TÌM HIỂU MỘT SỐ KỸ THUẬT TẤN CÔNG WEBSITE VÀ GIẢI PHÁP PHÒNG CHỐNG

TÌM HIỂU MỘT SỐ KỸ THUẬT TẤN CÔNG WEBSITE VÀ GIẢI PHÁP PHÒNG CHỐNG Ngày nay, khi mà Internet được phổ biến rộng rãi thì các tổ chức, cá nhân đều có nhu cầu giới thiệu, quảng bá thông tin về đơn vị qua các trang văn bản siêu liên kết trên Internet cũng như thực hiện các phiên giao dịch trực tuyến. Nghiên cứu để biết được một số kỹ thuật tấn công website của hacker, cách thức tấn công và giải pháp phòng chống của các kỹ thuật đó. Đồng thời nghiên cứu các công cụ phòng chống tấn công website. Mô phỏng được kỹ thuật tấn công website DoS và DDoS và trong mô phỏng DDoS có cả mô phỏng về giải pháp phòng của tấn công này.

TRƯỜNG ĐẠI HỌC SƯ PHẠM KỸ THUẬT HƯNG YÊN

NGUYỄN SƠN NGA

TÌM HIỂU MỘT SỐ KỸ THUẬT TẤN CÔNG WEBSITE VÀ GIẢI PHÁP PHÒNG CHỐNG

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC SƯ PHẠM KỸ THUẬT HƯNG YÊN

NGUYỄN SƠN NGA

TÌM HIỂU MỘT SỐ KỸ THUẬT TẤN CÔNG WEBSITE VÀ GIẢI PHÁP PHÒNG CHỐNG

NGÀNH: CÔNG NGHỆ THÔNG TINCHUYÊN NGÀNH: MẠNG MÁY TÍNH VÀ TRUYỀN THÔNG

ĐỒ ÁN TỐT NGHIỆP ĐẠI HỌC

NGƯỜI HƯỚNG DẪN PHẠM QUỐC HÙNG

HƯNG YÊN - 2014

MỤC LỤC

DANH SÁCH HÌNH VẼ 6

DANH SÁCH TỪ VIẾT TẮT 7

CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI 8

1.1 Lý do chọn đề tài 8

1.2 Mục tiêu của đề tài 9

1.3 Giới hạn và phạm vi của đề tài 9

1.4 Nội dung thực hiện 9

1.5 Phương pháp tiếp cận 9

CHƯƠNG 2: CƠ SỞ LÝ THUYẾT 10

2.1 Tổng quan về thực trạng an toàn thông tin mạng ở Việt Nam 10

2.2 Khái niệm và nguyên tắc hoạt động của website 11

2.2.1 Khái niệm 11

2.2.2 Nguyên tắc hoạt động 12

2.3 Các khái niệm liên quan 13

2.3.1 Địa chỉ IP 13

2.3.2 Hacker 13

2.3.3 Http header 14

2.3.4 Session 14

2.3.5 Cookies 15

2.3.6 Http 15

2.3.7 Virus 16

2.3.8 Trojan 16

2.4 Các giai đoạn tấn công của hacker 16

2.4.1 Giai đoạn thu thập thông tin 16

2.4.2 Giai đoạn phân tích và hành động 17

2.4.3 Giai đoạn dừng và xóa dấu vết 17

2.5 Một số kỹ thuật tấn công website 18

2.5.1 Session Hijacking 18

2.5.2 Cross-Site Scripting (XSS) 21

2.5.3 Tấn công cục bộ (Local Attack) 24

2.6 Tấn công từ chối dịch vụ - Tấn công từ chối dịch vụ phân tán 27

2.6.1 Định nghĩa tấn công từ chối dịch vụ DOS 27

2.6.2 Cách thức tấn công DoS- DDoS 29

2.6.3 Một số công cụ tấn công DDOS điển hình 32

2.6.4 Một số tấn công DDOS điển hình ở Việt Nam 33

2.7 Phân tích mô hình tấn công dịch vụ phân tán DDOS 33

2.7.1 Các đặc tính của tấn công DDOS 33

2.7.2 Mô hình mạng botnet 33

2.7.3 Các mô hình tấn công DDoS 35

2.7.4 Cách phát hiện, phòng chống tấn công DDOS 37

CHƯƠNG 3: MÔ PHỎNG KỸ THUẬT TẤN CÔNG DOS-DDOS 39

3.1 Mô phỏng kỹ thuật tấn công DoS 39

3.1.1 Công cụ sử dụng 39

3.1.2 Cách thức thực hiện 39

3.1.3 Đánh giá kết quả 41

3.2 Mô phỏng kỹ thuật tấn công DDOS 41

3.2.1 Công cụ sử dụng 41

3.2.2 Cách thức thực hiện 42

3.2.3 Đánh giá kết quả 45

CHƯƠNG 4: KẾT LUẬN 46

4.1 Kết quả đạt được của đề tài 46

4.2 Hạn chế của đề tài 46

4.3 Hướng phát triển của đề tài 46

TÀI LIỆU THAM KHẢO 47

DANH SÁCH HÌNH VẼ

Hình 2- 1: Kiến trúc cơ bản của một website 12

