Phát hiện, khai thác lỗ hỏng bảo mật trên hệ thống burp suite

TRƯỜNG ĐẠI HỌC KINH TẾ KHOA THỐNG KÊ – TIN HỌC BÁO CÁO THỰC TẬP NGHỀ NGHIỆP NGÀNH HỆ THỐNG THÔNG TIN QUẢN LÝ CHUYÊN NGÀNH QUẢN TRỊ HỆ THỐNG THÔNG TIN PHÁT HIỆN, KHAI THÁC LỖ HỔNG BẢO MẬT TRÊN HỆ THỐNG BURP SUITE Đơn vị thực tập : Trung tâm Phát triển hạ tầng CNTT Đà Nẵng Giáo viên hướng dẫn : TS Phan Đình Vấn 1|Page NHẬN XÉT CỦA ĐƠN VỊ THỰC TẬP i|Page LỜI CẢM ƠN Lời đầu tiên, em xin gửi lời cảm ơn chân thành đến tất quý thầy, cô giảng viên trường Đại học Kinh Tế - Đại học Đà Nẵng suốt trình học tập bảo truyền đạt kiến thức tận tình cho chúng em tận tâm nhiệt tình hướng dẫn tạo điều kiện cho em suốt trình học trường khơng kiến thức chun mơn mà cịn khía cạnh hay sống để chúng em hoàn thiện thân Em xin gửi lời cảm ơn sâu sắc đến giảng viên Phan Đình Vấn tận tình dẫn, giúp đỡ đưa ý kiến nhận xét, ln nhiệt tình nhắc nhỡ để hỗ trợ em suốt q trình hồn thành đề tài báo cáo Em xin gửi lời cảm ơn tới anh Lê Tự Việt Thắng – người trực tiếp hướng dẫn em, toàn anh chị, ban lãnh đạo Trung tâm phát triển hạ tầng CNTT Đà Nẵng tạo điều kiện thuận lợi để em có hội học hỏi tiếp thu nhiều kinh nghiệm chuyên môn cung cấp nhiều tài liệu hướng dẫn giúp em hoàn thành báo cáo thực tập nghề nghiệp Và cuối cùng, muốn gửi lời yêu thương đến gia đình ln hỗ trợ, động viên suốt chặn đường dài vừa qua Vì kiến thức thân cịn nhiều hạn chế, q trình hồn thiện báo cáo khơng tránh khỏi sai sót, kính mong nhận ý kiến đóng góp từ thầy Trung tâm phát triển hạ tầng Em xin chân thành cảm ơn! ii | P a g e LỜI CAM ĐOAN Em xin cam đoan kết đạt báo cáo “Phát hiện, khai thác lỗ hỏng bảo mật hệ thống Burp Suite’’ em nghiên cứu dựa hướng dẫn anh Lê Tự Việt Thắng, thầy TS Phan Đình Vấn anh chị phòng CNTT Đà Nẵng Ngồi khơng có chép người khác Tất tài liệu tham khảo, số liệu trích dẫn có nguồn gốc rõ ràng Em xin chịu trách nhiệm hoàn toàn lời cam đoan Nếu có điều sai trái, em xin chịu kỷ luật theo qui định iii | P a g e MỤC LỤC NHẬN XÉT CỦA ĐƠN VỊ THỰC TẬP i LỜI CẢM ƠN ii LỜI CAM ĐOAN iii MỤC LỤC iv DANH MỤC HÌNH ẢNH vii DANH MỤC BẢNG BIỂU ix DANH MỤC CÁC TỪ VIẾT TẮT x LỜI MỞ ĐẦU CHƯƠNG 1: TỔNG QUAN VỀ PENETRATION TESTING & TRUNG TÂM PHÁT TRIỂN HẠ TẦNG CNTT ĐÀ NẴNG 1.1 Trung tâm phát triển hạ tầng CNTT Đà Nẵng 1.1.1 Về trung tâm phát triển hạ tầng CNTT Đà nẵng 1.1.2 Chức nhiệm vụ 1.1.3 Lĩnh vực, ngành nghề hoạt động 1.1.4 Sơ đồ máy tổ chức 1.2 Tổng quan nghề Penetration Testing 1.2.1 Nghề Penetration Testing gì? 1.2.2 Mục tiêu Penetration testing 1.2.3 Quá trình làm việc Penetration Testing 1.3 Cơ hội việc làm Penetration Testing 1.3.1 Lĩnh vực ứng dụng Penetration Testing 1.3.2 Thách thức hội cho Penetration Testing iv | P a g e 1.3.3 Các kỹ cần có Penetration Testing 1.3.4 Con đường phát triển nghiệp CHƯƠNG 2: CƠ SỞ LÝ THUYẾT VỀ TỔNG QUAN VỀ BẢO MẬT WEBSITE 11 2.1 Khái niệm Website 11 2.1.1 Web Client 11 2.1.2 Web Server 11 2.1.3 Mơ hình Client – Server 12 2.1.4 Giao thức HTTP 12 2.2 Tầm quan trọng bảo mật Web 13 2.3 Các nguy bảo mật ứng dụng Web 14 2.4 Các phương pháp Pentest đặc điểm Pentest Black box 17 2.4.1 Các phương pháp Pentest 17 2.4.2 Đặc điểm Pentest Black box 18 2.5 Nguyên tắc xây dựng hệ thống bảo mật Web 19 CHƯƠNG 3: TRIỂN KHAI HỆ THỐNG PHÁT HIỆN LỖ HỔNG BẢO MẬT TRÊN BURP SUITE 20 3.1 Mơ hình thực nghiệm 20 3.1.1 Máy chủ Web 20 3.1.2 Máy kiểm thử 20 3.2 Tổng quan công cụ Penetration Testing Burp Suite giới thiệu lỗ hổng Burp Suite 20 3.2.1 Tổng quan công cụ Penetration Testing Burp Suite 20 v|Page 3.2.2 Giới thiệu lỗ hỏng Burp Suite 21 3.2.2.1 Lỗ hỏng Business logic 21 3.2.2.2 Giới thiệu lỗ hỏng Authentication 22 Tổng quan tính cấu hình Burp Suite 23 3.3.1 Tổng quan tính 23 3.3.2 Cấu hình khởi động Burp Suite 25 3.4 Triển khai kiểm thử Web Security Academy với Burp Suite 25 3.4.1 Thực nghiệm Pentest Business logic vulnerabilities 25 3.4.1.1 Cấu trúc thư mục Web Security Academy 26 3.4.1.2 Xác định điểm vào Web Security Academy 27 3.4.1.3 Thực công 28 3.4.2 Thực nghiệm Pentest Authentication vulnerabilities với Burp Suite 32 3.4.2.1 Thông tin trang Web chứa lỗ hỏng Authentication 33 3.4.2.2 Đặt phạm vi mục tiêu Target 35 3.4.2.3 Thực công 36 KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 41 TÀI LIỆU THAM KHẢO 43 CHECK LIST CỦA BÁO CÁO 45 vi | P a g e DANH MỤC HÌNH ẢNH Hình 1 Logo Trung tâm Phát triển Hạ tầng Hình Bộ máy tổ chức Trung tâm phát triển hạ tầng CNTT Đà Nẵng Hình Giao thức HTTP 12 Hình Logo Burp Suite 21 Hình 3 Thiết lập Proxy 25 Hình Trang chủ Web 26 Hình Màn hình đăng nhập 26 Hình Tab Sitemap 27 Hình Lịch sử truy cập HTTP 27 Hình Màn hình LOGIN 28 Hình Thêm sản phẩm vào giỏ hàng 28 Hình 10 Lịch sử HTTP request 28 Hình 11 Màn hình Repeater 29 Hình 12 Thay đổi tham số quantity 29 Hình 13 Màn hình thêm áo khoác da vào giỏ hàng 30 Hình 14 Màn hình hiển thị kết sửa quantity 30 Hình 15 Hiển thị kết chỉnh quantity 31 Hình 16 Màn hình hiển thị thành cơng total < store credit 31 Hình 17 Trang Web chứa lỗ hỏng Authentication 34 Hình 18 Màn hình LOGIN web 34 vii | P a g e Hình 19 Lịch sử HTTP 35 Hình 20 Màn hình Site Target 36 Hình 21 Màn hình đăng nhập 36 tên email người dùng 36 Hình 22 Màn hình Email Client 36 Hình 23 Màn hình đăng nhập lại mật 37 Hình 24 Lịch sử truy cập HTTP 37 Hình 25 Màn hình Xóa giá trị 38 temp-forgot-password-tokentham 38 Hình 26 Màn hình điền tên email 38 Hình 27 Màn hình đặt lại mật 38 Hình 28 Màn hình thay đổi tên người