tấn công web

LỜI MỞ ĐẦU Trong thời đại ngày này nay internet đã rất trở nên quen thuộc và là một công cụ hữu ích để một đất nước, tổ chức giới thiệu hình ảnh hay đơn giản chỉ là một trang web cá nhân của một ai đó giới thiệu về mình. Tất cả đã kéo theo sự phát triển không ngừng của các ứng dụng web. Và dần dần khái niệm ứng dụng web đã trở nên phổ biến .Khi mà trên internet ,ứng dụng web đã trở lên phổ biến ,ứng dụng một cách rộng rãi thì các cuộc tấn công ứng dụng web cũng phát triển hết sức phức tạp. Điều này đã đặt ra vấn đề cấp thiết cần làm như thế nào để bào đảm an toàn thông tin cho ứng dụng web, thông tin của người sử dụng. Các khái niệm chuyên môn về ứng dụng web và tấn công ứng dụng web cũng dần trở nên phổ biến hơn trong các tài liệu chuyên ngành . Các công cụ hỗ trợ người lập trình web, người quản trị mạng cũng xuất hiện giúp tìm kiếm lỗ hổng của ứng dụng web nhưng nó không theo kịp sự phát triển nhanh đến mức chóng mặt theo xu hướng nhanh hơn đẹp hơn của các ứng dụng web, và tất nhiên nó không thể ngăn chặn hoàn toàn các cuộc tấn công ứng dụng web, khi mà các cuộc tấn công ngày càng đa dạng khai thác triệt để những lỗi của ứng dụng web, của người quản trị, hay người lập trình ứng dụng web. Thống kê cho thấy 75% cuộc tấn công internet là tấn công ứng dụng web,nó gây ra những thiệt hại vô cùng to lớn, vì vậy việc tìm hiểu về tấn công ứng dụng web là rất cần thiết nhằm có cách phòng chống tấn công và bảo mật ứng dụng web hiệu quả trở thành một yêu cầu cấp thiết Do đây là một xu thế tất yếu của thời, nên việc tìm hiểu và nghiên cứu về ứng dụng web sẽ giúp ích rất nhiều cho các nhà lập trình web mới, hay các quản trị viên mới còn ít kinh nghiệm trong việc quản trị hệ thống mạng của mình, phòng tránh , hay khắc phục những lỗi của ứng dụng web. Đồ án này được thực hiện nhằm mục đích giới thiệu rõ hơn về ứng dụng web nhằm tránh những nhầm lẫn và đồng thời tìm hiểu về những tấn công ứng dụng web phổ dụng nhằm có cách phòng chống ,bảo mật cho ứng dụng web hợp lý Lời cảm ơn Em xin cảm ơn khoa an toàn thông tin Học viện kỹ thuật MAatj Mã đã tạo điều kiện thuận lợi để em hoàn thành báo cáo thực tập này Cảm ơn Thầy Vũ Đình Thu và các thầy trong khoa an toàn thông tin đã tận tình hướng dẫn cung cấp tài liệu và giúp đỡ em làm báo cáo thực tập này. CHƯƠNG 1 : TỔNG QUAN VỀ WEBSITE 1.1. XU HƯỚNG PHÁT TRIỂN. Các khách hàng quen nhìn nhận sự phát triển của các phương tiện truyền thông mới để mang lại lợi nhuận nhiều hơn về thu tiền tệ. Nhưng khi các tiến bộ trên thế giới thì web đã đảm nhận trách nhiệm vai trò mới. Để mang lại mức tăng của sự tham gia và nhường đường cho các tương tác nhiều hơn, nhiều chương trình dịch vụ cộng đồng đã được mở cửa cho người dân. Hiện nay rất nhiều các dịch vụ một cộng đồng như Face book, Orkut, Hi5, vv, kết nối người dân và cộng đồng. Blog và diễn đàn có thêm như công cụ giúp tốt hơn và nền tảng cho việc tương tác với nhau. Sau đó có Wiki mà làm cho nguồn tài nguyên trực tuyến có sẵn quan trọng cho người dân nói chung. Trong cộng đồng phát triển công nghệ web đã được tái phát triển chủ yếu để làm cho chúng thân thiện và tương tác. Trên mặt trước thiết kế kỹ thuật hai cũng như các lập trình khoa học có