CÁC KIỂU TẤN CÔNG TRÊN MẠNG

Chương 1.Giới thiệu: Tổng quan về tình hình an ninh mạng trong những năm gần đây. Các kiểu tấn công phổ biến trên mạng, đồng thời nêu lên mục đích, nội dung và ý nghĩa của báo cáo. Chương 2.Các kiểu tấn công trên mạng: Trình bày các kiểu tấn công thông dụng trên mạng hiện nay như: Sniff, lừa đảo trực tuyến (Phishing), SQL Injection, tấn công từ chối dịch vụ. Các phương pháp phòng chống các kiểu tấn công trên. Chương 3.Mạng không dây: Tổng quan về Wireless, WLAN, các công nghệ trong WLAN. Các mô hình mạng WLAN, đồng thời cũng cho thấy ưu và nhược điểm của WLAN. Chương 4.Bảo mật mạng không dây: Tổng quan về cách thức mã hóa truyền dẫn trong WLAN.Nguyên lý hoạt động, ưu nhược điểm của các phương thức bảo mật cho mạng không dây. Chương 5.Tấn công mạng không dây: Trình bày các kiểu tấn công đặc thù trên mạng không dây, và cách phòng chống các kiểu tấn công đó. Chương 6.Demo: Thực hiện tấn lấy mật khẩu của mạng không dây được bảo mật bằng WEP. Sau thực hiện tấn công Man In Middle Attack kết hợp với Phishing trong mạng chiếm lấy tài khoản truy nhập website của người dùng.

Ăm toi

LUẬN VĂN TỐT NGHIỆP CỬ NHÂN CNTT

CÁC KIỂU TẤN CÔNG TRÊN MẠNG

Giáo viên huớng dẫn: Thầy Đặng Trường Sơn

Nhóm sinh viên thực hiện:

Đặng Phạm Phúc Duy- MASV:0611180 Nguyễn Hoàng Quốc Phong - MASV:0611235

THÀNH PHỐ HỒ CHÍ MINH NĂM 2010

MỞ ĐẦU

Hiện nay, công nghệ thông tin đang phát triển ngày càng mạnh mẽ Nhu cầu

sử dụng mạng trong đời sống hàng ngày là rất cao, ưu điểm của mạng máy tính đãđược thể hiện khá rõ trong mọi lĩnh vực của cuộc sống Đó chính là sự trao đổi,chia sẻ, lưu trữ và bảo vệ thông tin Nhưng liệu khi tham gia vào hoạt động trênmạng thông tin của chúng ta có thực sự an toàn, đó là câu hỏi mà nhiều ngườithường xuyên đặt ra và đi tìm lời giải đáp Bên cạnh nền tảng mạng máy tính hữutuyến, mạng máy tính không dây ngay từ khi ra đời đã thể hiện nhiều ưu điểm nổibật về độ linh hoạt, tính giản đơn, khả năng tiện dụng Do đặc điểm trao đổi thôngtin trong không gian truyền sóng nên khả năng thông tin bị rò rỉ ra ngoài là điều dểhiểu.Nếu chúng ta không khắc phục những điểm yếu này thì môi trường mạng sẽtrở thành một mảnh đất màu mỡ cho những hacker xâm nhập, gây ra sự thất thoátthông tin, tiền bạc Do đó bảo mật trong mạng đang là một vấn đề nóng bỏng hiệnnay Đồ án này chúng em sẽ miêu tả các cách thức tấn công tổng quát trên mạng vàtìm hiểu các cách tấn công đặc thù vào mạng không dây Qua đó giúp chúng ta biếtcách phòng chống những nguy cơ tiềm ẩn khi tham gia trao đổi thông tin trênmạng

Chúng em rất cảm ơn sự hướng dẫn nhiệt tình của thầy Đặng Trường Sơn vàxin trân trọng cảm ơn quý Thầy Cô trong khoa Công Nghệ Thông Tin trường ĐạiHọc Ngoại Ngữ Tin Học Tp Hồ Chí Minh đã tận tình giảng dạy, truyền đạt nhữngkiến thức quý báu trong suốt thời gian qua làm nền tảng và tạo điều kiện cho chúng

em hoàn thành bài báo cáo này

Mặc dù đã nỗ lực hết sức mình, song chắc chắn bài báo cáo không tránh khỏinhiều thiếu sót Chúng em rất mong nhận được sự chỉ bảo tận tình của quý Thầy Cô

và các bạn

Tp.HCM, ngày 22 tháng 6 năm 2010Đặng Phạm Phúc Duy– Nguyễn Hoàng Quốc Phong

NỘI DUNG BÁO CÁO

Chương 1.Giới thiệu: Tổng quan về tình hình an ninh mạng trong những năm gần

đây Các kiểu tấn công phổ biến trên mạng, đồng thời nêu lên mục đích, nội dung

và ý nghĩa của báo cáo

Chương 2.Các kiểu tấn công trên mạng: Trình bày các kiểu tấn công thông dụng

trên mạng hiện nay như: Sniff, lừa đảo trực tuyến (Phishing), SQL Injection, tấncông từ chối dịch vụ Các phương pháp phòng chống các kiểu tấn công trên

Chương 3.Mạng không dây: Tổng quan về Wireless, WLAN, các công nghệ trongWLAN Các mô hình mạng WLAN, đồng thời cũng cho thấy ưu và nhược điểmcủa WLAN

Chương 4.Bảo mật mạng không dây: Tổng quan về cách thức mã hóa truyền dẫn

trong WLAN.Nguyên lý hoạt động, ưu nhược điểm của các phương thức bảo mậtcho mạng không dây

Chương 5.Tấn công mạng không dây: Trình bày các kiểu tấn công đặc thù trên

mạng không dây, và cách phòng chống các kiểu tấn công đó

Chương 6.Demo: Thực hiện tấn lấy mật khẩu của mạng không dây được bảo mật

bằng WEP Sau thực hiện tấn công Man In Middle Attack kết hợp với Phishingtrong mạng chiếm lấy tài khoản truy nhập website của người dùng

M C L C ỤC LỤC ỤC LỤC

CHƯƠNG 1: GIỚI THIỆU 11

1.1 Tổng quan tình hình an ninh mạng trong những năm gần đây. 11

1.2 Các kiểu tấn công phổ biến trên mạng máy tính.12

1.3 Mục tiêu của báo cáo 14

CHƯƠNG 2: CÁC KIỂU TẤN CÔNG TRÊN MẠNG 15

2.1 Kỹ thuật bắt gói tin dung Sniff. 15

2.1.1 Các loại Sniff và cơ chế hoạt động 16

2.1.2 Cách phát hiện Sniff 17

2.1.3 Cách phòng chống Sniff 18

2.1.4 Tổng kết Sniff 19

2.2 Phishing 19 2.2.1 Cơ chế hoạt động 20

2.2.2 Cách phòng phòng chống 20

2.2.3 Tổng kết Phishing 23

2.3 SQL injection 24 2.3.1 Dạng tấn công vượt qua kiểm tra đăng nhập 25

2.3.2 Dạng tấn công sử dụng câu lệnh SELECT 28

2.3.4 Dạng tấn công sử dụng câu lệnh INSERT 29

2.3.5 Dạng tấn công sử dụng stored-procedures 29

2.3.6 Cách phòng chống sql injection 30

2.4 Tấn công từ chối dịch vụ. 31 2.4.1 SYN Attack 32

2.4.2 Flood Attack 35

2.4.3 Tấn công từ chối dịch vụ kiểu phân tán-DDdos 35

2.4.4 Tấn công từ chối dịch vụ phản xạ nhiều vùng DRDOS 37

2.4.5 Tổng kết tấn công dịch vụ 38

CHƯƠNG 3: CÔNG NGHỆ MẠNG KHÔNG DÂY 40 3.1 Giới thiệu về Wireless 40 3.2 Các tổ chức chính và kênh truyền sóng trong mạng Wireless. 40 3.3 Các chuẩn Wireless. 41 3.3.1 Các chuẩn của 802.11 41