dùng Repeater 39 Hình 29 Màn hình đăng nhập 39 Hình 30 Đăng nhập thành cơng 40 viii | P a g e DANH MỤC BẢNG BIỂU Bảng Top 10 OWASP 15 ix | P a g e Hình 15 Hiển thị kết chỉnh quantity  Màn hình hiển thị tổng tiền hàng 48.47 $ thành cơng Hình 16 Màn hình hiển thị thành công total < store credit  Kết luận:  Nguyên nhân: Xâm nhập hệ thống, thực hành động không ủy quyền, lộ thông tin quan trọng sửa đổi liệu, gian lận giao dịch nhiều vấn đề bảo mật khác  Khắc phục: 31 | P a g e - Kiểm tra xác thực liệu đầu vào: Đảm bảo tất liệu đầu vào từ người dùng nguồn bên kiểm tra xác thực cách cẩn thận Điều bao gồm kiểm tra định dạng, phạm vi, giới hạn xử lý giá trị không hợp lệ nguy hiểm - Áp dụng nguyên tắc nguyên tắc "Least Privilege": Cung cấp quyền truy cập khả thực thi theo nhu cầu thực tế người dùng hệ thống Điều đảm bảo khơng có quyền truy cập khơng cần thiết cấp phép, giới hạn khả công kẻ xâm nhập - Kiểm tra xác minh logic cấp cao: Đánh giá kỹ lưỡng kiểm tra luồng logic cấp cao phần mềm ứng dụng Sử dụng phương pháp kiểm thử tự động kiểm thử tay để tìm lỗi, điểm yếu khả công tiềm 3.4.2 Thực nghiệm Pentest Authentication vulnerabilities với Burp Suite Để truy cập vào tài khoản, người dùng phải nhớ tên người dùng mật họ Tuy nhiên, người nhớ tất tài khoản Cũng giống máy, nhiều trường hợp người dùng quên mật (đối với người quên tài khoản, mật khẩu, số điện thoại , email xác nhận) Các nhà cung cấp dịch vụ lên kế hoạch cho kịch Vì vậy, người dùng thơng thường sử dụng tính Qn mật để khôi phục mật Dựa giá trị mã thông báo (token) nhận từ yêu cầu người dùng, hệ thống xác nhận xem có phải mã thơng báo hợp lệ hay khơng sau kiểm tra xem tương ứng với người dùng để đảm bảo chức Các trang web thường không trực tiếp trả lại mật cũ cho người 32 | P a g e dùng người dùng yêu cầu khôi phục mật khẩu, khả kẻ công độc hại Mã xác thực liên kết đặt lại mật gửi tới người dùng phải đặt thành có hiệu lực khoảng thời gian định, khơng chúng bị kẻ cơng đánh cắp Vì kẻ cơng mạo danh người dùng nên liên kết phải định dạng "chống giả mạo " Bởi liên kết tương ứng với người dùng liên kết liên kết đặt lại mật người dùng dễ dàng phân tích, kẻ cơng dễ dàng giả mạo liên kết đánh lừa hệ thống 3.4.2.1 Thông tin trang Web chứa lỗ hỏng Authentication - Trang chủ Web: Gồm mục Home chứa blog, My account nơi đăng nhập tài khoản 33 | P a g e Hình 17 Trang Web chứa lỗ hỏng Authentication - Trang Login đăng nhập tài khoản Hình 18 Màn hình LOGIN web 34 | P a g e 3.4.2.2 Đặt phạm vi mục tiêu Target - Bước 1: Khởi chạy trình duyệt Burp - Bước 2: Đăng nhập vào tài khoản trang Web - Bước 3: Nghiên cứu lịch sử HTTP Trong Burp, chuyển đến tab Proxy > HTTP history Để dễ đọc hơn, tiếp tục nhấp vào tiêu đề cột