Hình 2- 2: Nguyên tắc hoạt động củamột ứng dụng website đơn giản 12

Hình 2- 3: Quá trình tấn công người dung bằng kỹ thuật ấn định session 19

Hình 2- 4: Các bước thực hiện tấn công cục bộ 25

Hình 2- 5: Cơ chế thiết lập kết nối trước khi truyền số liệu 30

Hình 2- 6: Tấn công DoS truyền thống 30

Hình 2- 7: Mô hình tấn công Agent Handler Model 35

Hình 2- 8: Mô hình tấn công DDos dựa trên nền tảng IRC 36

DANH SÁCH TỪ VIẾT TẮT

Từ viết tắt Từ đầy đủ Giải thích

DOS Denial Of Service Tấn công từ chối dịch vụ

DDOS Distributed Denial Of

Service

Tấn công từ chối dịch vụ phân tán

IRC Interet Replay Chat Liên lạc cấp tốc qua mạng

CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI

1.1 Lý do chọn đề tài

Ngày nay, khi mà Internet được phổ biến rộng rãi thì các tổ chức, cá nhân đều

có nhu cầu giới thiệu, quảng bá thông tin về đơn vị qua các trang văn bản siêu liênkết trên Internet cũng như thực hiện các phiên giao dịch trực tuyến Vấn đề nảy sinh

là khi phạm vi ứng dụng của Website ngày càng mở rộng thì khả năng xuất hiện lỗi

và bị tấn công ngày càng cao, các website trở thành đối tượng cho nhiều hacker vớinhiều mục đích khác nhau Đôi khi cũng chỉ đơn giản là để thể hiện tài năng củamình với người khác

Cùng với sự phát triển của thế giới mạng, các dịch vụ thương mại điện tử ngàycàng phát triển, số lượng các cuộc giao dịch của người dùng trên internet ngày càngtăng Vì thế các thông tin nhạy cảm của người dùng như tài khoản ngân hàng, tàikhoản email… trở thành mục tiêu tấn công của hacker

Ngoài ra những vụ xâm nhập bất hợp pháp nhắm vào các công ty, tổ chức lớnnhư: yahoo, IBM, trường đại học, các cơ quan quân sự, ngân hàng, … ngày càngtăng lên về số lượng và mức độ nguy hiểm

Tuy đã có nhiều cố gắng từ các nhà lập trình web những cũng không thể đảmbảo ngăn chặn toàn bộ vì công nghệ web đang phát triển nhanh chóng nên dẫn đếnnhiều khuyết điểm mới phát sinh Sự tấn công không nằm trong một vài khuôn khổ

mà năng động và tăng lên tùy vào những sai sót của nhà quản trị hệ thống cũng nhưcủa những người lập trình ứng dụng

Vì vậy, tôi đã chọn đề tài “Tìm hiểu một số kỹ thuật tấn công website và giảipháp phòng chống” với mục đích tìm hiểu các phương pháp tấn công website củahacker hiện nay để từ đó đưa ra các biện pháp hạn chế và có thể đề xuất một số giảipháp để bảo mật website được an toàn hơn

1.2 Mục tiêu của đề tài

Nghiên cứu để biết được một số kỹ thuật tấn công website của hacker, cáchthức tấn công và giải pháp phòng chống của các kỹ thuật đó

Đồng thời nghiên cứu các công cụ phòng chống tấn công website

Mô phỏng được kỹ thuật tấn công website DoS và DDoS và trong mô phỏngDDoS có cả mô phỏng về giải pháp phòng của tấn công này

1.3 Giới hạn và phạm vi của đề tài

Tìm hiểu kỹ thuật tấn công DoS – DDOS và mô phỏng

1.4 Nội dung thực hiện

Nội dung thực hiện như sau:

Nghiên cứu về thực trạng an toàn an ninh mạng ở Việt Nam

Nghiên cứu về nguyên tắc hoạt động của website

Nghiên cứu các giai đoạn tấn công của hacker

Nghiên cứu một số kỹ thuật tấn công website (Session Hijacking, Cross-SiteScripting, Local Attack, DoS-DdoS) và giải pháp phòng chống