3.3.1.1 Nhóm lớp vật lý PHY 42 3.3.1.2 Nhóm liên kết dữ liệu MAC 44 3.3.2 Giới thiệu một số công nghệ mạng không dây 45

3.4 Giới thiệu Wireless Lan47 3.4.1 Lịch sử ra đời 47

3.4.2 Ưu điểm của WLAN 48

3.4.3 Nhược điểm của WLAN 49

3.4.4 Các mô hình mạng WLAN 49

3.4.5 Các thiết bị phụ trợ WLAN 52

3.4.6 WireLess Access Point 52

3.4.7 Mô hình thực tế của mạng WLAN 54

3.4.8 Một số cơ chế trao đổi thông tin trong WLAN 55

3.5 Tổng kết chương 56 CHƯƠNG 4: BẢO MẬT MẠNG KHÔNG DÂY 57 4.1 Cách thức tiến hành bảo mật cho WLAN 57 4.2 Cơ chế chứng thực 58 4.2.1 Nguyên lý RADIUS SERVER 58

4.2.2 Giao thức chứng thực mở rộng EAP 60

4.3 Tổng quan về mã hóa 62 4.3.1 Mật mã dòng 62

4.3.2 Mật mã khối 63

4.4 Các phương thức bảo mật trong WLAN 65 4.4.1 Bảo mật bằng WEP 65

4.4.1 Ưu và nhược điểm của WEP 71

4.4.2 Bảo mật bằng WPA/WPA2 71

4.4.4 Bảo mật bằng TKIP 73

4.4.5 Bảo mật bằng AES 74

4.4.6 Lọc (Filtering) 74

4.4.6.1 Lọc SSID 75 4.4.6.2 Lọc địa chỉ MAC 75 4.4.6.3 Lọc Giao Thức 77 4.5 Tổng kết chương 78 CHƯƠNG 5: CÁC KIỂU TẤN CÔNG TRONG WLAN 79 5.1 Sự khác nhau giữa tấn công mạng có dây và không dây 79 5.2 Tấn công bị động (Passive attack) 79 5.2.1 Phương thức bắt gói tin (Sniffing) 80

5.3 Tấn công chủ động (Active Attack) 82 5.3.1 Mạo danh truy cập trái phép 84

5.3.2 Tấn công từ chối dịch vụ-DOS 84

5.3.3 Tấn công cưỡng đoạt điều khiển và sửa đổi thông tin 87

5.3.4 Dò mật khẩu bằng từ điển 88

5.4 Jamming (tấn công bằng cách gây ghẽn) 89

5.5 Tấn công theo kiểu đứng giữa(Man-in-the-middle Attack) 91

5.4 Tổng kết chương 92

CHƯƠNG 6: DEMO TẤN CÔNG VÀO MẠNG KHÔNG DÂY 93

6.1 Bẻ khóa mật khẩu mạng wifi chuẩn WEP 93

6.2 Các bước thực hiện 93

6.3 Giả mạo DNS (DNS Spoofing)99

6.4 Các bước thực hiện 101

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 104

DANH MỤC CHỮ VIẾT TẮT

- WEP: Wired Equivalent Privacy.

- WLAN: Wireless Lan.

- TKIP: Temporal Key Integrity Protocol.

- AES: Advanced Encryption Standard.

- SSID: Service Set identifier.

- FHSS: Frequency Hopping Spread Spectrum.

- IEEE: Institute of Electrical and Electronic Engineers.

- OFMD: Orthogonal frequency-division multiplexing.

CHƯƠNG 1: GIỚI THIỆU

1.1 Tổng quan tình hình an ninh mạng trong những năm gần đây.

Có thể nói rằng thế kỷ 21 đã và đang chứng kiến sự phát triển vượt bậc trongngành công nghệ thông tin (CNTT) CNTT tạo nên một cuộc cách mạng thực sựtrong mọi lĩnh vực của khoa học và đời sống Mạng máy tính là một ví dụ điển hìnhcho sức mạnh của CNTT Ưu điểm của mạng máy tính đã được thể hiện khá rõtrong mọi lĩnh vực của cuộc sống Đó chính là sự trao đổi, chia sẻ, lưu trữ và bảo

vệ thông tin Do đó mạng máy tính đã trở thành miếng mồi ngon cho những hackerxâm nhập như chiếm đoạt thông tin gây gián đoạn thông tin liên lạc…

Tình hình an ninh mạng trong những năm gần đây chuyển biến rất phức tạp, với

sự xuất hiện của các loại hình cũ lẫn mới:

- Trojans chiếm tới hơn một nửa số mã độc mới: Vẫn tiếp tục xu thế gần

đây, trong nửa đầu năm 2009, Trojans chiếm tới 55% tổng số lượng mã độcmới, tăng 9% so với nửa đầu năm 2008 Trojans đánh cắp thông tin là loại

mã độc phổ biến nhất

- Gần một nửa số lỗ hổng an ninh vẫn còn chưa được vá: Giống với cuối

năm 2008, gần một nửa (49%) tổng số lỗ hổng an ninh được công bố trongnửa đầu năm 2009 vẫn chưa có các bản vá do nhà cung cấp phát hành ( Tínhđến khi kết thúc giai đoạn nghiên cứu.)

- Mã cực độc Conficker: Khởi đầu tháng 12 năm 2008 và phát triển mạnh

vào tháng 4 năm 2009, Conficker đã gây trở ngại cho các nhà nghiên cứu anninh và gây ra sự hoang mang cho cộng đồng người dùng máy tính Hậu quảnày đã minh chứng cho sự tinh vi và phức tạp của các tội phạm mạng Theothống kê, Việt Nam đứng thứ năm và Indonesia đứng thứ tám trong các nước

có tỷ lệ máy tính nhiễm loại mã độc này

- URL spam vẫn tiếp tục đứng đầu, nhưng spam hình ảnh cũng đang

quay trở lại: Sau khi gần như biến mất vào năm 2008, spam hình ảnh

(image-based spam) đã quay trở lại trong nửa đầu năm 2009, nhưng vẫn chỉchiếm không đầy 10% tổng số spam

- Xuất hiện lại những kiểu tấn công cũ nhưng tinh vi hơn : Trong đó những

tấn công bằng sâu máy tính trên diện rộng sẽ lại phổ biến và Trojan vẫn tiếptục đóng vai trò chủ yếu trong các hoạt động tấn công qua mạng Các loạihình tấn công từ chối dịch vụ diễn ra trên quy mô lớn trong nửa đầu năm2009

- Xuất hiện các kiểu tấn công mới: Đầu năm 2010 các mạng xã hội ảo càng

bị tấn công chiếm lấy tài khoản thông tin nhiều hơn Điện toán đám mâyđang được coi là đính ngắm của các hacker trong những tháng tiếp theo(Nguồn http://www.pcworld.com.vn)

1.2 Các kiểu tấn công phổ biến trên mạng máy tính.

- Tấn công trực tiếp: Những cuộc tấn công trực tiếp thông thường được sử

dụng trong giai đoạn đầu để chiếm quyền truy nhập bên trong Một phươngpháp tấn công cổ điển là dò tìm tên người sử dụng và mật khẩu Đây làphương pháp đơn giản, dễ thực hiện và không đòi hỏi một điều kiện đặc biệtnào để bắt đầu Kẻ tấn công có thể sử dụng những thông tin như tên ngườidùng, ngày sinh, địa chỉ, số nhà…để đoán mật khẩu Trong trường hợp cóđược danh sách người sử dụng và những thông tin về môi trường làm việc,

có một trương trình tự động hoá về việc dò tìm mật khẩu này Trong một sốtrường hợp phương pháp này cho phép kẻ tấn công có được quyền của ngườiquản trị hệ thống (root hay administrator)

- Nghe trộm: Việc nghe trộm thông tin trên mạng có thể đưa lại những thông

tin có ích như tên, mật khẩu của người sử dụng, các thông tin mật chuyểnqua mạng Việc nghe trộm thường được tiến hành ngay sau khi kẻ tấn công