bên trái ( # ) yêu cầu xếp theo thứ tự giảm dần Bằng cách này, thấy yêu cầu gần Hình 19 Lịch sử HTTP  Lịch sử HTTP hiển thị chi tiết yêu cầu mà trình duyệt thực hiện, bao gồm yêu cầu trang web bên thứ ba mà không quan tâm, chẳng hạn YouTube - Bước 4: Đặt phạm vi mục tiêu Chuyển đến Target > Site map 35 | P a g e Hình 20 Màn hình Site Target 3.4.2.3 Thực công - Bước 1: Vào My Accout > Forgot Password > Điền User: Wiener Hình 21 Màn hình đăng nhập tên email người dùng  Nhấp vào nút Email client để xem email đặt lại mật gửi Nhấp vào liên kết email đặt lại mật Hình 22 Màn hình Email Client 36 | P a g e  Đặt lại mật Hình 23 Màn hình đăng nhập lại mật - Bước 2: Click chuột phải vào phần request qua proxy sau > “Send to Repeater” Hình 24 Lịch sử truy cập HTTP  Xóa giá trị temp-forgot-password-tokentham số URL nội dung yêu cầu 37 | P a g e Hình 25 Màn hình Xóa giá trị temp-forgot-password-tokentham  Reload Web > Yêu cầu tiếp tục Forgot Password Hình 26 Màn hình điền tên email - Bước 3: Tiếp tục vào Email client > Đặt lại mật Hình 27 Màn hình đặt lại mật 38 | P a g e - Bước : Xóa giá trị temp-forgot-password-tokentham số URL nội dung yêu cầu > Thay đổi tên người dùng sang " Carlos" Hình 28 Màn hình thay đổi tên người dùng Repeater - Bước : Đăng nhập tên "Carlos" thay đổi Password đặt lại "giau" Hình 29 Màn hình đăng nhập  Đăng nhập thành cơng vào web 39 | P a g e Hình 30 Đăng nhập thành công  Kết luận:  Nguyên nhân: Quản lý phiếu đặt lại mật không an tồn: Nếu ứng dụng hệ thống lưu trữ thơng tin đặt lại mật cách khơng an tồn, kẻ cơng truy cập sử dụng thông tin để đặt lại mật truy cập trái phép vào tài khoản người dùng  Khắc phục: - Kiểm soát truy cập: Giới hạn quyền truy cập vào thông tin đặt lại mật cho người dùng vai trò cần thiết Điều đảm bảo có người có quyền truy cập cần thiết tiếp cận thơng tin Sử dụng sách quản lý quyền truy cập kiểm soát truy cập vào sở liệu đặt lại mật Phân tách liệu: Tránh lưu trữ thông tin đặt lại mật với thông tin khác, thông tin người dùng hay thông tin cá nhân Phân tách liệu giúp giảm thiểu rủi ro phần hệ thống bị xâm nhập bị lộ thông tin - Ghi nhật ký giám sát: Thực việc ghi nhật ký (logging) giám sát hoạt động liên quan đến thông tin đặt lại mật Việc giúp phát hoạt động đáng ngờ xâm nhập cung cấp liệu hữu ích cho q trình điều tra phân tích sau 40 | P a g e KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN Những vấn đề đạt Có kiến thức Penetration Testing, lộ trình hướng phát triển nghề nghiệp Qua đề tài nắm lỗ hỏng bảo mật hay gặp hệ thống ứng dụng Web thấy an tồn thơng qua cơng Business Logic Authentication Tìm nguyên nhân gây an tồn thơng tin lỗ hỏng hướng khắc phục công Những hạn chế Hạn chế lớn đề tài việc thực