Nghiên cứu các kỹ thuật kiểm thử xâm nhập web và ứng dụng sử dụng Burp Suite

HỌC VIEN CÔNG NGHỆ BƯU CHÍNH VIỄN THONG KHOA AN TOÀN THÔNG TIN DE TAI NGHIEN CUU CAC KY THUAT KIEM THU XAM NHAP WEB VA UNG DUNG SU DUNG BURP SUITE Lé Thi Linh Ha Nội, thang 1 năm 2024 HỌC VIEN CÔNG NGHỆ BƯU CHÍNH VIỄN THONG KHOA AN TOÀN THÔNG TIN Đề tài: “Nghiên cứu các kỹ thuật kiểm thử xâm nhập web và ứng dụng sử dụng Burp Suite” Giảng viên hướng dẫn : ThS Ninh Thị Thu Trang Sinh viên thực hiện : Lê Thị Linh Mã sinh viên : BI9DCATIII : DI9CQAT03-B : 2019 - 2024 : Đại học chính quy Hà Nội, thắng 1 năm 2024 Đồ án tốt nghiệp đại học Lời cam đoan LỜI CAM ĐOAN Tôi xin cam đoan rang đồ án tốt nghiệp “Nghién cứu các kỹ thuật kiểm thử xâm nhập web và ứng dung sử dung Burp Suite” là công trình nghiên cứu của bản thân mình Những phần có sử dụng tài liệu tham khảo có trong đồ án đã được liệt kê và nêu rõ tại phần tài liệu tham khảo Đồng thời những số liệu hay kết quả trình bày trong đồ án đều mang tính chất trung thực, không sao chép, đạo nhái Nếu như sai, tôi xin chịu hoàn toàn trách nhiệm và chịu tất cả các kỷ luật của khoa cũng như nhà trường đề ra Hà Nội, thang | năm 2024 Sinh viên thực hiện Lê Thị Linh ——-_-ỶỶỶ -n-Ỷ-=n-sT-Ỷ-s==Ỷ-==Ỷ-==ễỶ-.-sr-sễïFrỶ.-sễỶïỶïrỶ-r-ỶrỶẳỶr-.ễr.-.-.-.-.-r-.-.-c-Ỷ-Ỷ-s-Ỷ-Ỷïr-.-.-.-.-.-.-.ỶễỶễỶễỶïỶr-r Lê Thị Linh - BI9DCATIII 1 Đồ án tốt nghiệp đại học Lời cảm ơn LỜI CẢM ƠN Đề hoàn thành tốt đồ án tốt nghiệp này, ngoài sự nỗ lực của bản thân, em còn nhận được sự quan tâm, giúp đỡ của các thầy cô và bạn bè Lời đầu tiên, em xin chân thành gửi lời cảm ơn tới các thầy cô giảng viên tại Học Viện Công Nghệ Bưu Chính Viễn Thông, và các thầy cô trong Khoa An toàn thông tin đã giúp cho em có kiến thức nền tảng đề thực hiện đề tài này Đặc biệt, em xin gửi lời cảm ơn và lòng biết ơn sâu sắc nhất tới cô ThS Ninh Thị Thu Trang đã góp ý, hướng dẫn em trong suốt quá trình thực hiện đề tài này Cô đã trực tiếp hướng dẫn tận tình, sửa chữa và đóng góp nhiều ý kiến quý báu giúp em hoàn thành tốt báo cáo đồ án của mình Một lần nữa em xin chân thành cảm ơn cô và chúc cô luôn đồi dào sức khỏe Trong thời gian thực hiện đồ án, em đã vận dụng kiến thức nền tảng đã tích lũy đồng thời kết hợp với việc học hỏi và nghiên cứu những kiến thức mới từ thầy cô, bạn bè và cũng như từ nhiều nguồn tham khảo Nhờ đó mà em đã có thể hoàn thành đồ án một cách tốt nhất Tuy nhiên, vì kiến thức chuyên môn còn hạn chế và bản thân em còn nhiều thiếu sót, em rat mong nhận được sự góp ý, chỉ bảo thêm từ quý thầy cô dé hoàn thiện những kiến thức còn thiếu, dé em có thé dùng làm hành trang thực hiện tiếp các đề tài khác trong tương lai, cũng như là trong học tập hoặc làm việc sau nay Một lần nữa, em xin được bày tỏ lòng biết ơn và tri ân sâu sắc đến các Thầy Cô, bạn bè, gia đình, những người luôn hỗ trợ và sẵn sàng giúp đỡ em trong suốt thời gian qua Hà Nội, tháng | năm 2024 Sinh viên thực hiện Lê Thị Linh ——-_-ỶỶỶ -n-Ỷ-=n-sT-Ỷ-s==Ỷ-==Ỷ-==ễỶ-.-sr-sễïFrỶ.-sễỶïỶïrỶ-r-ỶrỶẳỶr-.ễr.-.-.-.-.-r-.-.-c-Ỷ-Ỷ-s-Ỷ-Ỷïr-.-.-.-.-.-.-.ỶễỶễỶễỶïỶr-r Lê Thị Linh - BI9DCATIII 1 Đồ án tốt nghiệp đại học Mục lục MỤC LỤC LOI CAM ĐOAN . 5: 222 2221122221222 2T rre i LOL CAM 0U ii 0095001 , ili DANH MỤC HINH VE ccccscsscsssscsesscsesucscsucscsucecsucecsvcacsucassusacsesacavavsvsvsusesecacecacavavavavevees Vv DANH MỤC BANG BIÊU 5:-252:22222221222111221122111221112211122 1 re vii DANH MỤC TU VIET TẮTT .- 5c t2E9E12E9E12E5E12E5E121E21215E12121111111111111111e112xeEEviii (9010.0 0 1 5 | CHƯƠNG 1: TONG QUAN VE KIEM THU XÂM NHẬP WEEB .-.-.2.s.cz.s.xc.5c.: 2 1.1 _ Tổng quan về ứng dụng web .2.+ +.5++.+2+.E9E.E9.EEE.EEE.EE2.E1.221.217-12-112-1 2-12-1 x- 2 1.1.1 Giới thiệu ứng dụng Web c h H T .n.g kg k et 2 1.1.2 Thực trạng vấn đề bảo mật ứng dụng web .-s.cc.s.e s.s.s.s.n.e.e.-ke, 5 1.2 Tổng quan về Kiểm thử xâm nhập .2.2.2.+x+.EE.+2E.£E.E£E.ZE.EEE.zEe.EE-zEr-rk-rre-es 6 1.2.1 _ Giới thiệu kiểm thử xâm nhập 2 2 2+.E+£.E£.EE.+E.E£.E+E.eE.EE.zE-err-rx-rr+rr-ee 6 1.2.2 _ Giới thiệu kiểm thử xâm nhập ứng dụng web 2-.5:.s.c.s+.cz.+z.cc.sz-xe-z 7 1.2.3 Quy trình kiểm thử xâm nhập ứng dung web - 2 +c.+c.z.+z.+x.zz.sc-xe-z 7 1.2.4 Cac công cụ kiểm thử xâm nhập ứng dụng web 2.s c.e c-e- 10 Kết chương Ì -. :-©5¿52+S-x+-zz2+-xd45 Hình 4.3: Giao diện g1ỏ hàng - c1 0112111211191 1 9111911 0111111 HH HH 45 Hình 4.4: Giao điện phần bình luận sản phẩm 2-.2 + 5+.2.+E.+E£.+E.£Ez.Ee.EEz.Er.xer.er-ed 46 Hình 4.5: Giao diện xem thông tin người dùng .-. -. c.3.+ + EE.see.Ee.eer.eer.rs.eer-es 46 Hình 4.6: URL có phan mở rộng tiết lộ ngôn ngữ lập trình 2.-.5 2.2 z+.s.+s.zx.