đã chiếm được quyền truy nhập hệ thống, thông qua các chương trình chophép đưa card giao tiếp mạng (Network Interface Card-NIC) vào chế độnhận toàn bộ các thông tin lưu truyền trên mạng Những thông tin này cũng

có thể dễ dàng lấy được trên Internet

- Giả mạo địa chỉ: Việc giả mạo địa chỉ IP có thể được thực hiện thông qua

việc sử dụng khả năng dẫn đường trực tiếp (source-routing) Với cách tấncông này, kẻ tấn công gửi các gói tin IP tới mạng bên trong với một địa chỉ

IP giả mạo (thông thường là địa chỉ của một mạng hoặc một máy được coi là

an toàn đối với mạng bên trong), đồng thời chỉ rõ đường dẫn mà các gói tin

IP phải gửi đi

- Vô hiệu các chức năng của hệ thống: Đây là kiểu tấn công nhằm tê liệt hệ

thống, không cho nó thực hiện chức năng mà nó thiết kế Kiểu tấn công nàykhông thể ngăn chặn được, do những phương tiện được tổ chức tấn côngcũng chính là các phương tiện để làm việc và truy nhập thông tin trên mạng

Ví dụ sử dụng lệnh ping với tốc độ cao nhất có thể, buộc một hệ thống tiêuhao toàn bộ tốc độ tính toán và khả năng của mạng để trả lời các lệnh này,không còn các tài nguyên để thực hiện những công việc có ích khác

- Lỗi của người quản trị hệ thống: Đây không phải là một kiểu tấn công của

những kẻ đột nhập, tuy nhiên lỗi của người quản trị hệ thống thường tạo ranhững lỗ hổng cho phép kẻ tấn công sử dụng để truy nhập vào mạng nội bộ

- Tấn công vào yếu tố con người: Kẻ tấn công có thể liên lạc với một người

quản trị hệ thống, giả làm một người sử dụng để yêu cầu thay đổi mật khẩu,thay đổi quyền truy nhập của mình đối với hệ thống, hoặc thậm chí thay đổimột số cấu hình của hệ thống để thực hiện các phương pháp tấn công khác.Với kiểu tấn công này không một thiết bị nào có thể ngăn chặn một cách hữuhiệu, và chỉ có một cách giáo dục người sử dụng mạng nội bộ về những yêucầu bảo mật để đề cao cảnh giác với những hiện tượng đáng nghi Nói chungyếu tố con người là một điểm yếu trong bất kỳ một hệ thống bảo vệ nào, vàchỉ có sự giáo dục cộng với tinh thần hợp tác từ phía người sử dụng có thểnâng cao được độ an toàn của hệ thống bảo vệ

1.3 Mục tiêu của báo cáo.

Với sự phát triển mạnh mẽ của mạng máy tính hiện nay, nhu cầu sử dụng mạngcho việc trao đổi và chia sẽ thông tin, tham gia trao đổi buôn bán Thì mạng máytính trở thành môi trường dể tấn công nhất cho các hacker Do đó bảo mật mạngđang trở đang là điều cấp thiết với nhu cầu hiện nay

Bài báo cáo “các kiểu tấn công trên mạng” được thực hiện nhằm mục tiêu báo

cáo về các kiểu tấn công phổ biến trên mạng Tìm hiểu công nghệ mạng không dây

và các phương pháp tấn công Và quan trọng là cách phòng chống những cách tấncông trên

Mục tiêu đề ra là:

 Tìm hiểu một số kiểu tấn công phổ biến trên mạng.

 Tìm hiểu công nghệ mạng không dây các phương pháp tấn công đặc thù vào mạng không dây.

 Cách phòng phống các kiểu tấn công trên.

CHƯƠNG 2: CÁC KIỂU TẤN CÔNG TRÊN

MẠNG

2.1 Kỹ thuật bắt gói tin dung Sniff.

Khái niệm: Sniffer là một hình thức nghe lén trên hệ thống mạng, dựa trên

những đặc điểm của cơ chế TCP/IP.Sniffer là một kỹ thuật bảo mật, được phát triểnnhằm giúp đỡ những nhà quản trị mạng (QTM) khai thác mạng hiệu quả hơn và cóthể kiểm tra các dữ liệu ra vào mạng, cũng như các dữ liệu chạy trong mạng

Chứng năng của Sniff:

- Được phát triển để thu thập các gói tin trong hệ thống

- Mục đích ban đầu là giúp các nhà quản trị mạng quản lý tốt hệ thống, kiểmtra các lỗi hay các gói tin lạ

- Sau này các hacker dùng phương pháp này để lấy tài khoản, mật khẩu hay cácthông tin nhạy cảm khác

- Biến thể của Sniffer là các chương trình nghe lén bất hợp pháp như: Công cụnghe lén Yahoo, MSN, ăn cắp password Email v…v…

Những điều kiện để Sniff xảy ra:

- Sniff có thể hoạt động trong mạng Lan, mạng WAN, mạng WLAN

- Điều kiện cần chỉ là dùng cung Subnet Mark khi Sniffer

- Ngoài ra ta còn cần một công cụ để bắt và phân tích gói tin như: Cain&Abel,

- Cơ chế hoạt động: Chủ yếu hiện nay thường dùng cơ chế ARP và RARP (2

cơ chế chuyển đổi từ IP sang MAC và từ MAC sang IP) bằng cách phát đicác gói tin đầu độc, mà cụ thể ở đây là phát đi các gói thông báo cho máy gởigói tin là “tôi là người nhận” mặc không phải là “người nhận”

- Đặc điểm: do phải gởi gói tin đi nên có thể chiếm băng thông mạng.Nếu sniff quá nhiều máy trong mạng thì lượng gói gởi đi sẽ rất lớn (do liên tục gởi đi các gói tin giả mạo) có thể dẫn đến nghẽn mạng hay gây quá tải trên chính NIC của máy đang dùng sniff (thắt nút cổ chai)

Ngoài ra các sniffer còn dùng một số kỹ thuật để ép dòng dữ liệu đi qua NIC củamình như:

- MAC fooding: làm tràn bộ nhớ switch từ đó switch sẽ chạy chế độ warding mà không chuyển mạch gói

for Giả MAC: các sniffer sẽ thay đổi MAC của mình thành MAC của mộtmáy hợp lệ và qua được chức năng lọc MAC của thiết bị

- Đầu độc DHCP để thay đổi gateway của client

Passive sniff:

- Môi trường: chủ yếu hoạt động trong môi trường không có các thiết bịchuyển mạch gói.Phổ biến hiện nay là các dạng mạng sử dụng hub, hay cácmạng không dây

- Cơ chế hoạt động: do không có các thiết bị chuyển mạch gói nên các hostphải bị broadcast các gói tin đi trong mạng từ đó có thể bắt gói tin lại xem(dù host nhận gói tin không phải là nơi đến của gói tin đó)

- Đặc điểm: do các máy tự broadcast các gói nên hình thức sniff này rất khóphát hiện

2.1.2 Cách phát hiện Sniff.

Đối với active sniff:

- Vì phải đầu độc arp nên sniffer sẽ liên tục gởi các gói tin đầu độc tới các tim Do đó, ta có thể dùng một số công cụ bắt gói trong mạng để có thể pháthiện.

vic Một cách khác ta có thể kiểm tra bảng arp của host Nếu ta thấy trong bảngarp này có hai MAC giống nhau thì lúc này có khả năng mạng đang bị snif-fer

- Do quá trình gởi gói tin đầu độc của sniffer nên quá trình này có thể chiếmbăng thông, từ đây ta có thể dùng một số công cụ kiểm tra băng thông đểphát hiện

- Tuy nhiên cách này không hiệu quả và chính xác cũng không cao

- Xarp

- Arpwatch

- Symantec EndPoint

Đối với Passive Sniff:

- Khó có khả năng phát hiện, vì bất kỳ host nào trong mạng cũng có thể bắtđược gói tin

- Tuy nhiên dạng mạng để loại sniff này hoạt động chủ yếu dạng mạng thườngdùng trong gia đình rất ít sử dụng cho doanh nghiệp

- Tuy nhiên,hiện nay các doanh nghiệp thường dùng mạng không dây cho cácmáy tính xách tay thì có thể sử dụng thêm các tính năng lọc MAC của thiết

bị, hay có thể xác thực bằng tài khoản,mật khẩu hay khóa truy cập

2.1.3 Cách phòng chống Sniff.

Active Sniff:

- Công cụ kiểm tra băng thông: Như đã nêu trên các sniffer có thể gây nghẽnmạng do đó có thể dùng các công cụ kiểm tra băng thông Tuy nhiên, cáchlàm này không hiệu quả

- Công cụ bắt gói tin: Các sniffer phải đầu độc arp nên sẽ gởi arp đi liên tục,nếu dùng các công cụ này ta có thể thấy được ai đang sniff trong mạng.Cáchnày tương đối hiệu quả hơn, nhưng có một vài công cụ sniff có thể giả IP vàMAC để đánh lừa.