được sử dụng để giả mạo sản phẩm cuối cùng vì lợi ích của nhân dân tại lớn. Theo bây giờ nhiều người trong số các sản phẩm hoặc dịch vụ trực tuyến đang có sẵn như là miễn phí và mở các dịch vụ kết thúc. Do đó phát triển cộng đồng web kết hợp tất cả những thay đổi cơ bản được yêu cầu để gở rối web từ giá trị thương mại. Các dịch vụ và các sản phẩm dưới nó có chủ yếu được thiết kế và phát triển để cho phép mọi người đến gần hơn và tận hưởng những lợi ích của công nghệ mới. Đó là giá trị nhắc đến vào thời điểm này mà nhiều tổ chức kinh doanh phát triển sản phẩm, cung cấp dịch vụ để có quan hệ tốt hơn với công chúng. Đôi khi nó có thể xảy ra rằng một dịch vụ cộng đồng miễn phí trong quá trình do thay đổi thời gian ưu đãi của mình và chịu một bản sắc thương mại. 1.2. Khái niệm về ứng dụng web(website widget hay web application) Mang tính kỹ thuật nhiều hơn có thể giải thích các ứng dụng Web truy vấn máy chủ chứa nội dung (chủ yếu trên cơ sở dữ liệu lưu trữ nội dung) và tạo tài liệu Web động để phục vụ yêu cầu của máy khách (chính là người dùng website). Tài liệu được tạo trong kiểu định dạng tiêu chuẩn hỗ trợ trên tất cả mọi trình duyệt (như HTML, XHTML). JavaScript là một dạng script client- side cho phép yếu tố động có ở trên từng trang (như thay đổi ảnh mỗi lần người dùng di chuột tới). Trình duyệt Web chính là chìa khóa. Nó dịch và chạy tất cả script, lệnh… khi hiển thị trang web và nội dung được yêu cầu Dưới góc độ chức năng, ứng dụng Web là các chương trình máy tính cho phép người dùng website đăng nhập, truy vấn vào ra dữ liệu qua mạng Internet trên trình duyệt Web yêu thích của họ. Dữ liệu sẽ được gửi tới người dùng trong trình duyệt theo kiểu thông tin động (trong một định dạng cụ thể, như với HTML thì dùng CSS) từ ứng dụng Web qua một Web Server. Để hiểu hết được ý nghĩa của khái niệm này chúng ta cùng đi sâu vào tìm hiểu tiếp mô hình cấu trúc chức năng và nhiệm vụ của ứng dụng web. Cấu trúc,chức năng,giao diện&nguyên tắc hoạt động cơ bản của ứng dụng web 1.3.1 Cấu trúc cơ bản của một ứng dụng web Mô hình của một ứng dụng web đơn giản chính là mô hình MVC (Model - View - Controller). Tầng Model: chứa các code connect tới database,truy vấn và thêm xóa sửa dữ liệu. Tầng View: chứa các code tạo giao diện tương tác với người dùng, dữ liệu được vẽ ra nhu thế nào Tầng Controller: chứa các code điều khiển dòng dữ liệu (flow control), gắn kết tầng Mode và tầng View lại với nhau. Ứng dụng được chia thành các layer như thế sẽ tăng tính reuse và dễ dàng mở rộng. Chẳng hạn nếu chúng ta muốn ứng dụng có thể truy xuất trên di dộng, chúng ta chỉ cần tạo một tầng view mới riêng cho di động, tầng model và controller không thay dổi. Hay nếu chúng ta muốn thay đổi database, việc đó cũng dễ dàng hơn, chỉ cần ta tạo tầng model mới, phần view và controller không bị ảnh hưởng. Mô hình thể hiện quan hệ của ba lớp trong ứng dụng web: Hình 1. mô hình 3 tầng của một ứng dụng web Còn đây là mô hình của một dịch vụ ứng dụng web: Hình 2. Mô hình dịch vụ ứng dụng web đơn giản Tầng Presentation: được dùng để giao tiếp với người dùng, nhiệm vụ chính là hiển thị dữ liệu và nhận dữ liệu từ người dùng. - Tầng Business Logic: nhiệm vụ chính là cung cấp các