Mô phỏng kỹ thuật tấn công DoS, DdoS

1.5 Phương pháp tiếp cận

Sử dụng các phương pháp nghiên cứu:

o Phương pháp đọc tài liệu;

o Phương pháp thực nghiệm

CHƯƠNG 2: CƠ SỞ LÝ THUYẾT

2.1 Tổng quan về thực trạng an toàn thông tin mạng ở Việt Nam

Máy chủ Việt Nam là “sân tập” của hacker quốc tế

Chỉ trong vòng chưa đầy 20 ngày của tháng 6, số lượng tấn công website ViệtNam tăng lên khá lớn so với bình thường với hàng trăm các website tiếng Việt cótên miền vn và com đã bị hacker dồn dập tấn công Điển hình là trong đêm 6/6,hơn 200 website tiếng Việt có tên miền vn và com đã bị một nhóm hacker có tênCmTr đã tấn công và đã cài lại một file chứa mã độc vào website

Theo thống kê của trang web Zone-H – chuyên thống kê các website bị tấncông trên toàn cầu, chỉ trong 20 ngày đầu tháng 6, có khoảng 446 website ".vn" đã

bị hacker tấn công, trong đó có 16 trang chứa tên miền “.gov.vn” Chỉ tính riêngtuần đầu tiên của tháng 6 cũng đã có 407 website tên miền vn bị hacker tấn công.Còn theo ông Nguyễn Quang Huy, Trưởng Phòng Kỹ thuật Hệ thống Trungtâm Ứng cứu khẩn cấp sự cố máy tính Việt Nam - VNCert, từ cuối tháng 5 đầutháng 6, chúng ta tiếp nhận rất nhiều cuộc tấn công và các trang web của doanhnghiệp (DN) và nhiều cơ quan tổ chức Chính phủ Có thông tin vài trăm website

Có thông tin cho biết số lượng trang web bị tấn công lên tới 1.500 Hay như vụDiễn đàn hacker Việt Nam (www.hvaonline.net), ngày 12 và 13 cũng bị tấn công từchối dịch vụ (D-DOS) với cường độ rất lớn khiến mọi truy cập đến địa chỉ này đềukhông thực hiện được

Vấn đề đáng báo động ở đây là ngoài việc tấn công đơn thuần vào các diễnđàn, trang thông tin điện tử có số lượng truy cập lớn, như rongbay.com, enbac.com,kenh14… hacker còn tấn công cả những địa chỉ có tên miền gov.vn của các cơ quanthuộc Chính phủ như website www.ntc.mofa.gov.vn của Bộ Ngoại giao Việt Nam,Caugiay.hanoi.gov.vn - cổng thông tin điện tử quận Cầu Giấy, Hà Nội, và gần đâynhất, ngày 20/6, nhóm hacker Hmei7 đã “hỏi thăm” website của Sở Thông tin –Truyền thông Hà Nội ( http://www.ict-hanoi.gov.vn )

Do mức độ các website bị tấn công dồn dập và với số lượng lớn như trên,nhiều chuyên gia công nghệ cho rằng, nguyên nhân là do hacker đã chiếm được mộtmáy chủ của một nhà cung cấp dịch vụ hosting để từ đó tấn công giao diện hàngloạt website trên đó Theo đánh giá của ông Triệu Trần Đức, Tổng giám đốc CMCInfo Sec: Hiện nay, các website của Việt Nam đều mắc những lỗi giống nhau, chỉbằng 3 cách đơn giản thì 300 trang web đã có thể bị hack, trong đó, phổ biến nhất làsearch trên Google Thực tế, máy chủ của Việt Nam cứ dựng lên là trở thành “sântập” cho hacker thế giới.

Những cuộc tấn công này đều là những hành động đơn lẻ, mang tính chất tựphát của những hacker bán chuyên nghiệp Nguyên nhân chủ yếu là do đơn vị quản

lý của các website này chưa thực sự chú trọng đến việc đầu tư cho vấn đề bảo mật,vẫn còn nhiều lỗ hổng để các hacker dễ dàng khai thác

Không có những nhận định quá bi quan như CMC, ông Huy cho biết: Thực tếkhông quá nhiều vụ tấn công như một số hãng bảo mật đã đưa ra Có vụ chỉ 1 cuộctấn công đã nắm được quyền kiểm soát máy chủ cài vài chục trang web khác nhau.Nếu thống kê số vụ tấn công thì ít hơn nhiều so với số lượng trang web

Theo đánh giá của đại diện VnCert, những cuộc tấn công này đều là nhữnghành động đơn lẻ, mang tính tự phát nhiều với mức độ nguy hiểm chưa cao, khôngthể hiện trình độ của hacker Có thể hiểu là mức độ sơ khai Qua kiểm tra, có nhiềudấu hiệu hacker tấn công từ nước ngoài qua các địa chỉ IP xuất phát từ nhiều nướcnhư Trung Quốc, Hồng Kông, Hàn Quốc, Mỹ Có cả IP từ Việt Nam Tuy nhiên,hiện cũng chưa có thống kê cụ thể số vụ tấn công từ các quốc gia nhất định

