An Ninh Mạng Và Kỹ Thuật Tấn Công Ứng Dụng Web

VIỆT-HÀN Trường Cao Đẳng CNTT Hữu Nghị Việt Hàn Khoa Khoa Học Máy Tính Đề tài: Tìm Hiểu An Ninh Mạng Và Kỹ Thuật Tấn Công Ứng Dụng WEB GHVD : Ths. Lê Tự Thanh Học Phần : An Ninh Mạng Lớp Nhóm : CCMM03A :4 NỘI DUNG CHÍNH Tổng quan về ANM và ứng dụng WEB Các kỹ thuật tấn công và bảo mật Tổng kết quá trình tấn công của Hacker Một số công cụ bảo mật ứng dụng WEB Kết luận www.viethanit.edu.vn Trang 2 TỔNG QUAN VỀ AN NINH MẠNG • An ninh mạng là gì ? – – – – – – Là một trong những lĩnh vực mà hiện nay giới công nghệ thông tin khá quan tâm. Nó liên quan đến an toàn thông tin chạy trên mạng. Internet ngày nay hầu như là quá phát triển đến mức ai cũng có thể sử dụng được nó. Các dịch vụ phục vụ lợi ích cho con người ra đời. Sẽ có những người muốn có lợi ích của người khác. Từ đó có tội phạm công nghệ cao => cần an ninh mạng. www.viethanit.edu.vn Trang 3 TỔNG QUAN VỀ AN NINH MẠNG • Hacker – – Là kẻ tấn công hệ thống mạng nhằm một mục đích nào đấy. Hacker mũ đen • – Hacker mũ trắng • – Là kẻ tấn công xâm nhập vào hệ thống mạng với mục đích xấu. Là kẻ tấn công xâm nhập vào hệ thống mạng với mục đích tốt. Hacker mũ xám • Là kẻ mới vào nghề, xâm nhập vào hệ thống mạng theo sở thích. www.viethanit.edu.vn Trang 4 TỔNG QUAN VỀ AN NINH MẠNG www.viethanit.edu.vn Trang 5 TỔNG QUAN VỀ AN NINH MẠNG • Lỗ hổng bảo mật – Lỗ hổng bảo mật có thể nằm trong các thành phần cấu thành nền hệ thống mạng như hạ tầng mạng, hardware, software, services, OS,... – Lỗ hổng bảo mật có thể phân ra các loại sau: • • • Lỗ hổng loại A: Cực kì nguy hiểm => kiểm soát cả hệ thống. Lỗ hổng loại B: Nguy hiểm => mất mát một số dữ liệu. Lổ hổng loại C: Nguy hiểm thấp => ảnh hưởng đến chất lượng dịch vụ => làm chậm, ngưng trệ hệ thống mạng. www.viethanit.edu.vn Trang 6 TỔNG QUAN VỀ AN NINH MẠNG • Đánh giá vấn đề an toàn, bảo mật hệ thống mạng – Phương diện vật lý • • • • • – Có thiết bị dự phòng. Bảo đảm an ninh nơi lưu trữ các máy chủ. Cập nhật, nâng cấp phần cứng cũng như phần mềm. Có nguồn điện dự phòng. Các yếu tố môi trường phù hợp. Phương diện logic • • • • • Tính bí mật Tính xác thực Tính toàn vẹn Tính không thể phủ nhận Tính sẵn sàng www.viethanit.edu.vn Trang 7 TỔNG QUAN VỀ ỨNG DỤNG WEB • Giới thiệu về Website – – – – Tên miền (domain) Nơi lưu trữ (hosting) Nội dung trang web (web page) Website tĩnh • – Là website không có cơ sở dữ liệu. Website động • Là website có cơ sở dữ liệu. www.viethanit.edu.vn Trang 8 TỔNG QUAN VỀ ỨNG DỤNG WEB • Giới thiệu về ứng dụng WEB – Là ứng dụng máy khách/máy chủ thông qua giao thức HTTP để tương tác với người dùng hay với hệ thống. – – – Hiện nay ứng dụng web được sử dụng rất là phổ biến. Phục vụ cho nhiều nhu cầu của con người. Ví dụ: • • • • • Mạng xã hội: facebook, zing, go,… Nghe nhạc và xem phim: zing, youtube,… Games online: vtc games, vina games,… Ngân hàng trực tuyến: vietcombank, paypal, e-gold,… Mua bán online: thegioididong, vatgia, 5giay, muare, enbac,… www.viethanit.edu.vn Trang 9 TỔNG QUAN VỀ ỨNG DỤNG WEB Blogs Công nghệ mới như AJAX(gmail, youtube) Nâng cao chơi games Hỗ trợ WEB động Ứng dụng điện thoại di động (Iphone) Dịch vụ cung cấp thông tin Giao diện WEB phong phú Framework (Library, jQuery) (Facebook, Zing,…) Điện toán đám mây trang WEB như (amazon.com) Mash-up (electronic payment systems) Bách khoa toàn thư và từ điển Phần mềm văn phòng trực tuyến (Google Docs and Microsoft light) Dễ dàng tạo, sử đổi, xóa dữ liệu bởi người dùng cá nhân www.viethanit.edu.vn Tương tác với ứng dụng khác Nền tảng Google và các dịch vụ miễn phí (Google maps) Trang 10 TỔNG QUAN VỀ ỨNG DỤNG WEB • Các đối tượng dễ bị tấn công Các ứng dụng WEB Thành phần bên thứ ba Cơ sở dữ liệu Máy chủ WEB Hệ điều hành HT mạng Bảo mật www.viethanit.edu.vn Lỗ hổng trong kinh doanh-logic Nguồn mở/thương mại Oracle/MySQL/MS SQL Apache/Microsoft IIS Windows/Linux Router/Switch IPS/IDS Trang 11 TỔNG QUAN VỀ ỨNG DỤNG WEB • Thống kê bảo mật ứng dụng WEB www.viethanit.edu.vn Trang 12 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • JavaScript – – – – Được gọi là ngôn ngữ kịch bản. JavaScript