chức năng của phần mềm. - Tầng Data: lưu trữ dữ liệu, cho phép lớp Business Logic có thể tìm kiếm, trích xuất, cập nhật… dữ liệu. 1.3.2 Giao diện của một ứng dụng web Giao diện web đặt ra rất ít giới hạn khả năng người dùng. Thông qua Java, JavaScript, DHTML, Flash và những công nghệ khác, những phương pháp chỉ ứng dụng mới có như vẽ trên màn hình, chơi nhạc, và dùng được bàn phím và chuột tất cả đều có thể thực hiện được Những kỹ thuật thông thường như kéo thả cũng được hỗ trợ bởi những công nghệ trên. Những nhà phát triển web thường dùng ngôn ngữ kịch bản phía người dùng để thêm hiệu quả các tính năng, đặc biệt là tạo ra một cảm giác giao tiếp trực quan mà không cần phải tải trang lại (điều mà nhiều người dùng cảm thấy ngắt quãng). Vừa rồi, những công nghệ đã được phát triển để phối hợp ngôn ngữ kịch bản phía người dùng với công nghệ phía máy chủ như PHP. Ajax, một kỹ thuật phát triển web sử dụng kết hợp nhiều công nghệ khác nhau, là một ví dụ về công nghệ hiện đang tạo ra ngày càng nhiều trải nghiệm tương tác hơn. 1.3.3 Chức năng cơ bản của các ứng dụng web Ứng dụng web phổ biến nhờ vào sự có mặt vào bất cứ nơi đâu của một chương trình. Khả năng cập nhật và bảo trì ứng dụng Web mà không phải phân phối và cài đặt phần mềm trên hàng ngàn máy tính là lý do chính cho sự phổ biến của nó. Ứng dụng web được dùng để hiện thực Webmail, bán hàng trực tuyến, đấu giá trực tuyến, wiki, diễn đàn thảo luận, Weblog, MMORPG, Hệ quản trị quan hệ khách hàng và nhiều chức năng khác Web cũng là kênh bán hàng thông minh cho hàng nghìn tổ chức, doanh nghiệp, lớn có, nhỏ có. Với hơn một tỷ người dùng Internet ngày nay (nguồn: Computer Industry Almanac 2006), thương mại điện tử Mỹ sử dụng khoảng 102 tỷ đô la trong năm 2006 cho giao dịch (nguồn: comScore Networks 2007). Tất cả dữ liệu như vậy cần phải được đóng gói, lưu trữ, xử lý và truyền vận theo một cách nào đó, có thể sử dụng ngay hoặc vào một ngày nào đó sau này. Các ứng dụng Web, trong lĩnh vực đăng ký, đệ trình, truy vấn, đăng nhập, bán hàng và hệ thống quản lý nội dung chính là các website widget cho phép thực hiện tất cả công việc mong muốn. Web chính là là yếu tố cơ bản giúp doanh nghiệp tăng cường hình ảnh trực tuyến của mình trên thế giới mạng, tạo ra và duy trì nhiều mối quan hệ đem lại lợi nhuận lâu dài với khách hàng tiềm năng và khách hàng hiện tại. Không nghi ngờ gì là các ứng dụng Web đã trở thành thứ hiện hữu ở khắp mọi nơi trên thế giới. Nhưng do tính kỹ thuật cao và yếu tố tổng hợp phức tạp tự nhiên nên chúng không được nhiều người biết đến chính xác, thậm chí bị hiểu nhầm trầm trọng trong cuộc sống bận rộn hằng ngày. Website ngày nay khác xa so với kiểu đồ họa và văn bản tĩnh của thế kỷ mười chín hay thời kỳ trước đó. Các trang Web hiện đại cho phép người dùng lấy xuống nội dung động cá nhân hóa theo thiết lập và tham chiếu riêng. Hơn nữa chúng cũng có thể chạy các script trên máy khách, có thể “thay đổi” trình duyệt Internet thành giao diện cho các ứng dụng như thư điện tử, phần mềm ánh xạ tương tác (Yahoo Mail, Google Maps). Quan trọng nhất là website hiện đại cho phép đóng gói, xử lý, lưu trữ và truyền tải dữ liệu khách hàng nhạy cảm (như thông tin cá nhân, mã số thẻ tín