2.2 Khái niệm và nguyên tắc hoạt động của website

2.2.1 Khái niệm

Websitelà một ứng dụng sử dụng giao thức HTTP hoặc HTTPS để tương tácvới người dùng hay hệ thống khác Người dùng sử dụng các loại trình duyệt webnhư: Internet Explorer, Firefox, Google Chrome,… để truy cập website nhằm mụcđích trao đổi thông tin, gửi hoặc nhận mail, mua bán trực tuyến,…

Hình 2- 1: Kiến trúc cơ bản của một website

Lớp ngoài cùng : có nhiệm vụ là hiển thị dữ liệu cho người dùng

Lớp ứng dụng: là lớp xử lý các ứng dụng của website, các yêu cầu người dùng

và trả kết quả ra lớp ngoài cùng để hiển thị lên website Lớp này thường viết bằngcác ngôn ngữ lập trình như: PHP, ASP.NET,…

Lớp dữ liệu: thường là các hệ quản trị cơ sở dữ liệu như: SQL Server, MySql,

… có nhiệm vụ quản lý tập tin và quyền sử dụng

2.2.2 Nguyên tắc hoạt động

Hình 2- 2: Nguyên tắc hoạt động củamột ứng dụng website đơn giản

Bước 1: Trình duyệt tạo một HTTP Request gửi tới ứng dụng web.

Bước 2: Controller chính của Struts là class ActionServlet sẽ bắt request này,

phân tích URL của nó, và dựa vào file struts-config.xml để gửi request này tớiAction class tương ứng

Bước 3: Action class là một class của Struts Framework ứng dụng của chúng

ta thường extends từ class này và viết code để xử lý những business tương ứng.Chẳng hạn ta sẽ có một LoginAction để xử lý việc user login, logout

Bước 4: Action class có thể truy xuất, cập nhật database nếu cần thiết.

Bước 5: Khi Action class thực hiện việc xử lý business xong, nó sẽ gửi yêu

cầu forward/redirect, cùng với dữ liệu (nếu có) về controller

Bước 6: Controller chuyển control đến trang JSP tương ứng ở tầng view Nếu

tran JSP này có sử dụng dữ liệu, controller sẽ cung cấp cho nó (đây chính là dữ liệu

mà action đã tạo ra và đưa cho controller

Bước 7: Sau khi trang JSP đã chuẩn bị xong, Controller tạo một HTTP

Response gửi về cho trình duyệt, để trình duyệt hiển thị ra màn hình

2.3 Các khái niệm liên quan

2.3.1 Địa chỉ IP

Địa chỉ IP (IP là viết tắt của từ tiếng Anh: Internet Protocol - giao thứcInternet) là một địa chỉ đơn nhất mà những thiết bị điện tử hiện nay đang sử dụng đểnhận diện và liên lạc với nhau trên mạng máy tính bằng cách sử dụng giao thứcInternet

Mỗi địa chỉ IP là duy nhất trong cùng một cấp mạng

Một cách đơn giản hơn: IP là một địa chỉ của một máy tính khi tham gia vàomạng nhằm giúp cho các máy tính có thể chuyển thông tin cho nhau một cách chínhxác, tránh thất lạc Có thể coi địa chỉ IP trong mạng máy tính giống như địa chỉ nhàcủa bạn để nhân viên bưu điện có thể đưa thư đúng cho bạn chứ không phải mộtngười nào khác

2.3.2 Hacker

Hacker là người có thể viết hay chỉnh sửa phần mềm, phần cứng máy tính baogồm lập trình, quản trị và bảo mật Những người này hiểu rõ hoạt động của hệ thống

máy tính, mạng máy tính và dùng kiến thức của bản thân để làm thay đổi, chỉnh sửa

nó với nhiều mục đích tốt xấu khác nhau

Hacker mũ trắng: là những chuyên gia lập trình chuyên tìm các lỗi của phầnmềm với mục đích sửa chữa, xây dựng hệ thống an toàn hơn

Hacker mũ đen: là những hacker phá hoại và trục lợi cho mình

Hacker mũ xanh/samurai: là những chuyên gia lập trình tài năng, được cáchãng như Microsoft mời về làm việc chuyên tìm lỗi cho phần mềm của họ

Hacker mũ xám hay mũ nâu: là những người đôi khi làm công việc củahacker mũ trắng nhưng vẫn làm công việc của hacker mũ đen

2.3.3 Http header

Http header là trường phần đầu chứa các thông số hoạt động của một yêu cầuHTTP giữa máy chủ và máy khách Những thông tin khách gửi trình chủ gọi làHTTP request (yêu cầu), những thông tin trình chủ gửi cho trình khách gọi là HTTPresponse (trả lời)

