Module 11 Session Hijacking Những Nội Dung Chính Trong Chương Này Giới Thiệu Về Session Hijacking Phân biệt Spoofing Hijacking Các dạng công Session Hijacking Dự Đoán Các Số Hiệu Tuần Tự Quy Trình Session Hijacking Công Cụ Tấn Công Session Hijacking Phòng Chống Session Hijacking Session Hijacking Là Gì ? Tiếp theo, tìm hiểu chủ đề Session Hijacking, hình thức công phổ biến nhắm vào người dùng mạng xã hội Facebook hay hộp thư Gmail, Yahoo Session Hijacking hình thức công vào phiên làm việc client server cách đánh cắp cookie người sử dụng sau họ qua bước xác thực với máy chủ, sau chiếm quyền điều khiển phiên làm việc Session thuật ngữ nói đến phiên kết nối hai máy tính hệ thống mạng thường trì giá trị thời gian tồn session, thông tin cookie trình duyệt hay thẻ thích hợp Các bạn xem lại phần giới thiệu phiên làm việc trình three-way handshake chương trước Trong đại hội Blackhat năm 2009 hacker làm ngỡ ngàng khán thính giả trình diễn trực tiếp phương pháp đột nhập vào hộp thư phóng viên BBC tham dự hội thảo gởi thư trước mặt cử tọa hội trường Phương pháp công chuyên gia bảo mật đặt tên Side jacking, thuật ngữ không thấy xuất CEH thuộc dạng công Session Hijacking Phân biệt Spoofing Hijacking Tấn công spoofing khác với dạng công hijacking Vi tình công spoofing hacker nghe liệu truyền mạng từ người gởi đến nơi nhận sau sử dụng thông tin thu thập giả mạo địa (hoặc sử dụng địa lấy trộm) nhằm qua mặt hệ thống kiểm tra Trong hình thức công hijacking làm cho kết nối nạn nhân đến máy chủ bị ngắt xác thực thành công sau cướp lấy phiên làm việc người dùng nhằm vượt qua bước kiểm tra máy chủ Quá trình công Session Hijacking gồm có ba bước sau : - Dò Tìm Session : Hacker dò tìm session mở tính toán giá trị gói tin Tái Đồng Bộ Kết Nối : Hacker gởi tín hiệu TCP reset (RST) hay FIN để yêu cầu khởi động lại trình kết nối đồng thời đóng phiên làm việc cũ Chèn Các Packet Tấn Công : lúc hacker gởi đến máy chủ gói tin TCP với số hiệu tính toán thích hợp với phiên làm việc máy chủ chấp nhận thông tin giống liệu hợp lệ người dùng bị công Nghĩa là, hacker gởi thông điệp Wall nạn nhân tài khoản Facebook người bị công Hình 11.1 Hình 11.1 – Tình công Hijacking Add-on Firesheep cài Firefox, truy cập vào session Facebook người dùng khác mạng, sau gởi thông điệp Post By FireSheep Các dạng công Session Hijacking Có hai dạng Session Hijacking chủ động bị động Khác biệt hai hình thức hijacking phụ thuộc vào tác động hacker lên phiên làm việc người sử dụng môi trường mạng Ở trạng thái chủ động hacker tìm phiên làm việc hoạt động chiếm đoạt thông qua công cụ tính toán giá trị gói tin TCP session Ngược lại, tình công hijacking thụ động kẻ công theo dõi ghi lại tất truyền thông gởi người sử dụng hợp lệ, bạn thấy tình giống với nghe thu thập thông tin quan trọng người dùng mật đăng nhập để tiến hành xác thực cho lần xâm nhập trái phép sau session khác Three-Way Handshake Chức TCP mô hình OSI vận chuyển gói tin giống tên gọi Transmission Control Protocol Để thực điều TCP sử dụng gói tin báo nhận (ACK) với số hiệu (sequence number) Tận dụng số hiệu điểm then chốt TCP Session Hijacking, để hiểu rõ dạng công bạn cần xem lại khái niệm trình bắt tay ba bước trình bày phần đầu giáo trình : Khi người dùng hợp lệ khởi tạo kết nối đến máy chủ ví dụ kết nối đến trang Facebook để liên lạc với bạn bè hay Flickr để chia hình ảnh với người thân máy tính gởi gói tin có chứa tín hiệu SYN yêu cầu đồng giá trị ISN (Initial Sequence Number) ban đầu Máy chủ Facebook