dụng, thông tin bảo mật xã hội …) có thể dùng ngay hoặc dùng định kỳ về sau. Và, điều này được thực hiện qua các ứng dụng Web. Đó có thể là thành phần webmail (thư điện tử), trang đăng nhập, chương trình hỗ trợ và mẫu yêu cầu sản phẩm hay hoạt động mua bán, hệ thống quản lý nội dung, phát triển website hiện đại, cung cấp cho các doanh nghiệp phương tiện cần thiết để liên lạc với khách hàng tương lai và khách hàng hiện tại. Nguyên tắc hoạt động cơ bản của một ứng dụng web Trong dạng tính toán chủ-khách trước đây, mỗi ứng dụng có chương trình khách riêng của nó sẽ phục vụ như giao diện người dùng và phải được cài đặt riêng rẽ trên mỗi máy tính cá nhân của người dùng. Sự nâng cấp phần máy chủ của ứng dụng sẽ cần nâng cấp tất cả máy khách đã được cài trên mỗi máy trạm người dùng, thêm vào đó là chi phí hỗ trợ và giảm năng suất. Ứng dụng web linh hoạt tạo ra một loạt các tài liệu Web ở định dạng chuẩn được hỗ trợ bởi những trình duyệt phổ biến như HTML/XHTML. Ngôn ngữ kịch bản phía người dùng ở dạng ngôn ngữ chuẩn như JavaScript thường được thêm vào để có thêm những yếu tố động trong giao diện người dùng. Nói chung, mỗi trang Web đơn lẻ được gửi tới người dùng như một tài liệu ổn định, nhưng thứ tự các trang có thể cung cấp cảm giác trực quan, khi những gì người dùng nhập vào sẽ được trả về thông qua thành phần mẫu Web được nhúng vào trong đánh dấu trang. Trong quá trình giao dịch đó, trình duyệt Web sẽ thông dịch và hiển thị trang, và hoạt động như một người dùng chung cho bất kỳ ứng dụng Web nào Theo mô hinh MVC (Model - View - Controller). Hình 3. Mô tả hoạt động của một ứng dụng web Các bước hoạt động của một ứng dụng web đơn giản Bước 1 : Browser tạo một HTTP Request gửi tới ứng dụng web bước 2: Controller chính của Struts là class ActionServlet sẽ bắt request này, phân tích URL của nó, và dựa vào file struts-config.xml để gửi request này tới Action class tương ứng Bước 3: Action class là một class của Struts Framework. Ứng dụng của chúng tathường extends từ class này và viết code để sử lý những business tương ứng. Chẳng hạn ta sẽ có một LoginAction để xử lý việc user login, logout. Bước 4: Action class có thể truy xuất, cập nhật database nếu cần thiết. Bước 5: Khi Action class thực hiện việc xử lý business xong, nó sẽ gửi yêu cầu forward/redirect, cùng với dữ liệu (nếu có) về controller. Bước 6: Controller chuyển control đến trang JSP tương ứng ở tầng view. Nếu trang JSP này có sử dụng dữ liệu, controller sẽ cung cấp cho nó (đây chính là dữ liệu mà action đã tạo ra và đua cho controller Bước 7: Sau khi trang JSP đã chuẩn bị xong, Controller tạo một HTTP Response gửi về cho browser, để browser hiển thị ra màn hình. 1.3.5 Vấn đề bảo mật ứng dụng web Khi mà ứng dụng web phát triển rất nhanh về mọi mặt, khả năng ứng dụng một cách rộng rãi thì vấn đề bảo mật cho ứng dụng web cũng được chú trọng hơn. Mặc dù không thể phủ nhận những cải tiến nâng cao đáng kể hiện nay, nhưng vấn đề về bảo mật trong ứng dụng Web vẫn không ngừng tăng lên. Nguyên nhân có thể xuất phát từ các đoạn mã không phù hợp. Nhiều điểm yếu nghiêm trọng hay các lỗ hổng cho phép hacker xâm nhập thẳng và truy cập vào cơ sở dữ liệu tách lấy dữ liệu nhạy cảm. Nhiều cơ sở dữ liệu chứa thông tin giá trị (như chi tiết cá nhân, thông tin tài chính) khiến chúng trở thành đích nhắm thường xuyên của hầu hết hacker. Mặc dù hoạt động tấn công phá hoại website doanh nghiệp vẫn diễn ra thường xuyên, nhưng bây giờ tin tặc thích tăng cường khả năng truy cập dữ liệu nhạy cảm nằm trên trình chủ chứa database hơn vì lợi nhuận khổng lồ từ các vụ mua bán dữ liệu đem lại. Hình 3 Mô hình hoạt động của một ứng dụng web Trong khung hoạt động mô tả ở trên, bạn có thể thấy thật dễ dàng cho một hacker truy cập nhanh chóng thông tin nằm trên cơ sở dữ liệu chỉ với một chút sáng tạo. Nếu may mắn hơn chúng có thể gặp lỗ hổng xuất phát từ sự cẩu thả hay lỗi người dùng trên các ứng dụng Web. Như đã nói, website phụ thuộc vào cơ sở dữ liệu để phân phối thông tin được yêu cầu cho người dùng. Nếu ứng dụng Web không an toàn (như có lỗ hổng, gặp phải một kiểu kỹ thuật hacking nào đó), toàn bộ cơ sở dữ liệu chứa thông tin nhạy cảm sẽ gặp nguy hiểm nghiệm trọng. Một số hacker có thể chèn mã độc hại vào ứng dụng Web có lỗ hổng để lừa đảo người dùng và dẫn họ tới website phishing. Kỹ thuật này được gọi là Cross-site Scripting, có thể được dùng ngay cả khi bản thân Web Server và nơi chứa cơ sở dữ liệu không có lỗ hổng nào. Một cuộc nghiên cứu gần đây chỉ ra rằng 75% các cuộc tấn công mạng được thực hiện ở mức ứng dụng Web.Website và các ứng dụng Web liên quan luôn phải sẵn sàng 24/7 để cung cấp dịch vụ theo yêu cầu khách hàng, yêu cầu từ phía nhân viên, nhà cung cấp và nhiều người liên quan khác. ZF Tường lửa, SSL không thể bảo vệ ứng dụng Web trước mọi hoạt động hacking, đơn giản vì truy cập vào website phải để ở chế độ public để bất kỳ ai cũng có thể ghé thăm website được. Tất cả hệ thống cơ sở dữ liệu hiện đại (như Microsoft SQL Server, Oracle, MySQL) đều có thể truy cập qua một số cổng cụ thể (như cổng 80, 443). Nếu muốn, một người nào đó có thể kết nối trực tiếp tới cơ sở dữ liệu một cách hiệu quả khi vượt qua cơ chế bảo mật của hệ điều hành. Các cổng này để mở nhằm cho phép liên lạc với hoạt động giao thông mạng hợp pháp, và do đó cũng hình thành nên lỗ hổng lớn nguy hiểm. Các ứng dụng Web thường truy cập dữ liệu cuối như cơ sở dữ liệu khách hàng, điều khiển dữ liệu có giá trị và do đó rất khó để có thể tuyệt đối an toàn. Lúc này truy cập dữ liệu thường không kèm script cho phép đóng gói và truyền tải dữ liệu. Nếu một hacker nhận ra điểm yếu trong một script, anh ta có thể dễ dàng mở lại lưu lượng sang khu vực khác và chia lẻ bất hợp pháp chi tiết cá nhân người dùng, dù đôi khi không hề chủ tâm làm điều đó Hầu hết ứng dụng Web đều là tự tạo, do đó ít có được các kiểm tra trình độ hơn so với phần mềm cùng loại. Do đó các ứng dụng tùy biến thường dễ bị tấn công hơn. Có thể nói ứng dụng Web là một cổng vào (gateway) của cơ sở dữ liệu, nhất là các ứng dụng tùy biến. Chúng không được phát triển với mức bảo mật tốt nhất vì không phải qua các kiểm tra bảo mật thông thường. Nói chung, bạn cần trả lời câu hỏi: “Phần nào trên website chúng ta nghĩ là an toàn nhưng lại mở cửa cho các cuộc tấn công?” và “Dữ liệu nào chúng ta đem vào một ứng dụng khiến nó thực hiện một số điều không nên làm?”.