đầy đủ tất hình thức cơng mà demo phần nhỏ hình thức cơng Business Logic Authentication Hiểu rõ giao thức mạng có kiến thức chuyên sâu vấn đề an ninh mạng cần nhiều thời gian Hướng phát triển Từ lỗ hỏng tìm rút nguyên nhân lỗ hỏng, thân cần học thêm biện pháp khắc phục đề phịng cơng xảy từ xây dựng hệ thống giám sát với mục đích:  Phát xâm nhập phản ứng: giám sát phân tích kiện bảo mật từ nguồn khác logs hệ thống, công mạng, hành vi đáng ngờ triển khai ứng dụng Hệ thống cảnh báo phản ứng phát mơ hình cơng định nghĩa trước  Phân tích hệ thống logs: Thu thập, xử lý phân tích logs từ hệ thống ứng dụng Nó cung cấp khả tìm kiếm, truy vết phân tích 41 | P a g e logs để phát hành vi bất thường, lỗ hổng bảo mật vấn đề khác liên quan đến bảo mật Tìm hiểu cơng thêm nhiều hình thức để có kiến thức tổng quan tất hình thức công mạng 42 | P a g e TÀI LIỆU THAM KHẢO [1] Tác giả V News, “Tấn công mạng vào sở trọng yếu gia tăng tháng cuối năm” [2] Tác giả J Techworld., Kiểm thử xâm nhập (Penetration Testing) ?, [Online] Available: https://techworldvn.com/kiem-thu-xam-nhap-penetrationtesting-la-gi/ [3] Tác giả TECHWEBVIET, Cách thức giao tiếp máy chủ trang web, [Online] Available: https://www.topwebviet.com/cach-thuc-giao-tiep-giua-trinh-duyetweb-voi-may-chu-web.html [4] Tác giả VIETNIX, HTTP gì? Phân biệt HTTP HTTPS, [Online] Available: https://vietnix.vn/http-la-gi/ [5] Tác giả ATP, Session Cookie hoạt động nào?, [Online] Available: https://atpweb.vn/session-cookie-la-gi/ [6] OWASP, OWASP Top Ten, [Trực tuyến] Available: https://owasp.org/wwwproject-top-ten/ [7] Tác giảWEBSITEHCM, C.I.A (confidentiality, integrity availability) ?, [Online] Available: https://websitehcm.com/c-i-a-confidentiality-integrityva-availability-la-gi/ [8] Tác giả SecurityBox, Mục tiêu ngun tắc xây dựng hệ thống an tồn thơng tin doanh nghiệp, [Online] Available: https://securitybox.vn/4365/muctieu-va-nguyen-tac-xay-dung-thong-toan-thong-tin-trong-doanh-nghiep/ 43 | P a g e [9] Tác giả Bizflycloud, Burp suite gì? Những tính bật Burp suite, [Online].Available:https://bizflycloud.vn/tin-tuc/burp-suite-la-gi20210923115858755.htm 44 | P a g e CHECK LIST CỦA BÁO CÁO STT Nội dung cơng việc Có Báo cáo trình bày (định dạng) với yêu cầu X Báo cáo có số lượng trang đáp ứng yêu cầu (30-50 trang) X Báo cáo trình bày phần mở đầu bao gồm: Mục tiêu, Phạm vi đối tượng, kết cấu … X Báo cáo trình bày cơng ty, vị trí việc làm (cơng việc làm gì, kiến thức kỹ cần thiết gì, đường phát triển nghiệp (career path)), sở lý thuyết phù hợp với nội dung đề tài (Tối đa 10-12 trang) X Báo cáo có sản phẩm cụ thể phù hợp với mục tiêu đặt đề tài X Báo cáo có phần kết luận hướng phát triển đề tài X Không Ghi 45 | P a g e