được hãng Netscape phát triển. Mircrosoft cũng có một ngôn ngữ kịch bản gọi là VBScript Ví dụ: • Vào trang một trang http://facebook.com để đọc thông tin và chơi games thì trên trang web nó chứa một Script. Script nhúng trò chơi đấy vào trang web hay đoạn video đấy vào trang web. • Flash – Hiện nay được sử dụng rất phổ biến. www.viethanit.edu.vn Trang 13 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • HTTP Header – – – Là phần mào đầu của gói tin với giao thức HTTP hoạt động ở lớp ứng dụng. Các Hacker có thể biết các thông tin từ HTTP Header này. Ví dụ: gói tin được bắt từ phần mềm Wireshark Các gói tin bắt được giao thức HTTP. www.viethanit.edu.vn Trang 14 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • HTTP Header Gói tin Request truy vấn đến trang Zing.vn www.viethanit.edu.vn Trang 15 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • HTTP Header Gói tin Response từ máy chủ WEB trả lời www.viethanit.edu.vn Trang 16 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • Session – Session ID là một chuỗi để chứng thực phiên làm và giúp máy chủ quản lý tốt các session của người dùng. – – Phiên làm việc chỉ tồn tại trong một khoảng thời gian cho phép. Để duy trì phiên làm việc session ID thường lưu trữ: • • • – Biến URL Biến ẩn Form Cookie Ví dụ: • Tài khoản trang doc.viethanit.edu.vn sau một khoảng thời gian mà không thao tác với máy chủ thì sẽ yêu cầu đăng nhập lại. www.viethanit.edu.vn Trang 17 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • Cookie – – – – – Là phần dữ liệu nhỏ có cấu trúc được chia sẽ giữa máy chủ và trình duyệt người dùng. Được lưu trữ dưới dạng những file nhỏ dạng text. Lưu trữ những thông tin người dùng đã ghé thăm vào trang WEB trên trình duyệt của người dùng. Thông tin có thể là username, password, session, … Ví dụ: • • Khi đăng nhập lần đầu tiên trang http://faebook.com thì máy sẽ load trang đấy rất lâu. Nhưng hôm sau khi vào lại trang http://facebook.com thì máy chạy vi vu, load trang rất nhanh. www.viethanit.edu.vn Trang 18 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • Proxy – – – – Proxy cung cấp cho người sử dụng truy xuất Internet một cách đặt biệt. Khi triển khai máy chủ proxy thì lợi ích sẽ là băng thông nhưng nhược điểm của nó là bảo mật. Proxy được coi như là người trung gian giữa máy chủ và máy khách. Ví dụ: • • Không thể truy cập vào http://facebook.com là do nhà mạng chặn IP facebook có thể là do dùng ACL hay firewall. Để đi được vào trang http://facebook.com chỉ cần sử dụng proxy www.viethanit.edu.vn Trang 19 TỔNG QUAN VỀ ỨNG DỤNG WEB • Kiến trúc một ứng dụng WEB www.viethanit.edu.vn Trang 20 TỔNG QUAN VỀ ỨNG DỤNG WEB • Kiến trúc một ứng dụng WEB – Máy khách • – Máy chủ WEB • • • – Là nới lưu trữ nội dung của website. Nơi tiếp nhận và phục vụ các yêu cầu dịch vụ từ máy khách. Phần mềm chạy dịch vụ WEB có thể là IIS, Apache, Tom cat,… Ứng dụng WEB • – Cần phải có chương trình duyệt WEB, hệ điều hành tích hợp sẵn hoặc cài đặt thêm như chrome, firefox, opera,… Có thể là đoạn code hay flash nhúng vào trang WEB. Cơ sở dữ liệu • Lưu các thông tin của người sử dụng và database của ứng dụng. www.viethanit.edu.vn Trang 21 TỔNG QUAN VỀ ỨNG DỤNG WEB • Nguyên lý hoạt động của một ứng dụng WEB www.viethanit.edu.vn Trang 22 NỘI DUNG CHÍNH Tổng quan về ANM và ứng dụng WEB Các kỹ thuật tấn công và bảo mật Tổng kết quá trình tấn công của Hacker Một số công cụ bảo mật ứng dụng WEB Kết luận www.viethanit.edu.vn Trang 23 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Tràn bộ nhớ đệm (Buffer Overflow) – Người dùng nhập vượt quá dữ liệu cho phép nhập vào máy chủ => tình trạng tràn bộ nhớ đệm => ứng dụng không được thự thi mà thay vào đó sẽ là một đoạn code của Hacker. – – Lỗi này thường do người lập trình kém hoặc mới vào nghề. Ví dụ: Xét đoạn code sau www.viethanit.edu.vn Trang 24 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Biện pháp bảo mật khắc phục (Buffer Overflow) – – – Người thiết kế website hay lập trình website cần phải kiểm tra kĩ dữ liệu nhập vào của người sử dụng. Xử lý ngoại lệ để có thể ngăn Hacker chèn đoạn mã độc. Ví