Đó là công việc của phần mềm rà soát lỗ hổng Web. Hiện nay , hacker có rất nhiều cách tấn công một ứng dụng web từ các kĩ thuật cơ bản cho đến những kĩ thuật đòi hỏi kĩ thuật và công nghệ cao cao. Các công cụ(tool) hỗ trợ ra đời ngày càng nhiều , hỗ trợ rất nhiều cho người quản trị mạng , tìm ra những lỗ hổng để có bản vá lỗi kịp thời nhưng đồng thời nó cũng là một con dao hai lưỡi. Hacker có thể dùng những tool này để phát hiện những lỗ hổng của một ứng dụng web và từ đó sẽ có cách tấn công tương ứng vào lỗ hổng này gây ra rất nhiều tổn thất Vì vậy việc nghiên cứu về các kĩ thuật tấn công và những tool cơ bản hiện nay là một nhu cầu tất yếu trong việc nghiên cứu bảo mật ứng dụng web. 1.4. Xu hướng tấn công website – các vấn đề về hacker Máy tính và an ninh mạng luôn là trò chơi mèo vờn chuột không có hồi kết. Những kẻ tấn công không chỉ giỏi về công nghệ mà còn sâu sắc trong nhận định xu hướng xã hội để rồi tìm ra điểm yếu, lỗ hổng khiến nhiều người phải điêu đứng, nhiều tổ chức phải đau đầu. Hãy cùng nhìn lại những xu hướng an ninh mạng hàng đầu trong năm nay để bạn có thể tìm ra cách bảo vệ chiếc máy tính của riêng mình tốt hơn trong thời gian tới. Mục tiêu đe dọa Năm 2010 bắt đầu bằng vụ đại gia Google và hàng loạt các tên tuổi lớn bị tin tặc tấn công. Đây là nét mới mẻ trong lựa chọn mục tiêu của các hacker với công cụ là loại sâu có tên Stuxnet. Gary Egan, giám đốc trung tâm phản hồi an ninh của Symantec cho hay:“Có thể thấy rằng Stuxnet đã mở ra bước phát triển đáng lo ngại của các phần mềm độc hại. Với mục tiêu là các công ty công nghệ lớn, thiệt hại trong thế giới thực là hết sức rõ ràng. Trên thực tế, tác động chính trị và xã hội của loại sâu này đã vượt quá tầm kiểm soát.” Trò chơi trong khuôn cát (sandbox) [...]... phát hiện và khắc phục 261 lỗ hổng, tăng hơn gần 100 lỗi so với con số 170 của năm ngoái.” Bộ công cụ tấn công Web Thêm một năm chứng kiến sự gia tăng chóng mặt của các bộ dụng cụ tấn công Web – thứ cho phép những kẻ “mới vào nghề” nhanh chóng khai thác lỗ hổng bảo mật rồi phát triển các phần mềm độc hại tấn công tinh vi Có thể kể đến Mariposa, một dạng botnet bị ngăn chặn bởi hãng bảo mật Panda như... các tấn công web đòi hỏi các công ty cần phải triển khai một giải pháp bảo mật web mạnh mẽ Hành động lọc URL đơn giản đã xuất hiện một vài năm và nó phải là thành phần cốt lõi trong việc bảo mật web Mặc dù vậy, bảo mật web cần có thêm nhiều tính năng khác ngoài vấn đề lọc URL, chẳng hạn như quét AV, malware, biết các IP xác thực, kỹ thuật phân loại URL và các chức năng ngăn chặn lọt dữ liệu Kẻ tấn công. .. của công ty nếu nó được bảo mật yếu và từ đó họ có thể xâm nhập vào những đường kết nối mạng khác nếu chúng có cấu hình kém Những tấn công này thường âm thầm (không ầm ĩ như những trường hợp deface trang web) nhưng gây tổn thất rất lớn về tài chính Do những tấn công dạng này thường âm thầm, nên các DN không thể chủ quan rằng họ chưa bị hacker viếng thăm vì trang web của họ không bị defaced Những tấn công. .. về một website thì chúng càng có nhiều khả năng tấn công nó Một thông báo lỗi có thể trở thành một mỏ vàng các thông tin cho những kẻ tấn công Một thông báo lỗi liệt kê các phiên bản đặc trưng của các framework ASP.NET và NET có thể được sử