Các trường tiêu đề xác định đặc điểm khác nhau của việc chuyển dữ liệu đượcyêu cầu hoặc các dữ liệu được cung cấp trong thông điệp, HTTP header có thể cónhiều dòng và thường bắt đầu với tên trường, chấm dứt với môt ký tự đại tràng, tiếptheo là giá trị trường Tên trường và các giá trị có thể bất kỳ ứng dụng cụ thể chuỗi,những tập lõi các lĩnh vực được chuẩn hóa bởi Internet Engineering Task Một số

tham số được sử dụng cả trong trình khách và trình chủ

Trong 1 session, website có thể lưu trữ một số thông tin như đánh dấu bạn đãlogin hay chưa, những bài viết nào bạn đã đọc qua, v.v

2.3.5 Cookies

Cookies là 1 đoạn dữ liệu được truyền đến browser từ server, đoạn dữ liệu này

sẽ được browser lưu trữ (trong memory hoặc trên đĩa) và sẽ gởi ngược lên lại servermỗi khi browser tải 1 trang web từ server

Những thông tin được lưu trữ trong cookies hoàn toàn phụ thuộc vào websitetrên server Mỗi website có thể lưu trữ những thông tin khác nhau trong cookies, ví

dụ thời điểm lần cuối bạn ghé thăm website, đánh dấu bạn đã login hay chưa, v.v Cookies được tạo ra bởi website và gởi tới browser, do vậy 2 website khácnhau (cho dù cùng host trên 1 server) sẽ có 2 cookies khác nhau gởi tới browser.Ngoài ra, mỗi browser quản lý và lưu trữ cookies theo cách riêng của mình, cho nên

2 browser cùng truy cập vào 1 website sẽ nhận được 2 cookie khác nhau

2.3.6 Http

HTTP là chữ viết tắt từ HyperText Transfer Protocol (giao thức truyền tải siêuvăn bản) Nó là giao thức cơ bản mà World Wide Web sử dụng HTTP xác địnhcách các thông điệp (các file văn bản, hình ảnh đồ hoạ, âm thanh, video, và các filemultimedia khác) được định dạng và truyền tải ra sao, và những hành động nào màcác Web server (máy chủ Web) và các trình duyệt Web (browser) phải làm để đápứng các lệnh rất đa dạng Chẳng hạn, khi bạn gõ một địa chỉ Web URL vào trìnhduyệt Web, một lệnh HTTP sẽ được gửi tới Web server để ra lệnh và hướng dẫn nótìm đúng trang Web được yêu cầu và kéo về mở trên trình duyệt Web Nói nôm nahơn, HTTP là giao thức truyền tải các file từ một Web server vào một trình duyệtWeb để người dùng có thể xem một trang Web đang hiện diện trên Internet.HTTP

là một giao thức ứng dụng của bộ giao thức TCP/IP (các giao thức nền tảng choInternet)

Vi-rút máy tính là một chương trình phần mềm nhỏ lây lan từ một máy tínhsang máy tính khác và can thiệp vào hoạt động của máy tính Vi-rút máy tính có thểphá hỏng hoặc xóa dữ liệu trên máy tính, sử dụng một chương trình email để pháttán vi-rút đó tới các máy tính khác hoặc thậm chí là xóa mọi thứ trên đĩa cứng

2.3.7 Virus

Vi-rút máy tính thường được phát tán bằng các tệp đính kèm trong thư emailhoặc bằng tin nhắn tức thời Do vậy, bạn đừng bao giờ mở tệp đính kèm email trừkhi bạn biết ai gửi thư đó hoặc bạn đang đợi thư email đó Vi-rút có thể ngụy trang

ở dạng tệp đính kèm chứa ảnh cười, thiệp chúc mừng hoặc tệp âm thanh và video.Vi-rút máy tính cũng phát tán thông qua các bản tải xuống trên Internet Chúng cóthể được ẩn trong phần mềm lậu hoặc trong các tệp hoặc chương trình khác mà bạn

có thể tải xuống

2.3.8 Trojan

Trojan - một chương trình dạng vi rút, một kẻ làm nội gián trong máy tính củabạn đã giúp cho tên tin tặc (hacker) điều khiển máy tính của bạn, Trojan giúp tên tintặc lấy những thông tin quý báu của bạn, thậm chí hắn có thể xóa hoặc định dạng lại

cả ổ cứng của bạn nữa Trojan có thể nhiễm vào máy của bạn qua tập tin gắn kèmthư điện tử mà bạn đã vô tình tải về và chạy thử, hoặc có lẫn trong những chươngtrình trò chơi, nhưng chương trình mà bạn không rõ nguồn gốc

2.4 Các giai đoạn tấn công của hacker

2.4.1 Giai đoạn thu thập thông tin

- FootPrinting (In dấu ấn - thu thập thông tin): Là bước mà kẻ tấn công thâutóm càng nhiều thông tin càng tốt về đối tượng, người dùng, doanh nghiệp, các chinhánh của công ty, máy chủ… bao gồm các chi tiết: Domain Name, Địa chỉ IP,Networking Prototcols…