- Thiết bị: Đối với thiết bị ta có thể dùng các loại có chức năng lọc MAC đểphòng chống.Riêng với switch có thể dùng thêm chức năng VLAN trunking,

có thể kết hợp thêm chức năng port security (tương đối hiệu quả do dùngVLAN và kết hợp thêm các chức năng bảo mật)

- Cách khác: Ngoài ra ta có thể cấu hình SSL, tuy hiệu quả, nhưng chưa caovẫn có khả năng bị lấy thông tin

Đối với người dùng:

- Dùng các công cụ phát hiện Sniff (đã kể trên): Khi có thay đổi về thông tinarp thì các công cụ này sẽ cảnh báo cho người sử dụng

- Cẩn trọng với các thông báo từ hệ thống hay trình duyệt web: Do một sốcông cụ sniff có thể giả CA (Cain & Abel) nên khi bị sniff hệ thống hay trìnhduyệt có thể thông báo là CA không hợp lệ

- Tắt chức năng Netbios (người dùng cấp cao) để quá trình quét host của cácsniffer không thực hiện được Tuy nhiên cách này khó có thể áp dụng thực tếnguyên nhân là do switch có thể đã lưu MAC trong bảng thông tin của nóthông qua quá trình hoạt động

Passive sniff:

đi nữa , nhưng lúc này ta lại đứng trước nguy cơ bị sniff dạng active

2.1.4 Tổng kết Sniff.

- Sniff là hình thức nghe lén thông tin trên mạng nhằm khai thác hiệu quả hơntài nguyên mạng, theo dõi thông tin bất hợp pháp Tuy nhiên, sau này các

hacker dùng sniff để lấy các thông tin nhạy cảm Do đó, sniff cũng là mộtcách hack.

- Sniff thường tác động đến các gói tin,ít tác động mạnh đến phần hệ thốngnên sniff rất khó phát hiện Do đó,tuy sniff hoạt động đơn giản nhưng rấthiệu quả

- Do gần như không trực tiếp tác động lên hệ thống mạng nên các hình thứcsniff sau khi hoạt động thường ít để lại dấu vết hay hậu quả nghiêm trọng

- Tuy hiện nay các cơ chế sniff đã có biệng pháp phòng chống và phát hiệnnhưng các biệng pháp này cũng không thực sự hiệu quả trong một vài trườnghợp, do đó, người khai thác các hệ thống mạng nên cẩn thận trong quá trìnhkhai thác, truy cập mạng để tránh mất mát thông tin qua trọng

- Để hạn chế sniff trên các hệ thống, ta nên hạn chế nhiều người tiếp xúc phầnvật lý của hệ thống, subnet của LAN, cấu hình VLAN, port secure trênswitch

- Theo thời gian, những cuộc tấn công phishing không còn chỉ nhằm vào cáctài khoản Internet của AOL mà đã mở rộng đến nhiều mục tiêu, đặc biệt làcác ngân hàng trực tuyến, các dịch vụ thương mại điện tử, thanh toán trênmạng,… và hầu hết các ngân hàng lớn ở Mỹ, Anh, Úc hiện đều bị tấn côngbởi phishing Vì cũng vì nhằm vào mục tiêu đánh cắp credit card nên nó cònđược gọi là Carding

2.2.1 Cơ chế hoạt động.

Trước đây, hacker thường dùng trojan (gián điệp) đến máy nạn nhân để chươngtrình này gửi mật khẩu hay thông tin đến kẻ tấn công Sau này cách dùng lừa đảolấy thông tin được sử dụng nhiều hơn Lừa đảo thì có rất nhiều cách, phổ biến và dễthực hiện vẫn là phishing Nếu bạn từng nghe qua kỹ thuật “Fake Login Email” sẽthấy phishing cũng dựa theo nguyên tắc này

Để thực hiện phishing cần hai bước chính:

- Tìm cách dụ nạn nhân mở địa chỉ trang web đăng nhập giả Cách làm chính

là thông qua đường liên kết của email

- Tạo một web lấy thông tin giả thật giống

Không chỉ có vậy, hacker còn kết hợp nhiều xảo thuật khác như tạo những email(giả) cả địa chỉ lẫn nội dung sao cho có sức thu hút, mã hóa đường link (URL) trênthanh addressbar, tạo IP server giả…

2.2.2 Cách phòng phòng chống.

Phòng chống phishing không khó, quan trọng là người dùng phải cẩn thận khi nhậnđược các trang đăng nhập có yêu cầu điền thông tin nhạy cảm Như đã nói trên, tấncông phishing qua hai giai đoạn thì phòng chống cũng qua hai giai đoạnVới Email giả chúng ta lấy một ví dụ sau là đoạn email của ngân hàng Citibank gửitới cho khách hàng:

Received: from host70-72.pool80117.interbusiness.it ([80.117.72.70])

by mailserver with SMTP

id <20030929021659s1200646q1e>; Mon, 29 Sep 2003 02:17:00 +0000

Received: from sharif.edu [83.104.131.38] by

host70-72.pool80117.interbusiness.it

(Postfix) with ESMTP id EAC74E21484B for

<e-response@securescience.net>; Mon, 29 Sep 2003 11:15:38

+0000

Date: Mon, 29 Sep 2003 11:15:38 +0000

From: Verify <verify@citibank.com>

To: E-Response <e-response@securescience.net>

Reply-To: Verify <verify@citibank.com>

Sender: Verify <verify@citibank.com>

number and PIN that you use on ATM

This is done for your protection -t- becaurse some of our members no longer have access to their email addresses and we must verify it.To verify your e-mail address and access your bank account,click on the link below If nothing happens when you click on the link (or if you use AOL)K, copy and paste the link into

the address bar of your web browser

http://www.citibank.com:ac=piUq3027qcHw003nfuJ2@sd96V.pIsEm.NeT/3/?3X6CMW2I2uPOVQW

Thank you for using Citibank!

C -This automatic email sent to: e-response@securescience.net

Do not reply to this email

Nếu quan sát kỹ, chúng ta sẽ thấy một số điểm “thú vị” của email này:

- Về nội dung thư: Rõ là câu cú, ngữ pháp lộn xộn, có cả những từ sai chính

tả, ví dụ becaurse, this automatic Và ai cũng rõ là điều này rất khó xảy rađối với một ngân hàng vì các email đều được “chuẩn hóa” thành những biểumẫu thống nhất nên chuyện “bị sai” cần phải được xem lại

- Có chứa những ký tự hash-busters, là những ký tự đặc biệt để vượt qua cácphương trình lọc thư rác (spam) dựa vào kỹ thuật hash-based spam như “-t-“,

“K” ở phần chính thư và “y”, “C” ở cuối thư Người nhận khác nhau sẽ nhậnnhững spam với những hash-busters khác nhau Mà một email thật, có nguồngốc rõ ràng thì đâu cần phải dùng đến các “tiểu xảo” đó

- Phần header của email không phải xuất phát từ mail server của Citibank.Thay vì mango2-a.citicorp.com (mail server chính của Citybank ở Los Ange-les) thì nó lại đến từ Italia với địa chỉ host 70-72.pool80117.interbusiness.it(80.117.72.70) vốn không thuộc quyền kiểm soát của CityBank Lưu ý, mặcđịnh Yahoo Mail hay các POP Mail

- Client không bật tính năng xem header, các bạn nên bật vì sẽ có nhiều điềuhữu ích

Với liên kết ở dưới:

http://www.citibank.com:ac=piUq3027qcHw003nfuJ2@s-d96V.pIsEm.NeT/3/?3X6CMW2I2uPOVQ

- Nhìn thoáng quá thì có vẻ là xuất phát từ Citibank, nhưng thực tế bạn hãy

xem đoạn phía sau chữ @ Đó mới là địa chỉ thật và sd96V.pIsEm.Net là

một địa chỉ giả từ Maxcova, Nga hoàn toàn chẳng có liên quan gì đếnCitibank

- Kẻ tấn công đã lợi dụng lỗ hổng của trình duyệt web để thực thi liên kết giả.Hai điểm yếu thường dùng:

- Sử dụng ký tự @ Trong liên kết, nếu có chứa ký tự @ thì trình duyệt webhiểu thành phần đứng trước ký tự này chỉ là chú thích, nó chỉ thực thi cácthành phần đứng sau chữ @ Ví dụ như link trên thì đường dẫn thực sự là

sd96V.pIsEm.NeT/3/?3X6CMW2I2uPOVQW.