dụng bởi các web server, cũng giống như việc bắt các exception vậy Chỉ cần biết các ứng dụng web cơ bản nào được dùng(trường hợp dùng ASP.NET) sẽ cho kẻ tấn công. .. vào hệ thống của ngân hàng và đang mở trang web của Bill) Do đó, ngân hàng ghi nhận lệnh chuyển tiền là do Jack thực hiện và chấp nhận giao dịch đó như một giao dịch hợp lệ và tiền được chuyển đến tài khoản của Bill Loại tấn công kiểu này cực kì nguy hiểm và hầu như rất khó phòng bị Là một nhà phát triển web, công việc của bạn là tìm cách ngăn chặn loại tấn công này Lúc này, bạn hãy nhớ Qui luật 1: Đừng... hơn, họ có thể chạy tập tin trên hosting của họ trên website của bạn để khai thác thông tin • Hiện nay lỗi SQL injection là một trong những lỗi cực kì nguy hiểm • Hacker có thể sử dụng lỗi này để tấn công vào cơ sở dữ liệu của Website hoặc tấn công vào cả server • Hacker có thể ăn cắp , cập nhật thông tin hoặc upload file để hack server • Rất nhiều Website trong nước và quốc tế bị lỗi này •Một số site... và sẽ ngăn cản được việc bị tấn công Vì thế hãy thiết lập "HttpOnly" của "HttpCookie" ở giá trị "true " Tuy nhiên có một cách còn đơn giản và đáng tin cậy hơn là cấu hình cho hệ thống tự động cho phép "HttpOnly" cho tất cả các cookie Chỉ cần đặt "HttpOnlyCookies " của thành phần thành "true" CHƯƠNG 3:CÁC KĨ THUẬT TẤN CÔNG WEB CƠ BẢN A Lý thuyết 1 KIỂM SOÁT TRUY CẬP WEB (Web Access Control) Thâm nhập... cho phần mềm của họ - Hacker mũ xám hay mũ nâu: là những người đôi khi làm công việc của hacker mũ trắng nhưng vẫn làm công việc của hacker mũ đen - Dù tự nhận mình là giới nào, họ vẫn đang làm công việc xâm nhập hệ thống thông qua những lỗ hổng bảo mật Vì vậy tôi sẽ sủ dụng thuật ngữ hacker để chỉ nhũng người tấn công ứng dụng web 1.6.2 HTTP HEARDER HTTP HEARDER là trường phần đầu chứa các thông số... các thao tác trên website của bạn cũng là một việc cần thiết Ngoài ra, bạn cũng nên kiểm tra biến môi trường HTTP_REFERER(bạn có thể thực hiện ngầm) Nếu HTTP_REFERER gửi lệnh không xuất phát từ tên miền của bạn, bạn có thể nghĩ đến trường hợp bị tấn công CFRS Mã hóa kí tự Nên có một bộ kí tự mã hóa riêng cho website của bạn và cơ sở dữ liệu Nếu một yêu cầu gửi từ một website khác đến website bạn, nó... CÁC LỖI BẢO MẬT WEBSITE HIỆN NAY Ngày nay, sự đe dọa lớn nhất đối với an ninh của các mạng máy tính của các tổ chức lại đến từ chính các Website công cộng và các ứng dụng đặt ở trên các web của họ Không giống như các dịch vụ dùng trong mạng cục bộ như là các cơ sở dữ liệu có thể ngăn cản sự truy cập từ bên ngoài thông qua firewalls, thì mọi người đều có thể truy cập vào một trang web công cộng,khiến . trình ứng dụng web. Thống kê cho thấy 75% cuộc tấn công internet là tấn công ứng dụng web, nó gây ra những thiệt hại vô cùng to lớn, vì vậy việc tìm hiểu về tấn công ứng dụng web là rất cần. các ứng dụng web, và tất nhiên nó không thể ngăn chặn hoàn toàn các cuộc tấn công ứng dụng web, khi mà các cuộc tấn công ngày càng đa dạng khai thác triệt để những lỗi của ứng dụng web, của người. mật ứng dụng web. 1.4. Xu hướng tấn công website – các vấn đề về hacker Máy tính và an ninh mạng luôn là trò chơi mèo vờn chuột không có hồi kết. Những kẻ tấn công không chỉ giỏi về công nghệ