Đây là một bước quan trọng: Cho hacker nhiều thông tin, đôi khi với nhữngthông tin này hacker đã có thể làm chủ hệ thống Sử dụng công cụ Nslookup,SmartWhois…

- Sanning (Quét thăm dò mạng): Phần lớn thông tin quan trọng từ server cóđược từ bước này Xác định hệ điều hành, xác định hệ thống có đang chạy không,tìm hiểu các dịch vụ đang chạy hay đang lắng nghe, tìm hiểu các lỗ hổng, kiểm tracác cổng, xác định các dịch vụ sử dụng giao thức TCP và UDP

- Enumeration (Điểm danh mạng - liệt kê tìm lỗ hổng): Đến đây, các hackerbắt đầu kiểm soát server sơ bộ Bước này là tìm kiếm những tài nguyên được bảo vệ

kém, hoặc tài khoản người dùng mà có thể sử dụng để xâm nhập, bao gồm các mậtkhẩu mặc định, các script và dịch vụ mặc định Sử dụng công cụ: DumpSec,NbtScan, SuperScan…

2.4.2 Giai đoạn phân tích và hành động

- Gaining Access (Đột nhập hệ thống): Hacker sẽ tìm cách truy cập vào mạngbằng những thông tin có được ở ba bước trên Phương pháp được sử dụng ở đây cóthể là tấn công vào lỗi tràn bộ đệm, lấy và giải mã file password, hay brute force(kiểm tra tất cả các trường hợp) password, đột nhập qua các cổng mở… Sử dụngcông cụ: Tcpdump, Remote Buffer Overflows, Brute-force password attacks…

- Privilege Escalation (Nâng quyền hệ thống): Trong trường hợp hacker xâmnhập đựợc vào mạng với một tài khoản nào đó, thì họ sẽ tìm cách kiểm soát toàn bộ

hệ thống Hacker sẽ tìm cách crack password của admin, hoặc sử dụng lỗ hổng đểleo thang đặc quyền Kẻ xâm nhập có thể truy cập vào các files hay folder dữ liệu

mà tài khoản người sử dụng ban đầu không được cho phép truy cập Khi hacker đạtđược mức độ quyền truy cập đủ cao, họ có thể cài đặt phần mềm như là Backdoors

và Trojan horses, cũng như cho phép truy cập sâu hơn và thăm dò Mục đích chungcủa hacker là chiếm được quyền truy cập ở mức độ quản trị Khi đó xem như cótoàn quyền điều khiển hệ thống mạng Có thể sử dụng Sniffer để bắt các gói tin, từ

đó phân tích tìm ra mật khẩu

- Pilfering (Khai thác hệ thống): Thông tin lấy từ bước trên đủ để hacker định

vị server và điều khiển server Sử dụng công cụ: Configuration files, Registry,Telnet, Ftp…

2.4.3 Giai đoạn dừng và xóa dấu vết

- Creating Backdoors (Tạo cổng hậu): Để chuẩn bị cho lần xâm nhập tiếp theođược dễ dàng hơn Hacker để lại Backdoors, tức là một cơ chế cho phép hacker truynhập trở lại bằng con đường bí mật không phải tốn nhiều công sức khai phá, bằngviệc cài đặt Trojan hay tạo user mới Ở đây là các loại Trojan, keylog, creat rogueuser accounts…

- Covering Tracks (Xoá dấu vết): Sau khi đã có những thông tin cần thiết,hacker tìm cách xoá dấu vết, xoá các file LOG của hệ điều hành làm cho người

quản lý không nhận ra hệ thống đã bị xâm nhập hoặc có biết cũng không tìm ra kẻxâm nhập là ai Sử dụng công cụ: Clear logs, Zap, Event log GUI, rootkits

Có thể trong những bước đã nêu hacker không cần phải đi qua theo thứ tự hayphải thực hiện hết, nhưng việc nắm rõ thông tin của máy mục tiêu luôn là điều kiệntiên quyết để dẫn đến thành công trong việc tấn công Tùy vào thông tin thu thậpđược mà hacker sẽ quyết định tấn công theo kỹ thuật nào, xây dựng một kịch bảntấn công phù hợp

Dù tấn công dưới bất kỳ với mục đích gì thì hậu quả ảnh hưởng đều rất đáng

kể, thiệt hại to lớn về uy tín, kinh tế, gây thiệt hại cho người dùng mạng, bị đánhcắp thông tin, có thể bị hacker lợi dụng để tấn công một tổ chức khác, tận dụng pháttán lừa đảo…

Nếu không thành công trong việc xâm nhập bằng các kỹ thuật phổ biến, thìDOS (Denial Of Service) là cách thức mà hacker thường lựa chọn để làm cho hệthống không thể hoạt động được