dụ: • Như ví dụ trên nếu như người lập trình xây dụng một vòng lặp kiểm tra các kí tự nhập vào. Nếu nhâp lớn hơn 256 ký tự sẽ yêu cầu người dùng nhập lại. www.viethanit.edu.vn Trang 25 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Vượt đường dẫn (Directory Traversal) – – – Thư mục www/root là thư mục chứa trang WEB Có nghĩa người dùng truy nhập lên máy chủ chính là lấy trang web trong thư mục này. Hacker có thể truy xuất sang các thư mục khác. www.viethanit.edu.vn Trang 26 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Biện pháp bảo mật khắc phục (Directory Traversal) – – Người quản trị viên cần phải phân quyền hợp lý cho người sử dụng. Ứng dụng cần kiểm tra việc truy xuất tập tin trước khi xuất ra kết quả trả về cho trình duyệt người sử dụng. www.viethanit.edu.vn Trang 27 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Kí tự rỗng (Char Null) – – – Nhiều ứng dụng WEB sử dụng ngôn ngữ C hay java để lập trình. Hacker lợi dụng những kí tự chuỗi để đánh lừa ứng dụng WEB. Ví dụ: • • – Chuỗi là 123456 là ban đầu. Hacker chèn kí tự rỗng vào như sau 123\0456 thì bây giờ chuỗi còn lại là 123. Mục đích là nhằm Hacker có thể vượt những khâu kiểm tra chuỗi. www.viethanit.edu.vn Trang 28 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Biện pháp bảo mật khắc phục (Char Null) – – Kiểm tra chấp nhận những dữ liệu hợp lệ. Loại bỏ những kí tự có ý nghĩa cắt chuỗi như trong C “\” nói riêng còn đối với lập trình thì nói chung. www.viethanit.edu.vn Trang 29 CÁC THAO TÁC TRÊN THAM SỐ TRUYỀN • Thao tác với URL – Khi trình duyệt web giao tiếp với máy chủ WEB thì cần phải có phương thức GET hoặc POST thông qua giao thức HTTP. – – GET là giao thức thiếu bảo mật và như thế là POST được thay thế GET. Ví dụ: • User người sử dụng đăng nhập http://nganhangtructuyen.com/example?user=quocnhan&pass=123 • Hacker http://nganhangtrutuyen.com/example?user=admin&newpass=1234 www.viethanit.edu.vn Trang 30 CÁC THAO TÁC TRÊN THAM SỐ TRUYỀN • Biện pháp bảo mật khắc phục (URL) – – Thay phương thức GET bằng POST. Mã hóa các thông tin cần thiết trước khi gửi và nhận. www.viethanit.edu.vn Trang 31 CÁC THAO TÁC TRÊN THAM SỐ TRUYỀN • Thao tác với biến ẩn trong Form – – Một số thông tin được chuyển sang biến ẩn của form gọi là hidden form field. Các giá trị ẩn sẽ không hiển thị trên trình duyệt người dùng mà sẽ chạy ngầm. Thấy được chúng “view source”. – – Tấn công này là làm nền cho tấn công tràn bộ đệm vì chúng có thể sửa lại kích thước bộ nhớ cấp phát. Ví dụ: Giá sản phầm là 200$ nhưng Hacker sửa lại giá còn 2$. www.viethanit.edu.vn Trang 32 CÁC THAO TÁC TRÊN THAM SỐ TRUYỀN www.viethanit.edu.vn Trang 33 CÁC THAO TÁC TRÊN THAM SỐ TRUYỀN • Biện pháp bảo mật khắc phục – Chỉ sử dụng biến ẩn của form để hiện thị dữ liệu trên trình duyệt • Ví dụ: Người thiết kế WEB, thiết kế khi bấm vào hình to thì hình sẽ được phóng to còn ngược lại là hình sẽ thu nhỏ, … – – Dùng một session ID để đối chiếu đến thông tin được lưu trữ trên cơ sở dữ liệu. Sử dụng mã hóa để trang web được an toàn. www.viethanit.edu.vn Trang 34 CÁC THAO TÁC TRÊN THAM SỐ TRUYỀN • Thao tác với Cookie – Cookie là thành phần lưu trữ các thông tin bảo mật nhất nên Cookie thường lưu trữ trạng thái cho giao thức HTTP. – – Hacker có thể thay đổi nội dung trong quá trình truyền từ người dùng đến máy chủ WEB. Ví dụ: Cookie lưu trữ thông tin tài khoản ngân hàng Cookie: lang=en-us; admin=no; y=1; time=8:30GMT; • Hacker có thể thay đổi như sau Cookie: lang=en-us; admin=yes; y=1; time=8:30GMT; www.viethanit.edu.vn Trang 35 CÁC THAO TÁC TRÊN THAM SỐ TRUYỀN • Biện pháp bảo mật khắc phục – – – Sử dụng thông tin session để chứng thực kiểm tra người sử dụng có hợp lệ hay không. Mã hóa Cookie để nhỡ Hacker có lấy được cũng tốn thời gian giải mã. Kiểm tra nội dung Cookie để tìm ra giá trị không hợp lệ. • Ví dụ: nếu cờ của “người quản trị” được thiết lập đúng trong Cookie, nhưng giá trị STT của “người sử dụng” không giống với STT của “người quản trị” được lưu trữ trên máy chủ. www.viethanit.edu.vn Trang 36 CHIẾM HỮU PHIÊN LÀM VIỆC • Ấn định phiên làm việc (Session Fixation) – – Chiếm