- Sử dụng ký tự %01 Trình duyệt sẽ không hiển thị những thông tin nằm sau

href=”http://www.citibank.com %01@http://www.sd96V.pIsEm.NeT/3 /?3X6CMW2I2uPOVQW”>Tên liên kết </a> Lúc đó khi bạn đưa trỏ

chuột vào Tên liên kết thì trên thanh trạng thái chỉ hiển thị thông tin ở phíatrước ký tự %01

Với Website giả ta dùng các cách sau:

- Nếu nhấn vào liên kết ở email đó nó đưa bạn đến một trang đăng nhập(dỏm) Dù bên ngoài nó giống hệt trang thật, ngay cả địa chỉ hay thanh trạngthái nhìn cũng có vẻ thật.Nhưng nếu bạn xem kỹ liên kết trên thanh addressbar thì bạn sẽ thấy ở phía sau chữ @ mới là địa chỉ thật Bạn mà điền thôngtin vào thì xem như… tiêu Tốt hơn hết là xem mã nguồn (view source) củaform thì rõ là form thông tin không phải truyền đến citibank mà là đến mộtnơi khác

- Với cách tiếp cận theo kiểu “biết cách tấn công để phòng thủ” trên, chúng ta

sẽ thấy rõ hơn bản chất của một cuộc tấn công phishing – tấn công đơn giản,nhưng hiệu quả thì rất cao Một khi bạn hiểu được cách thức tấn công thìchắc rằng bạn cũng sẽ có cách đối phó thích hợp

2.2.3 Tổng kết Phishing

- Cẩn thận với những email lạ, đặc biệt là những email yêu cầu cung cấpthông tin dù vẫn biết là phải tránh nhưng không ít trường hợp đều chủquan

- Xem kỹ nội dung có chính xác, có giống với những biểu mẫu thườnggặp không Nếu sai chính tả như trên là… có vấn đề

- Nếu có yêu cầu xác nhận thì xem kỹ liên kết, nếu có ký tự là như @ hay

%01 thì có khả năng giả mạo

- Nếu muốn mở một link thì nên tô khối và copy rồi dán vào trình duyệt,

và đồng thời phải xem kỹ trên thanh địa chỉ xem liên kết có biến đổithêm các ký tự lạ như @ hay không

- Khi được yêu cầu cung cấp thông tin quan trọng, tốt hơn hết là nên trựctiếp vào website của phía yêu cầu để cung cấp thông tin chứ không đitheo đường liên kết được gửi đến Cẩn thận hơn thì nên email lại (không

reply email đã nhận) với phía đối tác để xác nhận hoặc liên hệ với phíađối tác bằng phone hỏi xem có kêu mình gửi thông tin không cho antoàn

- Với các trang xác nhận thông tin quan trọng, họ luôn dùng giao thức

http secure (có ‘s’ sau http) nên địa chỉ có dạng https:// chứ không

phải là http:// thường.Ngân hàng kêu ta xác nhận lại dùng http://

“thường” thì chắc là ngân hàng… giả

- Để tránh “mất hết tài khoản”, mỗi tài khoản nên đặt mật khẩu khácnhau, và nên thay đổi thường xuyên (xem thêm Hướng dẫn đặt và bảo

vệ mật khẩu)

- Nên thường xuyên cập nhật các miếng vá lỗ hổng bảo mật cho trìnhduyệt (web browser) Cài thêm chương trình phòng chống virus, diệtworm, trojan và tường lửa là không bao giờ thừa

- Cuối cùng, và cũng là quan trọng nhất là đừng quên kiểm tra thườngxuyên thông tin thẻ ATM, Credit Card, Tài khoản ngân hàng

- Nếu bị “lừa” bạn phải thông báo đến tổ chức Anti Phishing GroupPhòng chống Phishing quốc tế (www.antiphising.org) để nhờ họ giúpđỡ

2.3. SQL injection

SQL injection là một kĩ thuật cho phép những kẻ tấn công lợi dụng lỗ hổng trongviệc kiểm tra dữ liệu nhập trong các ứng dụng web và các thông báo lỗi của hệquản trị cơ sở dữ liệu để "tiêm vào" (inject) và thi hành các câu lệnh SQL bất hợppháp Hậu quả của nó rất tai hại vì nó cho phép những kẻ tấn công có thể thực hiệncác thao tác xóa, hiệu chỉnh, … do có toàn quyền trên cơ sở dữ liệu của ứng dụng,thậm chí là server mà ứng dụng đó đang chạy Lỗi này thường xảy ra trên các ứngdụng web có dữ liệu được quản lí bằng các hệ quản trị cơ sở dữ liệu như SQLServer, MySQL, Oracle, DB2, Sysbase Đứng ở vị trí là một người lập trình web vàngười quản trị bạn cần phải có những hiểu biết rõ ràng về sql injection để có thểngăn ngừa và và phòng tránh nó

Cách thức hoạt động của một ứng dụng web:

Hình 2.1: Quá trình gởi nhận dữ liệu trong quá trình user duyệt web Bước 1: User (kẻ tấn công) gởi một request đến web server với dấu ( ‘ ) để kiểm

tra xem trang web có bị dính lỗi SQL Injection không

Bước 2: Web Server nhận được request và tiến hành tạo câu truy vấn để lấy dữ liệu

từ Database Server

Bước 3: Database Server thực hiện câu truy vấn và trả về thông báo lỗi cho Web

server

Bước 4: Web Server trả về thông báo lỗi cho user (kẻ tấn công).

Nhìn chung có bốn kiểu tấn công phổ biến sau:

- Vượt qua kiểm tra lúc đăng nhập (authorization by pass)

- Sử dụng câu lệnh SELECT

- Sử dụng câu lệnh INSERT

- Sử dụng các stored-procedures

2.3.1 Dạng tấn công vượt qua kiểm tra đăng nhập.

Với dạng tấn công này, tin tặc có thể dễ dàng vượt qua các trang đăng nhập nhờvào lỗi khi dùng các câu lệnh SQL thao tác trên cơ sở dữ liệu của ứng dụng web.Xét một ví dụ điển hình, thông thường để cho phép người dùng truy cập vào cáctrang web được bảo mật, hệ thống thường xây dựng trang đăng nhập để yêu cầungười dùng nhập thông tin về tên đăng nhập và mật khẩu Sau khi người dùng nhậpthông tin vào, hệ thống sẽ kiểm tra tên đăng nhập và mật khẩu có hợp lệ hay không

để quyết định cho phép hay từ chối thực hiện tiếp

Trong trường hợp này, người ta có thể dùng hai trang, một trang HTML để hiển thịform nhập liệu và một trang ASP dùng để xử lí thông tin nhập từ phía người dùng.