Do đó, việc bảo mật cho một hệ thống cần đòi hỏi sự kết hợp không chỉ củariêng nhà quản trị hệ thống mà còn của nhà thiết kế ứng dụng và sự hợp tác của cảnhững khách hàng sử dụng ứng dụng

2.5 Một số kỹ thuật tấn công website

Khi cướp được session của người dùng, kẻ tấn công có thể vượt qua quá trìnhchứng thực dùng, có thể ghi lại phiên làm việc và xem lại mọi thứ đã diễn ra Đốivới cơ quan pháp lý, có thể dùng làm bằng chứng để truy tố, đối với kẻ tấn công, cóthể dùng thu thập thông tin như ID người dùng và mật khẩu Điều này gây nhiềunguy hại đến người dùng [1]

b Phân loại

- Ấn định phiên làm việc

Trong kiểu tấn công ấn định một phiên làm việc hacker ấn định sẵn session

ID cho nạn nhân trước khi họ đăng nhập vào hệ thống Sau đó, hacker sẽ sử dụngsession ID này để bước vào phiên làm việc của nạn nhân đó

Hình 2- 3: Quá trình tấn công người dung bằng kỹ thuật ấn định session

Bước 1: Thiết lập session ID.

Hệ thống quản lý session theo 2 hướng:

+ Hướng tự do: chấp nhận bất kỳ một session ID, nếu chưa tồn tại session thìtạo mới một session ID

+ Hướng giới hạn: chấp nhận session ID nào đã đăng ký trước đó Ở hướnggiới hạn, hacker phải đăng ký một ID với ứng dụng

Phụ thuộc vào quy trình quản lý phiên làm việc mà hacker lưu trữ thời giansống của phiên làm việc cho đến khi nạn nhân đăng nhập hệ thống Thông thườngmột phiên làm việc không tồn tại vô hạn định Hệ thống sẽ tự động hủy bỏ phiênlàm việc nếu nó không thực hiện một thao tác nào (thời gian nhàn rỗi) hoặc hết hạnđịnh

Do đó, bước 1a là kẻ tấn công sẽ bảo trì phiên làm việc bằng cách gửi yêu cầuđến server.

Bước 2: Gửi session ID đến trình duyệt nạn nhân

Hacker gửi session ID vừa tạo đến người dung và việc trao đổi ID session tùyvào ứng dụng mà có thể có các cách tấn công thông dụng gồm:

Tấn công session ID trên tham số URL

Tấn công session ID bằng biến ẩn form

Tấn công session ID trong cookies

Bước 3: Đột nhập vào phiên làm việc của nạn nhân

Sau khi nạn nhân đăng nhập vào hệ thống qua session ID đã được chỉ định sẵn

và chưa thoát khỏi ứng dụng, hacker lúc này bắt đầu dùng session ID đó để bướcvào phiên làm việc của nạn nhân

- Đánh cắp phiên làm việc

Khác với kiểu tấn công ấn định phiên làm việc, hacker đánh cắp một session

ID của người dùng khi họ đang trong phiên làm việc của mình Để có thể đánh cắpsession ID của người dùng, hacker có thể dùng những phương pháp sau:

Tấn công kiểu dự đoán phiên làm việc

Hacker phải là người dùng hợp lệ của hệ thống, sau vài lần đăng nhập vào

hệ thống, hacker xem xét các giá trị session ID nhận được, tìm ra quy luật phát sinh

và từ đó có thể đoán được giá trị của một phiên làm việc của người dùng kế tiếp

Tấn công kiểu vét cạn phiên làm việc

Hacker có thể tự tạo một chương trình gửi nhiều yêu cầu trong một khoảngthời gian đến trình chủ Mỗi một yêu cầu kèm theo một session ID để tìm cácsession ID đang tồn tại Hacker dựa vào thói quen của những nhà phát triển ứngdụng web để lấy thời gian hay địa chỉ IP của người dùng để tạo session ID để hạnchế vùng vét cạn

Tấn công kiểu dùng đoạn mã để đánh cắp phiên làm việc

Bằng cách chèn vào một đoạn mã thực thi trên chính trình duyệt của nạnnhân, hacker có thể lừa người dùng theo vết một liên kết để từ đó thực hiện đánhcắp cookie của người dùng Cách này được thực hiện thông qua lỗi Cross-Site

Scripting Sau khi có được phiên làm việc của người dùng, hacker vào phiên làmviệc của họ.

c Cách phòng chống

Việc phòng chống kiểu tấn công chiếm hữu phiên làm việc không thuộc tráchnhiệm của trình chủ web server, vì trình chủ chỉ cung cấp API quản lý phiên làmviệc cho ứng dụng Vì thế, chỉ ứng dụng mới cần có những biện pháp phòng chốnglại kiểu tấn công này