phiên làm việc của người dùng. Phiên làm việc được Hacker ấn định sẵn. www.viethanit.edu.vn Trang 37 CHIẾM HỮU PHIÊN LÀM VIỆC • Biện pháp bảo mật khắc phục (Session Fixation) – Người dùng: • • – Khuyến cáo người dùng biết tự bảo vệ mình. Không lưu trữ thông tin hay các tập tin Cookie trong trình duyệt khi đã thoát ra. Máy chủ: • • • • Không cho phép đăng nhập với một Session ID có sẵn. Kết hợp Session ID với thông tin chứng thực đã được mã hóa SSL. Thiết lập thời gian hết hiệu lực của một Session ID. Xóa bỏ những Session ID hết liệu lực hoặc thoát khỏi hệ thống. www.viethanit.edu.vn Trang 38 CHIẾM HỮU PHIÊN LÀM VIỆC • Đánh cắp phiên làm việc (Session Hijacking) – – – Hacker mạo danh người dùng hợp lệ khi người dùng đã đăng nhập vào hệ thống. Giải mã Session ID, Cookie, URL, Hacker có thể sử dụng các phương pháp sau để đánh cắp phiên làm việc: • Dự đoán phiên làm việc: Nghĩa là Hacker phải phân tích Session ID của nhiều lần đăng nhập để biết được thuật toán => dự đoán phiên làm việc của người sử dụng. • Vét cạn phiên làm việc: Hacker sẽ dùng một chương trình quét dãy Session ID để tìm thấy các Session ID đang tồn tại và từ đó tìm ra quy luật. • Dùng đoạn mã đánh cắp phiên làm việc www.viethanit.edu.vn Trang 39 CHIẾM HỮU PHIÊN LÀM VIỆC • Biện pháp bảo mật khắc phục (Session Hijacking) – – Thuật toán tạo ra Session ID là một vấn đề lớn của các nhà lập trình. Kích thước của Session ID, nếu kích thước quá ngắn thì kĩ thuật vét cặn sẽ có hiệu lực nhưng kích thước quá dài sẽ dẫn đến giải mã lâu => tốn thời gian máy chủ. www.viethanit.edu.vn Trang 40 TỪ CHỐI DỊCH VỤ (DOS) • Mục tiêu của DOS – – – – – Làm cho dịch vụ mạng bị tê liệt, nói cách khác là không thể phục vụ cho các máy khách được nữa. Tấn công vào disks Tấn công vào Ram Tấn công Bandwith Tấn công vào Swap Space www.viethanit.edu.vn Trang 41 TỪ CHỐI DỊCH VỤ (DOS) • Tấn công DOS truyền thống SYN Flood – Dựa vào bắt tay 3 bước của giao thức TCP. www.viethanit.edu.vn Trang 42 TỪ CHỐI DỊCH VỤ (DOS) SYN Ha ck er SYN+ACK NO ACK Chờ er Hack Quá tải er Hack www.viethanit.edu.vn Host A k er Hac Trang 43 TỪ CHỐI DỊCH VỤ (DOS) • Tấn công DDOS – – – Tấn công này rất thông dụng được Hacker ưu thích. Với DDOS đã tấn công thì phải sập. Ví dụ: • • 28/11/2010 wikileaks.org bị một nhóm Hacker tấn công DDOS và hệ thống tê liệu hoàn toàn. Ngày 14/02/2012 nhóm Hacker tấn công DDOS vào trang bkav.com làm hệ thống ngưng hoạt động trong một ngày. Nhóm Hacker này còn lấy được cả database của Bkis. www.viethanit.edu.vn Trang 44 TỪ CHỐI DỊCH VỤ (DOS) • Biện pháp bảo mật khắc phục – – – Giảm thời giam chờ thiết lập kết nối (DOS) Dùng những phần mềm phát hiện DOS cũng như DDOS Sử dụng Firewall hay hệ thống IPS, IDS để hiệu quả hơn. www.viethanit.edu.vn Trang 45 CHÈN CÂU TRUY VẤN SQL (SQL INJECTION) • Kĩ thuật tấn công SQL Injection – Là kĩ thuật tấn công cho phép Hacker lợi dụng lỗ hổng trong việc kiểm tra nhập dữ liệu trong các ứng dụng WEB. – – Dựa vào các thông báo lỗi SQL tìm ra lỗ hổng. Ví dụ: Sau đây là một vài site bị lỗ hổng SQL Injection. • http://vsmc.com.vn và http://www.bluestar-vn.com www.viethanit.edu.vn Trang 46 CHÈN CÂU TRUY VẤN SQL (SQL INJECTION) www.viethanit.edu.vn Trang 47 CHÈN CÂU TRUY VẤN SQL (SQL INJECTION) • Tấn công vượt form đăng nhập đơn giản – – – Lỗ hổng không xuất phát từ form đăng nhập. Mà chính là những kí tự của Hacker nhập vào. Đoạn code đăng nhập trong form www.viethanit.edu.vn Trang 48 CHÈN CÂU TRUY VẤN SQL (SQL INJECTION) www.viethanit.edu.vn Trang 49 CHÈN CÂU TRUY VẤN SQL (SQL INJECTION) • Đoạn code sau khi Hacker nhập vào như sau: www.viethanit.edu.vn Trang 50 CHÈN CÂU TRUY VẤN SQL (SQL INJECTION) • Biện pháp bảo mật khắc phục – – – – – – Không cho thông báo lỗi SQL Injection ra màn hình hiển thì để Hacker không thể biết chính xác lỗi. Kiểm tra giá trị nhập vào của người sử dụng, những kí tự đặc biệt. Hãy loại bỏ các kí tự “, ‘, /, \, ; ,…và các từ khóa như NULL,.. Sử dụng phương phức POST thay cho GET Cô lập máy CSDL và máy chủ WEB. Nên sử dụng tài khoản có đặc quyền thấp truy xuất vào CSDL và phân quyền cho người dùng đúng với mục