hay Flickr tiếp nhận gói tin phản hồi thông điệp thiết lập cờ SYN với ISBN máy chủ, kèm theo cờ ACK xác định với số hiệu khởi tạo người gởi cộng thêm Tiếp theo máy tính người dùng hợp lệ thông báo gói tin với cờ Ack thiết lập với giá trị ISN máy chủ cộng thêm để bắt đầu phiên làm việc Kết nối có khả bị đóng hết thời gian mạng bị lag (bị trễ) hay kết nối bị kết thúc nhận yêu cầu gói tin với cờ FIN hay RST đặt Khi nhận tín hiệu RST kết nối bị đóng tất gói tin bị từ chối, nhận tín hiệu đóng cờ FIN gói tin xử lý tiếp nhận hoàn tất kết nối kết thúc Và việc gởi tín hiệu với cờ FIN hay RST phương pháp mà hijacker (những hacker công hijacking) sử dụng để đóng session client với server sau chiếm quyền điều khiển, hoạt động client hợp lệ Hacker Dự Đoán Các Số Hiệu Tuần Tự Như Thế Nào ? TCP giao thức hướng liên kết có nhiệm vụ tổng hợp gói tin (packet) bị phân mãnh truyền thành liệu gốc Vì packet cần cấp giá trị theo thứ tự gọi sequence nember (SN), packet gán giá trị session để máy nhận hợp luồng packet thành liệu gốc ban đầu Nếu packet không đến đích theo trật tự ban đầu sequence number giúp cho việc xếp chúng theo trình tự Ngoài ra, hệ thống khởi tạo TCP session cách gởi gói tin với cờ SYN thiết lập gói tin gọi synchronize packet có chứa giá trị khởi tạo ISN (Initial Sequence Number) Hình 11.2 Hình 11.2 – Cấu trúc gói tin Và gói tin có chứa thông tin báo nhận ACK gởi máy tính sử dụng số SN ACK cộng thêm đơn vị Cũng lưu ý việc cộng áp dụng trình three-way handshake, với truyền thông khác giá trị cộng thêm với kích thược gói tin, ví dụ truyền 45 byte liệu ACK đáp ứng lấy số SN ACK nhận cộng với 45 Hình 11.3 - Tiến trình bắt tay bước three-way handshake Nắm chế trình bắt tay ba bước hacker tạo công cụ xác định giá trị SN gói tin, trước tiên hacker nghe truyền thông hai máy tính để xác định giá trị ISN tính giá trị Tuy nhiên việc đơn giãn trình bày nguyên tắt hoạt động chúng gói tin di chuyển với tốc độ cực nhanh, hacker không sniff (nghe lén) gói tin họ tiến hành công Session Hijacking Vì hầu hết công cụ công Session Hijacking thông dụng kèm theo ứng dụng cho phép nghe gói tin nhằm xác định giá trị SN Vi dụ hacker công Side jacking môi trường wifi sử dụng công cụ gồm hai chương trình ferret.exe hamster.exe (http://erratasec.blogspot.com) , ferret có nhiệm vụ nghe thông tin mạng wifi Hình 11.4 - Attacker nghe đường truyền công Session Hijacking Sau nghe liệu truyền xác định giá trị SN chương trình công tiến hành giả mạo địa IP (IP Spoofing) hệ thống hợp lệ khởi tạo session với máy chủ gởi gói tin với giá trị SN thích hợp nhằm sử dụng session tạo vượt qua trình xác thực Như bạn đặt câu hỏi máy công nạn nhân gởi gói tin với giá trị SN thích hợp ? Thường hacker chạy chương trình làm cho máy tính nạn nhân bị reset lại kết nối cách gởi gói tin với cờ RST đặt Các Bước Trong Quá Trình Session Hijacking Để tiến hành công Session Hijacking hacker cần thực bước sau : - - Tracking Session : Trong bước hacker cần xác định session hoạt động tính giá trị SN kết tiếp gói tin Desynchronizing : Hacker tiến hành đóng kết nối nạn nhân để chiếm toàn session họ thông qua công DoS hay gởi tín hiệu reset đến máy tính người dùng Gỏi Các Gói Tin Đã Được Chèn Giá Trị SN Hợp Lệ Đến Máy Chủ : Kết nối người dùng xác thực Các Công Cụ Tấn Công Session Hijacking Có nhiều công cụ tiến hành công Session Hijacking phát triển trước Juggernaut chuyên sniff TCP session môi trường mạng hoạt động với hub Hoặc Hunt với chức giả mạo địa MAC với chế ARP spoofing, reset