Chống việc đăng nhập với một session ID có sẵn, ứng dụng phải hủy bỏsession ID được cung cấp bởi trình duyệt của người dùng khi đăng nhập và luôn tạomột session ID mới khi người dùng đăng nhập thành công sẽ khiến cho nhữnghacker không phải là người dùng hợp lệ của hệ thống

Giới hạn phạm vi ứng dụng của session ID như kết hợp session ID với đại chỉcủa trình duyệt, kết hợp session ID với chứng thực được mã hóa SSL của ngườidùng, xóa bỏ session khi người dùng thoát khỏi hệ thống hay hết hiệu lực, thiết lậpthời gian hết hiệu lực cho session để tránh trường hợp hacker có thể duy trì session

và sử dụng nó lâu dài

Người sử dụng phải dùng chế độ thoát khỏi hệ thống để xóa bỏ session hiệnthời và có thể những session ID còn lưu lại trên hệ thống khi họ quên thoát ra ngoàinhững lần trước

Không được chủ quan với thuật toán tạo session của ứng dụng là bảo mật,không ai có thể đoán được Với session ID quá ngắn, hacker có thể dùng kỹ thuật đểvét cạn Nhưng không vì thế mà cho rằng ứng dụng sẽ bảo mật với session ID dài vàphức tạp vì kích thước session ID sẽ là một vẫn đề nếu thuật toán không tốt

2.5.2 Cross-Site Scripting (XSS)

a Khái niệm

Cross-Site Scripting hay còn được gọi tắt là XSS (thay vì gọi tắt là CSS đểtránh nhầm lẫn với CSS-Cascading Style Sheet của HTML) là một kĩ thuật tấn côngbằng cách chèn vào các website động (ASP, PHP, CGI, JSP ) những thẻ HTMLhay những đoạn mã script nguy hiểm có thể gây nguy hại cho những người sử dụngkhác Trong đó, những đoạn mã nguy hiểm đựơc chèn vào hầu hết được viết bằng

các Client-Site Script như javascript, JScript, DHTML và cũng có thể là cả các thẻHTML [2]

b Hoạt động của XSS

Về cơ bản XSS cũng là các yêu cầu (request) được gửi từ các máy client tớiserver nhằm chèn vào đó các thông tin vượt quá tầm kiểm soát của server Nó có thể

là một request được gửi từ các form dữ liệu hoặc cũng có thể đó chỉ là các URL như

là http://www.example.com/search.cgi?query=<scrip>alert('XSS was found

đó Tất nhiên đôi khi các hacker cũng sử dụng kĩ thuật này đề deface các websitenhưng đó vẫn chỉ tấn công vào bề mặt của website Thật vậy, XSS là những Client-Side Script, những đoạn mã này sẽ chỉ chạy bởi trình duyệt phía client do đó XSSkhông làm ảnh hưởng đến hệ thống website nằm trên server

Mục tiêu tấn công của XSS không ai khác chính là những người sử dụng kháccủa website, khi họ vô tình vào các trang có chứa các đoạn mã nguy hiểm do cáchacker để lại họ có thể bị chuyển tới các website khác, đặt lại homepage, hay nặnghơn là mất mật khẩu, mất cookie thậm chí máy tính bạn có thể sẽ bị cài các loạivirus, backdoor, worm

c Cách phát hiện

- Cách 1: Sử dụng nhiều chương trình dò quét lỗi của ứng dụng website, ví dụ

như chương trình Web Vulnerability Scanner để dò quét lỗi XSS

- Cách 2: Thực hiện 5 bước:

o Bước 1: Mở website cần kiểm tra

o Bước 2: Xác định các chỗ (phần) cần kiểm tra XSS Một Site bất kỳbao giờ cũng có các phần: Search, erro message, web form Chủ yếu lỗi XSS nằm ởphần này, nói chung XSS có thể xảy ra ở chỗ nào mà người dùng có thể nhập dữliệu vào và sau đó nhận được một cái gì đó Ví dụ chúng ta nhập vào chuỗi ‘XSS’

o Bước 3: Xác minh khả năng site có bị lỗi XSS hay không bằng cáchxem các thông tin trả về

o Bước 4: Khi đã xác định chỗ có khả năng bị dính lỗi XSS thì chúng ta

sẽ chèn những đoạn code của chúng ta vaò để thử tiếp

o Bước 5: Lên kế hoạch kịch bản tấn công

- Bước 3: Chuyển đổi nội dung thông tin (cookies, tên, mật khẩu, …) về maychủ đã chuẩn bị trước của hacker

- Bước 4: Hacker đã tạo một đoạn mã hay chương trình hoặc một trang web đểghi nhận những thông tin đánh cắp vào một tập tin

- Sau khi nhận được thông tin cần thiết, hacker có thể sử dụng để thâm nhậpvào tài khoản của người dùng