Ví dụ:

Trang HTML

Trang Asp

Thoạt nhìn, đoạn mã trong trang execlogin.asp dường như không chứa bất cứ một

lỗ hổng về an toàn nào Người dùng không thể đăng nhập mà không có tên đăngnhập và mật khẩu hợp lệ Tuy nhiên, đoạn mã này thực sự không an toàn và là tiền

đề cho một lỗi SQL injection Đặc biệt, chỗ sơ hở nằm ở chỗ dữ liệu nhập vào từngười dùng được dùng để xây dựng trực tiếp câu lệnh SQL Chính điều này chophép những kẻ tấn công có thể điều khiển câu truy vấn sẽ được thực hiện

Ví dụ, nếu người dùng nhập chuỗi sau vào trong cả 2 ô nhập liệuusername/password của trang login.htm là: ' OR ' ' = ' ' Lúc này, câu truy vấn sẽđược gọi thực hiện là

SELECT * FROM T_USERS WHERE USR_NAME ='' OR ''='' and USR_PASSWORD= '' OR ''=''.

Câu truy vấn này là hợp lệ và sẽ trả về tất cả các bản ghi của T_USERS và đoạn mãtiếp theo xử lí người dùng đăng nhập bất hợp pháp này như là người dùng đăngnhập hợp lệ

2.3.2 Dạng tấn công sử dụng câu lệnh SELECT.

Dạng tấn công này phức tạp hơn Để thực hiện được kiểu tấn công này, kẻ tấn côngphải có khả năng hiểu và lợi dụng các sơ hở trong các thông báo lỗi từ hệ thống để

các website về tin tức Thông thường, sẽ có một trang nhận ID của tin cần hiển thịrồi sau đó truy vấn nội dung của tin có ID này

Ví dụ: http://www.myhost.com/shownews.asp?ID=123 Mã nguồn cho chức năngnày thường được viết khá đơn giản theo dạng

Trong các tình huống thông thường, đoạn mã này hiển thị nội dung của tin có IDtrùng với ID đã chỉ định và hầu như không thấy có lỗi Tuy nhiên, giống như ví dụđăng nhập ở trước, đoạn mã này để lộ sơ hở cho một lỗi SQL injection khác Kẻ tấncông có thể thay thế một ID hợp lệ bằng cách gán ID cho một giá trị khác, và từ đó,

khởi đầu cho một cuộc tấn công bất hợp pháp, ví dụ như: 0 OR 1=1 (nghĩa là,

http://www.myhost.com/shownews.asp?ID=0 or 1=1)

Câu truy vấn SQL lúc này sẽ trả về tất cả các article từ bảng dữ liệu vì nó sẽ thựchiện câu lệnh:

SELECT * FROM T_NEWS WHERE NEWS_ID=0 or 1=1

2.3.4 Dạng tấn công sử dụng câu lệnh INSERT

Thông thường các ứng dụng web cho phép người dùng đăng kí một tài khoản đểtham gia Chức năng không thể thiếu là sau khi đăng kí thành công, người dùng cóthể xem và hiệu chỉnh thông tin của mình SQL injection có thể được dùng khi hệthống không kiểm tra tính hợp lệ của thông tin nhập vào

Ví dụ, một câu lệnh INSERT có thể có cú pháp dạng: INSERT INTO TableNameVALUES ('Value One', 'Value Two', 'Value Three') Nếu đoạn mã xây dựng câulệnh SQL có dạng:

Thì chắc chắn sẽ bị lỗi SQL injection, bởi vì nếu ta nhập vào trường thứ nhất ví dụ

như: ' + (SELECT TOP 1 FieldName FROM TableName) + ' Lúc này câu truy vấn sẽ là: INSERT INTO TableName VALUES(' ' + (SELECT TOP 1

FieldName FROM TableName) + ' ', 'abc', 'def') Khi đó, lúc thực hiện lệnh xem

thông tin, xem như bạn đã yêu cầu thực hiện thêm một lệnh nữa đó là: SELECT

TOP 1 FieldName FROM TableName.

2.3.5 Dạng tấn công sử dụng stored-procedures

Việc tấn công bằng stored-procedures sẽ gây tác hại rất lớn nếu ứng dụng đượcthực thi với quyền quản trị hệ thống 'sa' Ví dụ, nếu ta thay đoạn mã tiêm vào dạng:' ;EXEC xp_cmdshell ‘cmd.exe dir C: ' Lúc này hệ thống sẽ thực hiện lệnh liệt kêthư mục trên ổ đĩa C:\ cài đặt server Việc phá hoại kiểu nào tuỳ thuộc vào câu lệnhđằng sau cmd.exe.

2.3.6 Cách phòng chống sql injection.

Để phòng chống ta có hai mức sau:

- Kiểm soát chặt chẽ dữ liệu nhập vào

- Thiết lập cấu hình an toàn cho hệ quản trị cơ sở dữ liệu

Kiểm soát chặt chẽ dữ liệu nhập vào: Để phòng tránh các nguy cơ có thể xảy ra,hãy bảo vệ các câu lệnh SQL là bằng cách kiểm soát chặt chẽ tất cả các dữ liệunhập nhận được từ đối tượng Request (Request, Request.QueryString,Request.Form, Request.Cookies, Request.ServerVariables) Ví dụ, có thể giới hạnchiều dài của chuỗi nhập liệu, hoặc xây dựng hàm EscapeQuotes để thay thế cácdấu nháy đơn bằng hai dấu nháy đơn như:

Trong trường hợp dữ liệu nhập vào là số, lỗi xuất phát từ việc thay thế một giá trịđược tiên đoán là dữ liệu số bằng chuỗi chứa câu lệnh SQL bất hợp pháp Để tránhđiều này, đơn giản hãy kiểm tra dữ liệu có đúng kiểu hay không bằng hàmIsNumeric() Ngoài ra có thể xây dựng hàm loại bỏ một số kí tự và từ khóa nguy

hiểm như: ;, , select, insert, xp_, … ra khỏi chuỗi dữ liệu nhập từ phía người

dùng để hạn chế các tấn công dạng này:

Thiết lập cấu hình an toàn cho hệ quản trị cơ sở dữ liệu: Cần có cơ chế kiểm soátchặt chẽ và giới hạn quyền xử lí dữ liệu đến tài khoản người dùng mà ứng dụngweb đang sử dụng Các ứng dụng thông thường nên tránh dùng đến các quyền nhưdbo hay sa Quyền càng bị hạn chế, thiệt hại càng ít Ngoài ra để tránh các nguy cơ

từ SQL Injection attack, nên chú ý loại bỏ bất kì thông tin kĩ thuật nào chứa trongthông điệp chuyển xuống cho người dùng khi ứng dụng có lỗi Các thông báo lỗithông thường tiết lộ các chi tiết kĩ thuật có thể cho phép kẻ tấn công biết được điểmyếu của hệ thống

2.4 Tấn công từ chối dịch vụ.

Giới thiệu chung

Về cơ bản, tấn công từ chối dịch vụ chỉ là tên gọi chung của cách tấn công làm chomột hệ thống nào đó bị quá tải không thể cung cấp dịch vụ, hoặc phải ngưng hoạtđộng Tấn công kiểu này chỉ làm gián đoạn hoạt động của hệ thống chứ rất ít cókhả năng thâm nhập hay chiếm được thông tin dữ liệu của nó.Tùy theo phươngthức thực hiện mà nó được biết dưới nhiều tên gọi khác nhau Ban đầu là lợi dụng

sự yếu kém của giao thức TCP (Transmision Control Protocol) để thực hiện tấncông từ chối dịch vụ cổ điển DoS (Denial of Service), sau đó là tấn công từ chốidịch vụ phân tán DDoS (Distributed Denial of Service) và mới nhất là tấn công từchối dịch vụ theo phương pháp phản xạ DRDoS (Distributed Reflection Denial ofService) Theo thời gian, xuất hiện nhiều biến thể tấn công DoS như: BroadcastStorms, SYN, Finger, Ping, Flooding,… với mục tiêu nhằm chiếm dụng các tàinguyên của hệ thống (máy chủ) như: Bandwidth, Kernel Table, Swap Space,Cache, Hardisk, RAM, CPU,… làm hoạt động của hệ thống bị quá tải dẫn đếnkhông thể đáp ứng được các yêu cầu (request) hợp lệ nữa

Như đã nói, tấn công DoS nói chung không nguy hiểm như các kiểu tấn công khác

ở chỗ nó không cho phép kẻ tấn công chiếm quyền truy cập hệ thống hay có quyềnthay đổi hệ thống Tuy nhiên, nếu một máy chủ tồn tại mà không thể cung cấpthông tin, dịch vụ cho người sử dụng, sự tồn tại là không có ý nghĩa nên thiệt hại docác cuộc tấn công DoS do máy chủ bị đình trệ hoạt động là vô cùng lớn, đặc biệt làcác hệ thống phụ vụ các giao dịch điện tử Đối với các hệ thống máy chủ được bảomật tốt, rất khó để thâm nhập vào thì tấn công từ chối dịch vụ được các hacker sửdụng như là “cú chót” để triệt hạ hệ thống đó

2.4.1 SYN Attack

Được xem là một trong những kiểu tấn công DoS cổ điển (Denial of Service): Lợidụng sơ hở của thủ tục TCP khi “bắt tay ba chiều”, mỗi khi client (máy khách)muốn thực hiện kết nối (connection) với server (máy chủ) thì nó thực hiện việc bắttay ba lần (three – ways handshake) thông qua các gói tin (packet)

- Bước 1: Client (máy khách) sẽ gửi các gói tin (packet chứa SYN=1) đến

máy chủ để yêu cầu kết nối.