+-c+-2 47 Hình 4.7: Nhập link của ứng dụng web cần quét lỗ hỗng 22 5.2.+2.+£.+£-z£-zE-z£-+ 50 Hình 4.8: Cau hình quét lỗ hồng tự động -2- ++S2+S++E£EE£EE£EE+EEEEEEEEEEEEErErrrrreg 51 Hình 4.9: Kết quả của quét tự động ứng dụng web bán sach c.ceceececcsceseseeseseseeeseseeeees 51 Hình 4.10: Các van đề của ứng dụng được tìm thay sau khi quét tự động 52 Hình 4.11: Gợi ý về vị tri phát hiện lỗ hồng SQL injection 2.-.5-.5 2.52.+s.+£.+£.sz.zz-£+ 53 Hình 4.12: Lỗi khi thử số cột là 3 2-.2 ©.s 2S.2E.22E2.2E1.221.2212.71E.2121.271.217.1211.21-1.1-r-e.53 Hình 4.13: Tìm được số cột của truy vấn là 4 sec E1 EE111111171111111111111r1re1e 53 Hình 4.14: Tìm được phiên ban của CSDLL .-. .5 2c.2.+1.E +.3 +3 S.E n g 54 Hình 4.15: Tìm được tên CSDL là “website” ieee 20111111111111111 k1 g 54 ——-_-ỶỶỶ -n-Ỷ-=n-sT-Ỷ-s==Ỷ-==Ỷ-==ễỶ-.-sr-sễïFrỶ.-sễỶïỶïrỶ-r-ỶrỶẳỶr-.ễr.-.-.-.-.-r-.-.-c-Ỷ-Ỷ-s-Ỷ-Ỷïr-.-.-.-.-.-.-.ỶễỶễỶễỶïỶr-r Lê Thị Linh - B19DCAT111 V Đồ án tốt nghiệp đại học Danh mục Hình 4.16: Kết quả tìm được danh sách các bảng có trong CSDL website - 55 Hình 4.17: Kết quả tìm được tên các cột trong bảng ““accOuniS” 2.s.+.cx.+c.sz.xe-cx-d 56 Hình 4.18: Tìm được danh sách các USERNAME và PASSWORD cc.+ 57 Hình 4.19: Nội dung file expoIf.pH .- - - - c2 2 121112111211 21 119v ng kg kg key 58 Hình 4.20: Trang web chỉ chấp nhận file hình ảnh ¿.2 S2 2+.E+.£+.££.zE.zE-££-zz-zx2cz-+ 58 Hình 4.21: Sửa tên file và chèn payload vào trong requ€Sf . .- + s.s+.sv.s.ss.se.s 59 Hình 4.22: Tải file khai thác lên thành công -.- .5.c 32+.33.21.132.EE.2E.EES.EE.EEe.rr.eer.es.see-rs 59 Hình 4.23: Mở file khai thác trên ứng dụng web .- c t1 v1.1 v n r.e-n 60 Hình 4.24: Thông báo lỗi khi nhập số sản phẩm âm 2.-2.-.52.52 £.E+.E£.£E.+£.zE.ez.sz.ed 60 Hình 4.25: Quan sát request chứa tham số số lượng 2.-.2 5+.+s.+2.2+.E+.£++.E+.zx.zxe-zx-ss-ez 61 Hình 4.26: Chỉnh sửa số lượng sản pham trong request và quan sát response 61 Hình 4.27: Thêm sản phẩm với số lượng âm thành công 2.2.2.2.2+.x+.z+.+E-+£-zz-e+ 62 Hình 4.28: Thông báo lỗi khi thanh toán số tiền âm 2 5.25.2 +£.+£.£+E.+E.+£-zzz-Ez-zz 62 Hình 4.29: Thêm sản phẩm khác vào giỏ hàng 2.-2.2 22s.+.E£E.E+E.£E.£EE.zE.+Ev.EzE.rr.rre-es 62 Hình 4.30: Dat hang thành công .- c2 222112111231 1211 1911111111111 111811 1H vn re 63 Hình 4.31: Câu truy vấn gỐc + ¿.52.s.2 EEE1.2112.112.1211.221.2112.111.1112.112.1111.1 2-11-11-12-6 64 Hình 4.32: Dé xuất biện pháp khắc phục .