lý thông tin website Thông thường website tĩnh thiết kế phần mềm FrontPage, Dreamwaver, Đặc điểm website tĩnh thay đổi nội dung, TIEU LUAN MOI download : skknchat123@gmail.com moi nhat thay đổi nội dung thường liên quan đến thay đổi văn kèm thể nội dung Hiện nay, hầu hết doanh nghiệp sử dụng website động, hệ công nghệ website người biết đến web 2.0 [1] - Tên miền (domain): Tên miền địa website, internet tồn địa (tức tồn tên miền) Có loại tên miền: - Tên miền Quốc tế: tên miền có dạng com; net; org; biz; name - Tên miền Việt Nam: tên miền có dạng vn; com.vn; net.vn; org.vn; gov.vn; - Lưu trữ website: Dữ liệu thông tin website phải lưu trữ máy tính (máy chủ - server) ln hoạt động kết nối với mạng Internet Một server lưu trữ nhiều website, server bị cố chẳng hạn tắt thời điểm khơng truy cập website lưu trữ server thời điểm bị cố - Tùy theo nhu cầu lưu trữ thông tin mà doanh nghiệp th dung lượng thích hợp cho website [thuê dung lượng host] - Dung lượng host: Là nơi để lưu sở liệu website (hình ảnh, thông tin, …), đơn vị đo dung lượng thường MB GB - Băng thông hay dung lượng đường truyền: Là tổng số MB liệu tải lên máy chủ tải từ máy chủ (download, upload) nơi đặt website, đơn vị đo thông thường MB/giây 1.1.1.1 Khái niệm ứng dụng website Web app (Web application) chương trình ứng dụng lưu trữ máy chủ từ xa phân phối Internet thơng qua trình duyệt có Giao diện người dùng Web app thường xây dựng ngơn ngữ lập trình HTML, CSS, Javascript Khác với ứng dụng dành cho thiết bị di động, khơng có SDK cụ thể để phát triển Web app Ngoài ra, thành phần Website thực số chức cho người dùng đủ điều kiện Web app Ví dụ: mua hàng, tính tiền, tốn,… Các Web App thiết kế cho nhiều mục đích sử dụng khác sử dụng từ tổ chức đến cá nhân Một số ví dụ điển hình TIEU LUAN MOI download : skknchat123@gmail.com moi nhat Hình 3.7 Sau ấn ctrl O + Enter + ctrl X để lưu Thực lệnh để hồn tất việc cài JDK : sudo update-alternatives install "/usr/bin/java" "java" "/usr/lib/jvm/jdk1.8.0_333/bin/java" sudo update-alternatives install "/usr/bin/javac" "javac" "/usr/lib/jvm/jdk1.8.0_333/bin/javac" sudo update-alternatives set java /usr/lib/jvm/jdk1.8.0_333/bin/java sudo update-alternatives set javac /usr/lib/jvm/jdk1.8.0_333/bin/javac update-alternatives list java update-alternatives list javac 40 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 41 Hình 3.8 Khi cài xong JDK ta cần chuyển đổi từ JDK 11 sang JDK để chạy Vega Ta thực lệnh: sudo update-alternatives config java Và chọn mode để chuyển sang JDK 41 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat Hình 3.9 3.1.2.2 Cài đặt libwebkitgtk - Trước cài libwebkitgtk ta cần cài file sources.list - Thực tạo file deb9.list sudo nano /etc/apt/sources.list.d/deb9.list Sau lưu liệu vào file : deb http://deb.debian.org/debian/ stretch main contrib non-free deb-src http://deb.debian.org/debian/ stretch main contrib non-free deb http://security.debian.org/ stretch/updates main contrib non-free debsrc http://security.debian.org/ stretch/updates main contrib non-free Hình 3.10 Nhấn tổ hợp Ctrl S + Ctrl X để lưu Sau cần update lại thực cài libwwebkitgtk sudo apt-get update sudo apt-get install libwebkitgtk-1.0 3.1.2.3 Cài đặt vega - Tạo mở thư mục Respon để lưu file VegaBuild- linux.gtk.x86_64.zip 42 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 43 Hình 3.11 Mở link https://subgraph.com/vega/download.html