- Bước 2: Khi nhận được gói tin này, server sẽ gửi lại gói tin SYN/ACK để

thông báo cho client biết là nó đã nhận được yêu cầu kết nối và chuẩn bị tài nguyên cho việc yêu cầu này Server sẽ giành một phần tài nguyên hệ thốngnhư bộ nhớ đệm (cache) để nhận và truyền dữ liệu Ngoài ra, các thông tin khác của client như địa chỉ IP và cổng (port) cũng được ghi nhận

- Bước 3: Cuối cùng, client hoàn tất việc bắt tay ba lần bằng cách hồi âm lại

gói tin chứa ACK cho server và tiến hành kết nối

Hình 2.2: Quá trình bắt tay ba chiều của TCP

Do TCP là thủ tục tin cậy trong việc giao nhận (end-to-end) nên trong lần bắt taythứ hai, server gửi các gói tin SYN/ACK trả lời lại client mà không nhận lại đượchồi âm của client để thực hiện kết nối thì nó vẫn bảo lưu nguồn tài nguyên chuẩn bịkết nối đó và lập lại việc gửi gói tin SYN/ACK cho client đến khi nào nhận đượchồi đáp của máy client Điểm mấu chốt là ở đây là làm cho client không hồi đápcho Server, nhiều client như thế trong khi server vẫn “ngây thơ” lặp lại việc gửipacket đó và giành tài nguyên để chờ “người về” trong lúc tài nguyên của hệ thống

là có giới hạn Các hacker sẽ tìm để đạt tới giới hạn đó

Hình 2.3: Quá trình hacker thực hiện tấn công

- Nếu quá trình đó kéo dài, server sẽ nhanh chóng trở nên quá tải, dẫn đến tìnhtrạng crash (treo) nên các yêu cầu hợp lệ sẽ bị từ chối không thể đáp ứngđược Có thể hình dung quá trình này cũng giống như khi máy tính cá nhân(PC) hay bị “treo” khi mở cùng lúc quá nhiều chương trình cùng lúc vậy

- Thường, để giả địa chỉ IP gói tin, các hacker có thể dùng Raw Sockets(không phải gói tin TCP hay UDP) để làm giả mạo hay ghi đè giả lên IP gốccủa gói tin Khi một gói tin SYN với IP giả mạo được gửi đến server, nócũng như bao gói tin khác, vẫn hợp lệ đối với server và server sẽ cấp vùng tàinguyên cho đường truyền này, đồng thời ghi nhận toàn bộ thông tin và gửigói SYN/ACK ngược lại cho Client Vì địa chỉ IP của client là giả mạo nên

sẽ không có client nào nhận được SYN/ACK packet này để hồi đáp cho máychủ Sau một thời gian không nhận được gói tin ACK từ client, server nghĩrằng gói tin bị thất lạc nên lại tiếp tục gửi tiếp SYN/ACK, cứ như thế, các kếtnối (connections) tiếp tục mở

- Nếu như kẻ tấn công tiếp tục gửi nhiều gói tin SYN đến server thì cuối cùng

server đã không thể tiếp nhận thêm kết nối nào nữa, dù đó là các yêu cầu kếtnối hợp lệ Việc không thể phục nữa cũng đồng nghĩa với việc máy chủkhông tồn tại Việc này cũng đồng nghĩa với xảy ra nhiều tổn thất do ngưngtrệ hoạt động, đặc biệt là trong các giao dịch thương mại điện tử trực tuyến.Đây không phải là kiểu tấn công bằng đường truyền cao, bởi vì chỉ cần mộtmáy tính nối internet qua ngõ dial-up đơn giản cũng có thể tấn công kiểunày.

2.4.2 Flood Attack

Một kiểu tấn công DoS nữa cũng rất hay được dùng vì tính đơn giản của nó và vì

có rất nhiều công cụ sẵn có hỗ trợ đắc lực cho kẻ tấn công là Flood Attack, chủ yếuthông qua các website.Về nguyên tắc, các website đặt trên máy chủ khi chạy sẽ tiêulượng tài nguyên máy chủ nhất định, nhất là lượng bộ nhớ (RAM) và bộ vi xử lý(CPU) Dựa vào việc tiêu hao đó, những kẻ tấn công đơn giản là dùng các phầnmềm như smurf chẳng hạn để liên tục yêu cầu máy chủ phục vụ trang web đó đểchiếm dụng tài nguyên Cách tấn công này tuy không làm máy chủ ngừng cung cấpdịch vụ hoàn toàn nhưng sẽ làm cho tốc độ phục vụ của toàn bộ hệ thống giảmmạnh, người dùng sẽ cảm nhận rõ ràng việc phải chờ lâu hơn để trang web hiện ratrên màn hình Nếu thực hiện tấn công ồ ạt và có sự phối hợp nhịp nhàng, phươngthức tấn công này hoàn toàn có thể làm tê liệt máy chủ trong một thời gian dài

2.4.3 Tấn công từ chối dịch vụ kiểu phân tán-DDdos.

Xuất hiện vào năm 1999, so với tấn công DoS cổ điển, sức mạnh của DDoS caohơn gấp nhiều lần Hầu hết các cuộc tấn công DDoS nhằm vào việc chiếm dụngbăng thông (bandwidth) gây nghẽn mạch hệ thống dẫn đến hệ thống ngưng hoạtđộng Để thực hiện thì kẻ tấn công tìm cách chiếm dụng và điều khiển nhiều máytính mạng máy tính trung gian (đóng vai trò zombie) từ nhiều nơi để đồng loạt gửi

ào ạt các gói tin (packet) với số lượng rất lớn nhằm chiếm dụng tài nguyên và làmtràn ngập đường truyền của một mục tiêu xác định nào đó

Hình 2.4: Mô hình kiểu tấn công phân tán DDOS

Theo cách này thì dù băng thông có bao nhiêu đi chăng nữa thì cũng không thể chịuđựng được số lượng hàng triệu các gói tin đó nên hệ thống không thể hoạt độngđược nữa và như thế dẫn đến việc các yêu cầu hợp lệ khác không thể nào được đápứng, server sẽ bị “đá văng” khỏi internet

Hình 2.5: Cách mà hacker thực hiện tấn công DDos

Có thể nói nó giống như tình trạng kẹt xe vào giờ cao điểm vậy Ví dụ rõ nhất là sự

“cộng hưởng” trong lần truy cập điểm thi ĐH vừa qua khi có quá nhiều máy tínhyêu cầu truy cập cùng lúc làm dung lượng đường truyền hiện tại của máy chủkhông tài nào đáp ứng nổi Hiện nay, đã xuất hiện dạng virus worm có khả năngthực hiện các cuộc tấn công DDoS Khi bị lây nhiễm vào các máy khác, chúng sẽ

tự động gửi các yêu cầu phục vụ đến một mục tiêu xác định nào đó vào thời điểmxác định để chiếm dụng băng thông hoặc tài nguyên hệ thống máy chủ