+: 2 22 2+.+E.£E.E+E.E+E.£E.EEE.+EE.EE.EEr.Err.er-xrx-rrr-rx 64 Hình 4.33: Mã nguôồn ban đầu .2-.2 s+S.2+E2.ESE.E2E.12E.12E.121.571.2112.112.111.211.211.11 2-11-11- -cre 65 Hình 4.34: Dé xuất khắc Phuc ccccccccsscsssessessessessesssssessessessessssssssssessessessessessssessesesaess 65 Hình 4.35: Doan mã thêm sản phẩm .2.-2.2.© 2E2.E£2.EE£.EE£.EE£.EEE.EEE.EEE.EEE.EEE.EEE.rrk.err-red 66 Hình 4.36: Biện pháp khắc phục .+:.5£.2S2.2E£.+EE.2E.E£E.EEE.EEE.EE2.E21.12.112.217-1 2-11-21-1¿ -ce,66 ——-_-ỶỶỶ -n-Ỷ-=n-sT-Ỷ-s==Ỷ-==Ỷ-==ễỶ-.-sr-sễïFrỶ.-sễỶïỶïrỶ-r-ỶrỶẳỶr-.ễr.-.-.-.-.-r-.-.-c-Ỷ-Ỷ-s-Ỷ-Ỷïr-.-.-.-.-.-.-.ỶễỶễỶễỶïỶr-r Lê Thị Linh - B19DCAT111 vi Đồ án tốt nghiệp đại học Danh mục DANH MỤC BANG BIEU Bang 1.1: Bảng đánh giá các công cụ kiểm thử xâm nhập 2-.2 ¿+.5 2.+£.+£.zz.zx.zz-+ II Bảng 2.1: Bảng so sánh các phương pháp nỗi tiếng trong kiểm thử xâm nhập 18 Bảng 2.2: Các biến cần xem xét khi phân tích mã nguồn của các ngôn ngữ 28 Bang 2.3: Dấu phân cách thư mục trong các hệ điều hành -.2 2.2.+s.2+.x+.£z.zz.zz-+ 31 ——-_-ỶỶỶ -n-Ỷ-=n-sT-Ỷ-s==Ỷ-==Ỷ-==ễỶ-.-sr-sễïFrỶ.-sễỶïỶïrỶ-r-ỶrỶẳỶr-.ễr.-.-.-.-.-r-.-.-c-Ỷ-Ỷ-s-Ỷ-Ỷïr-.-.-.-.-.-.-.ỶễỶễỶễỶïỶr-r Lê Thị Linh - B19DCAT111 vii Đồ án tốt nghiệp đại học Danh mục TỪ VIẾT TẮT DANH MỤC TỪ VIẾT TẮT TIENG VIET TIENG ANH API Application Programming Giao diện lập trình ứng dụng Interface CSDL Database Cơ sở dữ liệu CSRF Cross-Site Request Forgery Tan công gia yêu cầu mạo chéo trang CVE Common Vulnerabilities and Các loại rủi ro phố biến Exposures HTTP Hyper Text Transfer Protocol Giao thức truyền siêu văn bản OSSTMM Open Source Security Testing Số tay phương pháp kiểm thử Methodology Manual bao mật mã nguồn mở OTG OWASP Testing Guide Hướng dẫn kiểm thử OWASP OWASP Open Web Application Security Dự án bảo mat ứng dung web Project mo PTES Penetration Testing Execution Chuẩn thực hiện kiểm thử xâm SQL Standard nhập SSRF Structured Query Language Ngôn ngữ truy vấn cấu trúc URI URL Server-Side Request Forgery Tan công giả mao yêu cầu phía XSS máy chủ Uniform Resource Indentifier | Dinh danh tai nguyén thống nhất Uniform Resource Locator Địa chi tài nguyên thống nhất Cross-Site Scripting Tan công kịch bản chéo trang Lê Thị Linh - BI9DCATIII vill