chọn dowload để lấy copy link download phiên Linux GTK 64-bit Intel(sig) Hình 3.12 43 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat - Dùng Wget để tải vega từ https://subgraph.com/ wget https://support.subgraph.com/downloads/VegaBuild-linux.gtk.x86_64.zip Hình 3.14 Thực unzip file VegaBuild-linux.gtk.x86_64.zip unzip VegaBuild-linux.gtk.x86_64.zip Hình 3.9 Để mở vega ta thực : Hình 3.16 44 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 45 3.2 Tiến hành : Chúng ta tiến hành quét số trang Web hành xem thu kết - Thực quét trang web vega: Trang mạng xã hội Facebook https://www.facebook.com/ Trang web ngân hàng quân đội MBBANK https://mbbank.com.vn Trang web sàn thương mai điện tử TIKI https://tiki.vn Trang web quản lý sinh viên trường Học Viện Kỹ Thuật Mật Mã http://qldt.actvn.edu.vn số trang web dùng để thực hành khai thác lỗi http://testphp.vulnweb.com http://demo.testfire.net 3.3 Kết thực nghiệm : - Kết quét trang web Trang mạng xã hội tiếng Facebook https://www.facebook.com/ Trang web ngân hàng quân đội MBBANK https://mbbank.com.vn 45 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat Trang web sàn thương mai điện tử TIKI https://tiki.vn Trang web quản lý sinh viên trường Học Viện Kỹ Thuật Mật Mã http://qldt.actvn.edu.vn 46 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 47 số trang web dùng để thực hành khai thác lỗi http://testphp.vulnweb.com 47 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat http://demo.testfire.net Trang web thực nghiệm https://www.facebook.com/ https://mbbank.com.vn https://tiki.vn http://qldt.actvn.edu.vn http://testphp.vulnweb.com http://demo.testfire.net 48 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 49 3.4 Kết đánh giá Trong chương , nghiệm thu thử nghiệm lỗ hổng thường gặp số Website thông dụng nay, thời gian thực quét chúng phần mềm Vega Từ xây dựng giải pháp kịp thời, cách sử dụng để truy cập sử dụng trang Website cách hợp lý cho nhân doanh nghiệp 49 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat TÀI LIỆU THAM KHẢO Trang Web [1] http://bkav.com.vn/ [2] https://github.com/subgraph/Vega/wiki/Vega-Scanner [3] https://subgraph.com/vega/ [4] https://www.mi2.com.vn/cac-cong-cu-quet-lo-hong-bao-mat-website-tot-nhathien-nay/ [5] “Phân loại phát lỗ hổng hệ thống thơng tin”, Tạp chí An tồn thơng tin 2014 [6] Jason Weir (2014) - “Building a Debian\Snort based IDS”, McGraw-Hill [7] http://vncert.gov.vn 50 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 51 Hà Nội, ngày 24 tháng năm 2022 XÁC NHẬN CỦA GIẢNG VIÊN HƯỚNG DẪN 51 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 52 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 53 53 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat 54 TIEU LUAN MOI download : skknchat123@gmail.com moi nhat ... cáo cho môn thực tập sở ? ?Một số kĩ thuật đảm bảo an tồn thơng tin cho Website? ?? Đề tài tập trung sâu vào tìm hiểu lỗ hổng kĩ thuật công website vấn đề bảo mật liên quan, sử dụng ứng dụng mã nguồn... quan trọng Thật khó tin tưởng để sử dụng dịch mua hàng giao diện website, chuyển tiền trực tuyến website khơng đảm bảo mức độ an tồn tối đa Vì em chọn đề tài để báo cáo cho môn thực tập sở ? ?Một. .. hoàn thiện đề tài, chắn đề tài “ MỘT SỐ KĨ THUẬT ĐẢM BẢO AN TỒN THƠNG TIN TRONG WEBSITE ” chúng em nhiều thiếu sót Chúng em mong nhận góp ý từ thầy giáo để nhóm em hồn thiện tốt đề tài nghiên