đích. www.viethanit.edu.vn Trang 51 CHÈN MÃ LỆNH THỰC THI TRÊN TRÌNH DUYỆT NẠN NHÂN (XSS) • Kĩ thuật tấn công XSS – Là phương pháp tấn công bằng cách chèn các đoạn mã lệnh có khả năng đánh cắp hay thiết lập được các thông tin quan trọng như Cookie, tài khoản, mật khẩu,… – – – Lợi dụng sự tò mò của người dùng cũng như bất cẩn. Kĩ thuật này không nhằm đến máy chủ mà nhắm đến người sử dụng các ứng dụng WEB. Kĩ thuật này được coi là kĩ thuật phổ biến nhất hiện nay, các trang web ở Việt Nam đa số đều dính lỗi này. www.viethanit.edu.vn Trang 52 CHÈN MÃ LỆNH THỰC THI TRÊN TRÌNH DUYỆT NẠN NHÂN (XSS) • Hacker tấn công thông qua máy chủ ứng dụng WEB www.viethanit.edu.vn Trang 53 CHÈN MÃ LỆNH THỰC THI TRÊN TRÌNH DUYỆT NẠN NHÂN (XSS) • Hacker tấn công thông qua máy chủ ứng dụng WEB www.viethanit.edu.vn Trang 54 CHÈN MÃ LỆNH THỰC THI TRÊN TRÌNH DUYỆT NẠN NHÂN (XSS) • Hacker tấn công thông qua máy chủ ứng dụng WEB www.viethanit.edu.vn Trang 55 CHÈN MÃ LỆNH THỰC THI TRÊN TRÌNH DUYỆT NẠN NHÂN (XSS) • Tấn công thông qua máy khách – Tấn công qua Email www.viethanit.edu.vn Trang 56 Ví Dụ XSS: Tấn Công Thông Qua Email Trình duyệt của người Kịch bản chứa mã độc Máy chủ của Attacker dùng Máy chủ tin cậy Xây dựng link chứa mã độc hại Gởi Email cho người dùng và thuyết phục click vào nó. Gởi trang yêu cầu Trang chứa kịch bản dính mã độc Thực thi www.viethanit.edu.vn Trang 57 Ví Dụ XSS: Đánh Cắp Cookie Người Dùng Trình duyệt của người Kịch bản chứa mã độc Máy chủ của Attacker dùng Máy chủ tin cậy Máy chủ chứa trang web với kịch bản độc hại Xem trang web của Attacker HTML có chứa kịch bản độc hại Thực thi Chuyển hướng đến máy chủ của Thu thập Cookies của người dùng Attacker Gởi yêu cầu Cookies của thành viên này www.viethanit.edu.vn Trang 58 Ví Dụ XSS: Gởi Và Yêu Cầu Trái Phép Trình duyệt của người Kịch bản chứa mã độc Máy chủ của Attacker dùng Máy chủ tin cậy Xây dựng link chứa mã độc hại Gởi Email cho người dùng và thuyết phục click vào nó. Gởi yêu cầu trang web Trang web chứa kịch bản độc hại Thực thi Gởi yêu cầu trái phép www.viethanit.edu.vn Trang 59 CHÈN MÃ LỆNH THỰC THI TRÊN TRÌNH DUYỆT NẠN NHÂN (XSS) • Biện pháp bảo mật khắc phục – Đối người thiết kế WEB hay lập trình cần chú ý: • • • – Xóa bỏ thẻ hay tắt chức năng thẻ Tạo danh sách thẻ HTML được sử dụng. Cho phép nhập những kí tự đặc biệt nhưng mã hóa theo chuẩn riêng. Đối với người dụng: • • • Phải biết tự bảo vệ mình là chính. Không mở thư hay click vào những đường link không rõ nguồn gốc. Cần cài các chương trình diệt virus để có thể phòng chống tốt hơn. www.viethanit.edu.vn Trang 60 PHÒNG CHỐNG TẤN CÔNG DỊCH VỤ WEB Thực hiện xác nhận đầu vào Cấu hình tường lửa chặn gói ICMP Cập nhật bản vá lỗi hiện tại Kết nối CSDL với tài khoản không đặc Phân tích mã nguồn SQL injection quyền Sử dụng thủ tục lưu trữ và truy vấn tham số Giảm thiểu ứng dụng trung gian Cấp quyền tối thiểu với CSDL, bảng và các cột Thực hiện kiểm tra và phân tích Vô hiệu hóa các lệnh như XP_cmdshell mã nguồn Vô hiệu hóa thông báo lỗi chi tiết và sử dụng thông báo lỗi tùy chỉnh Thực hiện lọc LDAP càng kĩ càng tốt www.viethanit.edu.vn Trang 61 NỘI DUNG CHÍNH Tổng quan về ANM và ứng dụng WEB Các kỹ thuật tấn công và bảo mật Tổng kết quá trình tấn công của Hacker Một số công cụ bảo mật ứng dụng WEB Kết luận www.viethanit.edu.vn Trang 62 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • • • Thu thập thông tin ở mức cơ sở hạ tầng Khảo sát ứng dụng WEB Tấn công www.viethanit.edu.vn Trang 63 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Footprinting (thu thập thông tin) • • • Bước đầu tiên trong việc thu thập thông tin. Tìm hiểu về hạ tầng mạng cũng như người quản trị viên. Công cụ: – – – – • http://www.whois.net http://iptools.com http://netcraft.com http://www.tamos.com Ví dụ: thông tin tên miền 2mit.net với công cụ whois.net www.viethanit.edu.vn Trang 64 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 65 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 66 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 67 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 68 