giám sát kết nối, nghe đường truyền Hiện nay, nhiều công cụ mạnh mẽ khác phát triển giúp cho hacker tiến hành công Session Hijacking dễ dàng Trong số phải kể đến Burp Suite, ứng dụng có mặt danh sách 125 công cụ bảo mật hàng đầu có khả thay đổi liệu trình truyền, đánh cướp session hay giả mạo chứng điện tử dùng xác thực https Hình 11.5 - Giao diện Burp suite Trong môi trường mạng không dây Firesheep (http://codebutler.github.com/firesheep/) có lẽ công cụ tiếng xuất vào khoảng năm 2011, add-on mạnh mẽ Firefox (các phiên Firefox từ trở lên không cài đặt Firesheep) cho phép kẻ công dễ dàng nghe đánh cắp session người dùng truy cập Facebook, Flicker … Để chống lại add-on bạn nên sử dụng add-on khác có tên gọi Blacksheep hack5.org mô tả http://hak5.org/hack/blacksheep-%E2%80%93-firesheep-defense Hình 11.6 – Tấn công Firesheep Ngoài ra, trình đào tạo an ninh mạng cho tổ chức thường hay đề cập đến ứng dụng thú vị Tamper Data, thường hacker sử dụng để thay đổi tham số truyền đến máy chủ, ví dụ người dùng chơi game online nông trại facebook, bắn chim … họ dễ dàng thay đổi điểm số để đánh lừa máy chủ game Các bạn tham khảo hướng dẫn thực hành Tamper Data http://www.youtube.com/watch?v=Z8yYei50Sxk Những Mối Nguy Hiểm Của Session Hijacking Có phóng viên tạp chí tiếng nhiều thời gian để sưu tâm viết vụ án nhiều người quan tâm, báo chuẩn bị lên khuôn mạng xuất nhiều tin tức liên quan đến chủ đề khiến cho tác giả phải ngạc nhiên, thông tin bị lộ dù nói cài đặt đầy đủ chương trình bảo vệ, phòng chống virus …Nguyên nhân phóng viên sử dụng máy tính quán ca phê Wifi thiếu cẩn trọng bị hacker công Session Hijacking đột nhập vào hộp thư điện tử lấy tin quan trọng Do đó, vài trò chuyên gia bảo mật hay CEH cần hướng dẫn người dùng tránh sử dụng máy tính môi trường công cộng (un-trusted) thiếu cẩn trọng, dạng công Session Hijacking dễ tiến hành, đặc biệt môi trường mạng không dây tỉ lệ thành công cao Trong chương trình đào tạo an toàn thông tin cho cán Tổng Cục Hải Quan có trình bày tình Side Jacking để minh họa tác động học viên thực hành môi trường thực tế hầu hết cho đạt kết thành công Vậy Làm Sao Phòng Chống Session Hijacking ? Để phòng chống không bị công Session Hijacking cần phòng tránh bị nghe lén, hacker nghe koh6ng thể công vào session người dùng Một torng giải pháp đế tránh sniffer mã hóa liệu, mã hóa đường truyền với kỹ thuật dùng Secure Shell (SSH thay cho Telnet thông thường) quản trị từ xa hay áp dụng Secure Socket Layer (SSL dùng cho truyền thông qua HTTPS ) Ngoài ngăn không cho hacker tương tác vào đường truyền giúp loại bỏ nguy bị công này, với giải pháp hữu hiệu dùng mạng riêng ảo (VPN), hay áp dụng IPSEC Nhiều ý kiến cho truy cập internet môi trường công cộng dùng thiết bị DCOM 3G giảm đáng kể nguy mát liệu Sau số khuyến nghị nhằm ngăn ngừa Session Hijacking : - Sử dụng mã hóa Ứng dụng giao thức an toàn Hạn chế kết nối đầu vào Giảm truy cập từ xa Có chế độ xác thực mạnh mẽ Huấn luyện cho người dùng, nâng cao nhận thức an toàn thông tin Sử dụng thông tin truy cập khác cho tài khoản khác Tổng Kết Trong chương thảo luận hình thức công thông dụng, dễ tiến hành đặc biệt nguy hiểm hệ thống mạng không dây công Session Hijacking Các bạn nắm công cụ mạnh hay sử dụng hướng dẫn kèm theo, vai trò CEH cần biết rõ tác hại Session Hijacking giải pháp phòng chống để bảo vệ liệu cho hướng dẫn người dùng thao tác nhằm bảo vệ tính riêng tư, phòng chống bị cắp liệu Trong phần thảo luận chủ đề quan tâm “Tấn Công Web Server”