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 69 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Scanning (quét thăm dò) • • • • Thăm dò hiện hệ thống máy chủ Bước này rất quang trọng Thông tin về hệ điều hành máy chủ, dịch vụ, giao thức, port nào đang hoạt động trên máy chủ. Công cụ: – – – – – • Nmap Netscan tools pro Hping Fping SuperScan Ví dụ: Quét máy chủ 2mit.net với nmap www.viethanit.edu.vn Trang 70 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 71 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 72 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Enmeration (liệt kê lỗ hổng) • • • Là tìm kiếm kiếm trên máy chủ những ứng dụng, dịch vụ nào đang chạy mà bảo vệ kém. Ví dụ: nhiều máy chủ mở rất nhiều port trong khi không sử dụng dịch vụ đấy. Công cụ: – – – – • Acunetix Web Vulnerabitily Scanner Urlscan WWWhack Nessus Ví dụ: Quét máy lỗ hổng máy chủ web http://mang3a.com www.viethanit.edu.vn Trang 73 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 74 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Gaining Access (tìm cách xâm nhập) • • • Hacker sẽ tìm đủ mọi cách có thể xâm nhập vào hệ thống mạng. Ví dụ: thông qua email, tài khoản,… để xâm nhập vào hệ thống. Công cụ: – • BlackWidow Ví dụ: Quét máy lỗ hổng máy chủ web http://2mit.org www.viethanit.edu.vn Trang 75 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 76 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 77 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 78 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER www.viethanit.edu.vn Trang 79 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Escalating privilege (leo thang theo đặc quyền) • • • Hacker sẽ tìm cách cracker password của một user nào đấy Xâm nhập vào hệ thống tìm cách leo thang từ từ theo đặc quyền. Ví dụ: – – – Hacker tấn công vào tài khoản nào đấy. Khi chiếm được quyền kiểm soát tài khoản đấy. Tiếp tục tìm lỗ hổng hoặc leo thang theo đặc quyền để tìm user có quyền cao hơn. www.viethanit.edu.vn Trang 80 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Pilfering (file chứa password có lỗ hổng) • • • Tùy vào trường hợp. Có thể có hoặc không, bước này được ví như là hên xui. Ví dụ: – – – Giả sử Hacker tấn công vào hệ thống máy chủ và may mắn là lấy được danh sách username và password. Nếu danh sách này dạng text thì không gì phải bàn nữa rồi. Nếu danh sách này đã được mã hóa dùng thuật toán md5 thay bất kì thuật toán nào đấy. Nhiệm vụ của Hacker là giải mã danh sách này thành dạng text. – Tất nhiên một số trường hợp sẽ giải mã ra là do đặc password yếu, nhưng một số thì giải mã cả đời cũng không bao giờ ra. www.viethanit.edu.vn Trang 81 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Pilfering (file chứa password có lỗ hổng) • • • Tùy vào trường hợp. Có thể có hoặc không, bước này được ví như là hên xui. Ví dụ: – – – Giả sử Hacker tấn công vào hệ thống máy chủ và may mắn là lấy được danh sách username và password. Nếu danh sách này dạng text thì không gì phải bàn nữa rồi. Nếu danh sách này đã được mã hóa dùng thuật toán md5 thay bất kì thuật toán nào đấy. Nhiệm vụ của Hacker là giải mã danh sách này thành dạng text. – Tất nhiên một số trường hợp sẽ giải mã ra là do đặc password yếu, nhưng một số thì giải mã cả đời cũng không bao giờ ra. www.viethanit.edu.vn Trang 82 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Thu thập thông tin ở mức cơ sở hạ tầng – Covering Tracks (xóa dấu vết) • Công đoạn này khà là quan trọng, nó giúp chúng ta biết được Hacker tấn công hệ thống mạng là ai thuộc loại Hacker nào. • • Hacker chuyên nghiệp thì anh ta sẽ không bao giờ thấy dấu vết của anh ấy. Ví dụ: – – Điển hình là cuộc tấn công DDOS trang web vietnamnet.vn vẫn chưa tìm ra ai là thủ phạm. Nhưng cũng có những Hacker chỉ tấn công được 1 ngày sau khi bị bắt chẳng hạn như thủ phạm tấn công trang web bkav.com. www.viethanit.edu.vn Trang 83 TỔNG KẾT QUÁ TRÌNH TẤN CÔNG CỦA HACKER • Khảo sát ứng dụng WEB – Để khảo sát ứng dụng Web thật sự hiệu quả thì Hacker phải biết rõ về trang web đấy cũng như các ngôn ngữ lập trình WEB. – Ngoài ra Hacker còn quan tâm đến các vấn đề sau: • • • • Luồng di chuyển thông tin. Vượt qua cơ chế kiểm soát. Nghiên cứu và tìm hiểu sâu về chứng năng của ứng dụng WEB. Tấn công – Sau khi đã thu thập đầy đủ thông tin cần thiết bây giờ Hacker chỉ việc tấn công theo kịch bản đã dựng sẵn. www.viethanit.edu.vn Trang 84 NỘI DUNG CHÍNH Tổng quan về ANM và ứng dụng WEB Các kỹ thuật tấn công và bảo mật Tổng kết quá trình tấn công của Hacker Một số công cụ bảo mật ứng dụng WEB Kết luận www.viethanit.edu.vn Trang 85 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB • Bộ công cụ bảo mật ứng dụng WEB – – – Giúp người quản trị viên có thể biết được tình hình hay trạng thái của trang WEB mình. Hacker có thể dựa vào các công cụ này mà biết được các lỗ hổng tấn công vào hệ thống mạng. Nên dùng nhiều bộ công cụ khác nhau để quét các ứng dụng WEB của mình để có thể đạt hiệu suất cao nhất. – Điển hình như: • • • • Acunetix Web Vulnerability Scanner. N-Stalker Web Application Security Scanner. WebSecurity. Webscan. www.viethanit.edu.vn Trang 86 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB www.viethanit.edu.vn Trang 87 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB www.viethanit.edu.vn Trang 88 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB www.viethanit.edu.vn Trang 89 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB www.viethanit.edu.vn Trang 90 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB • Tường lửa ứng dụng WEB – – Phương pháp bảo mật ứng dụng WEB hiểu quả. Đưa ra phương thức phòng chống lại các tin tặc khai thác lỗ hổng cũng như cảnh báo cho người quản trị viên. – Điển hình như: • • DotDefender IBM AppScan www.viethanit.edu.vn Trang 91 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB www.viethanit.edu.vn Trang 92 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB www.viethanit.edu.vn Trang 93 NỘI DUNG CHÍNH Tổng quan về ANM và ứng dụng WEB Các kỹ thuật tấn công và bảo mật Tổng kết quá trình tấn công của Hacker Một số công cụ bảo mật ứng dụng WEB Kết luận www.viethanit.edu.vn Trang 94 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB • Những vấn đề đạt được qua đề tài – – – – Nắm được rõ các mánh khóe của Hacker. Có thể tự bảo vệ mình trước Internet cũng như các lời chào mời hấp dẫn từ Hacker. Đối với cộng đồng xử dụng Internet, kêu gọi mọi người hãy tự bảo vệ mình trước Internet. Đối với người quản trị mạng, sẽ giúp cho anh ta biết được các lỗ hổng bảo mật trong hệ thống mạng cũng như ứng dụng web và tìm cách vá những lỗ hổng ấy lại một cách hiệu quả nhất. www.viethanit.edu.vn Trang 95 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB • Hạn chế trong đề tài – – Hạn chế lơn nhất trong đề tài này là demo không đầy đủ các phương thức tấn công. Hạn chế về ngôn ngữ lập trình WEB. Để tấn công được các ứng dụng không chỉ biết sử dụng các công cụ mà đòi hỏi Hacker cần phải có kiến thức về ngôn ngữ lập trình WEB. www.viethanit.edu.vn Trang 96 MỘT SỐ CÔNG CỤ BẢO MẬT ỨNG DỤNG WEB • Hướng phát triển – – Trong phạm vi môn “An Ninh Mạng” về cơ bản đã nắm được các vấn đề đã đặt ra. Nếu có điều kiện sẽ cố gắng phát huy các vấn đề sau: • • Tìm hiểu ngôn ngữ lập trình WEB để có thể hiểu rõ sâu về các source của trang web. Tìm kiểu và cố gắng demo kĩ thuật tấn công ứng dụng WEB ở mức độ cao hơn. www.viethanit.edu.vn Trang 97 VIỆT-HÀN Thank You! Everyone listen for group [...]... database của ứng dụng www.viethanit.edu.vn Trang 21 TỔNG QUAN VỀ ỨNG DỤNG WEB • Nguyên lý hoạt động của một ứng dụng WEB www.viethanit.edu.vn Trang 22 NỘI DUNG CHÍNH Tổng quan về ANM và ứng dụng WEB Các kỹ thuật tấn công và bảo mật Tổng kết quá trình tấn công của Hacker Một số công cụ bảo mật ứng dụng WEB Kết luận www.viethanit.edu.vn Trang 23 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Tràn... người trung gian giữa máy chủ và máy khách Ví dụ: • • Không thể truy cập vào http://facebook.com là do nhà mạng chặn IP facebook có thể là do dùng ACL hay firewall Để đi được vào trang http://facebook.com chỉ cần sử dụng proxy www.viethanit.edu.vn Trang 19 TỔNG QUAN VỀ ỨNG DỤNG WEB • Kiến trúc một ứng dụng WEB www.viethanit.edu.vn Trang 20 TỔNG QUAN VỀ ỨNG DỤNG WEB • Kiến trúc một ứng dụng WEB – Máy khách... QUAN VỀ ỨNG DỤNG WEB • Các đối tượng dễ bị tấn công Các ứng dụng WEB Thành phần bên thứ ba Cơ sở dữ liệu Máy chủ WEB Hệ điều hành HT mạng Bảo mật www.viethanit.edu.vn Lỗ hổng trong kinh doanh-logic Nguồn mở/thương mại Oracle/MySQL/MS SQL Apache/Microsoft IIS Windows/Linux Router/Switch IPS/IDS Trang 11 TỔNG QUAN VỀ ỨNG DỤNG WEB • Thống kê bảo mật ứng dụng WEB www.viethanit.edu.vn Trang 12 MỘT SỐ THUẬT... THUẬT NGỮ ỨNG DỤNG WEB • JavaScript – – – – Được gọi là ngôn ngữ kịch bản JavaScript được hãng Netscape phát triển Mircrosoft cũng có một ngôn ngữ kịch bản gọi là VBScript Ví dụ: • Vào trang một trang http://facebook.com để đọc thông tin và chơi games thì trên trang web nó chứa một Script Script nhúng trò chơi đấy vào trang web hay đoạn video đấy vào trang web • Flash – Hiện nay được sử dụng rất phổ... truy vấn đến trang Zing.vn www.viethanit.edu.vn Trang 15 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • HTTP Header Gói tin Response từ máy chủ WEB trả lời www.viethanit.edu.vn Trang 16 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • Session – Session ID là một chuỗi để chứng thực phiên làm và giúp máy chủ quản lý tốt các session của người dùng – – Phiên làm việc chỉ tồn tại trong một khoảng thời gian cho phép Để duy trì phiên làm... www.viethanit.edu.vn Trang 13 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • HTTP Header – – – Là phần mào đầu của gói tin với giao thức HTTP hoạt động ở lớp ứng dụng Các Hacker có thể biết các thông tin từ HTTP Header này Ví dụ: gói tin được bắt từ phần mềm Wireshark Các gói tin bắt được giao thức HTTP www.viethanit.edu.vn Trang 14 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • HTTP Header Gói tin Request truy vấn đến trang Zing.vn... Tài khoản trang doc.viethanit.edu.vn sau một khoảng thời gian mà không thao tác với máy chủ thì sẽ yêu cầu đăng nhập lại www.viethanit.edu.vn Trang 17 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • Cookie – – – – – Là phần dữ liệu nhỏ có cấu trúc được chia sẽ giữa máy chủ và trình duyệt người dùng Được lưu trữ dưới dạng những file nhỏ dạng text Lưu trữ những thông tin người dùng đã ghé thăm vào trang WEB trên trình... chủ WEB • • • – Là nới lưu trữ nội dung của website Nơi tiếp nhận và phục vụ các yêu cầu dịch vụ từ máy khách Phần mềm chạy dịch vụ WEB có thể là IIS, Apache, Tom cat,… Ứng dụng WEB • – Cần phải có chương trình duyệt WEB, hệ điều hành tích hợp sẵn hoặc cài đặt thêm như chrome, firefox, opera,… Có thể là đoạn code hay flash nhúng vào trang WEB Cơ sở dữ liệu • Lưu các thông tin của người sử dụng và database... là username, password, session, … Ví dụ: • • Khi đăng nhập lần đầu tiên trang http://faebook.com thì máy sẽ load trang đấy rất lâu Nhưng hôm sau khi vào lại trang http://facebook.com thì máy chạy vi vu, load trang rất nhanh www.viethanit.edu.vn Trang 18 MỘT SỐ THUẬT NGỮ ỨNG DỤNG WEB • Proxy – – – – Proxy cung cấp cho người sử dụng truy xuất Internet một cách đặt biệt Khi triển khai máy chủ proxy thì... Trang 27 CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP VÀO • Kí tự rỗng (Char Null) – – – Nhiều ứng dụng WEB sử dụng ngôn ngữ C hay java để lập trình Hacker lợi dụng những kí tự chuỗi để đánh lừa ứng dụng WEB Ví dụ: • • – Chuỗi là 123456 là ban đầu Hacker chèn kí tự rỗng vào như sau 123\0456 thì bây giờ chuỗi còn lại là 123 Mục đích là nhằm Hacker có thể vượt những khâu kiểm tra chuỗi www.viethanit.edu.vn ... www.viethanit.edu.vn Trang TỔNG QUAN VỀ ỨNG DỤNG WEB • Giới thiệu Website – – – – Tên miền (domain) Nơi lưu trữ (hosting) Nội dung trang web (web page) Website tĩnh • – Là website sở liệu Website... www.viethanit.edu.vn Trang 19 TỔNG QUAN VỀ ỨNG DỤNG WEB • Ki n trúc ứng dụng WEB www.viethanit.edu.vn Trang 20 TỔNG QUAN VỀ ỨNG DỤNG WEB • Ki n trúc ứng dụng WEB – Máy khách • – Máy chủ WEB • • • – Là...NỘI DUNG CHÍNH Tổng quan ANM ứng dụng WEB Các kỹ thuật công bảo mật Tổng kết trình công Hacker Một số công cụ bảo mật ứng dụng WEB Kết luận www.viethanit.edu.vn Trang TỔNG QUAN VỀ AN NINH MẠNG