2.4.4 Tấn công từ chối dịch vụ phản xạ nhiều vùng DRDOS.

Xuất hiện vào đầu năm 2002, là kiểu tấn công mới nhất, mạnh nhất trong họ DoS.Nếu được thực hiện bởi kẻ tấn công có tay nghề thì nó có thể hạ gục bất cứ hệthống nào trên thế giới trong phút chốc Mục tiêu chính của DRDoS là chiếm đoạttoàn bộ băng thông của máy chủ, tức là làm tắc nghẽn hoàn toàn đường kết nối từmáy chủ vào xương sống của Internet và tiêu hao tài nguyên máy chủ Trong suốtquá trình máy chủ bị tấn công bằng DRDoS, không một máy khách nào có thể kếtnối được vào máy chủ đó Tất cả các dịch vụ chạy trên nền TCP/IP như DNS,HTTP, FTP, POP3, đều bị vô hiệu hóa.Về cơ bản, DRDoS là sự phối hợp giữahai kiểu DoS và DDoS Nó có kiểu tấn công SYN với một máy tính đơn, vừa có sựkết hợp giữa nhiều máy tính để chiếm dụng băng thông như kiểu DDoS Kẻ tấncông thực hiện bằng cách giả mạo địa chỉ của server mục tiêu rồi gửi yêu cầu SYNđến các server lớn như Yahoo, Micorosoft,chẳng hạn để các server này gửi các gói

tình đóng vai trò zoombies cho kẻ tấn công như trong DDoS

Hình 2.6: Tấn công phản xạ DRDOS

Quá trình gửi cứ lặp lại liên tục với nhiều địa chỉ IP giả từ kẻ tấn công, với nhiềuserver lớn tham gia nên server mục tiêu nhanh chóng bị quá tải, bandwidth bịchiếm dụng bởi server lớn Tính “nghệ thuật” là ở chỗ chỉ cần với một máy tính vớimodem 56kbps, một hacker lành nghề có thể đánh bại bất cứ máy chủ nào tronggiây lát mà không cần chiếm đoạt bất cứ máy nào để làm phương tiện thực hiện tấncông

2.4.5 Tổng kết tấn công dịch vụ.

- Nhìn chung, tấn công từ chối dịch vụ không quá khó thực hiện, nhưng rấtkhó phòng chống do tính bất ngờ và thường là phòng chống trong thế bịđộng khi sự việc đã rồi

- Việc đối phó bằng cách tăng cường “phần cứng” cũng là giải pháp tốt, nhưngthường xuyên theo dõi để phát hiện và ngăn chặn kịp thời cái gói tin IP từcác nguồn không tin cậy là hữu hiệu nhất

- Khi bạn phát hiện máy chủ mình bị tấn công hãy nhanh chóng truy tìm địachỉ IP đó và cấm không cho gửi dữ liệu đến máy chủ.

- Dùng tính năng lọc dữ liệu của router/firewall để loại bỏ các packet khôngmong muốn, giảm lượng lưu thông trên mạng và tải của máy chủ

- Sử dụng các tính năng cho phép đặt rate limit trên router/firewall để hạn chế

số lượng packet vào hệ thống

- Nếu bị tấn công do lỗi của phần mềm hay thiết bị thì nhanh chóng cập nhậtcác bản sửa lỗi cho hệ thống đó hoặc thay thế

- Dùng một số cơ chế, công cụ, phần mềm để chống lại TCP SYN Flooding

- Tắt các dịch vụ khác nếu có trên máy chủ để giảm tải và có thể đáp ứng tốthơn

ứng của hệ thống hay sử dụng thêm các máy chủ cùng tính năng khác để

CHƯƠNG 3: CÔNG NGHỆ MẠNG KHÔNG

DÂY

3.1 Giới thiệu về Wireless

Wireless là một phương pháp chuyển giao từ điểm này đến điểm khác mà không

sử dụng đường truyền vật lý, sử dụng radio, cell, hồng ngoại và vệ tinh Wirelessbắt nguồn từ nhiều giai đoạn phát triển của thông tin vô tuyến và ứng dụng điệnbáo và radio

3.2 Các tổ chức chính và kênh truyền sóng trong mạng Wireless.

- Federal Communication Commission (FCC): FCC là một tổ chức phi

chính phủ của Mỹ , FCC quy định phổ tần số, vô tuyến mà mạng WLAN cóthể hoạt động , mức công suất cho phép và các phần cứng WLAN

- IEEE (Institute of Electrical and Electronic Engineers): Viện kỹ sư điện

và điện tử Mỹ IEEE tạo ra các chuẩn tuân thủ theo luật của FCC

- Wireless Ethernet Compatibility Allicance (WECA): Nhiệm vụ của

WECA là chứng nhận tính tương thích của các sản phẩm Wi-fi (802.11)

- UNLICENSED FREQUENCIES Băng tần ISM và UNII: FCC quy định

rằng WLAN có thể sử dụng băng tần công nghiệp, khoa học và y học ISM( Industrial, Scientific, and Medical) chính là băng tần miễn phí Băng tầnISM bao gồm 900 Mhz, 2.4 Ghz, 5.8 Ghz và có độ rộng khác nhau từ

26 Mhz đến 150 Mhz Ngoài băng tần ISM, FCC cũng chỉ định 3 băng tầnUNII (Unlicenced National Information Infrastructure), mỗi băng tần nằmtrong vùng 5 Ghz và rộng 100 Mhz

- Direct Sequence Spread Spectrum (DSSS): Là một phương pháp truyền dữ

liệu trong đó hệ thống truyền và hệ thống nhận đều sử dụng một tập các tần

số có độ rộng 22 MHz Channels: Kênh 1 hoạt động từ 2.401 GHz đến 2.423GHz (2.412 GHz +/- 11 MHz); kênh 2 hoạt động từ 2.406 GHz đến 2.429GHz (2.417 GHz +/- 11 MHz) … Các kênh nằm cạnh nhau sẽ trùng lặp vớinhau một lượng đáng kể

Hình 3.1: Các kênh trong DSS

- Trải phổ nhẩy tần FHSS: Trong trải phổ nhẩy tần, tín hiệu dữ liệu của

người sử dụng được điều chế với một tín hiệu sóng mang Các tần số sóngmang của những người sử dụng riêng biệt được làm cho khác nhau theo kiểugiả ngẫu nhiên trong một kênh băng rộng Dữ liệu số được tách thành cáccụm dữ liệu kích thước giống nhau được phát trên các tần số sóng mang khácnhau Độ rộng băng tần tức thời của các cụm truyền dẫn nhỏ hơn nhiều sovới toàn bộ độ rộng băng tần trải phổ.Tại bất kỳ thời điểm nào, một tín hiệunhẩy tần chiếm một kênh đơn tương đối hẹp Nếu tốc độ thay đổi của tần sốsóng mang lớn hơn nhiều so với tốc độ ký tự thì hệ thống được coi như làmột hệ thống nhẩy tần nhanh Nếu kênh thay đổi tại một tốc độ nhỏ hơn hoặcbằng tốc độ ký tự thì hệ thống được gọi là nhẩy tần chậm

3.3 Các chuẩn Wireless.

3.3.1 Các chuẩn của 802.11.

IEEE: Là tổ chức đi tiên phong trong lĩnh vực chuẩn hóa mạng LAN với đề ánIEEE 802 nổi tiếng bắt đầu triển khai từ năm 1980 và kết quả là hàng loạt chuẩnthuộc họ IEEE 802.x ra đời, tạo nên một sự hội tụ quan trọng cho việc thiết kế vàcài đặt các mạng LAN trong thời gian qua 802.11 là một trong các chuẩn của họIEEE 802.x bao gồm họ các giao thức truyền tin qua mạng không dây Trước khigiới thiệu 802.11 chúng ta sẽ cùng điểm qua một số chuẩn 802 khác:

- 802.1: Các Cầu nối (Bridging), Quản lý (Management) mạng LAN, WAN802.2: Điều khiển kết nối logic

- 802.3: Các phương thức hoạt động của mạng Ethernet

- 802.9: Dịch vụ luồng dữ liệu.

- 802.10: An ninh giữa các mạng LAN

- 802.11: Mạng LAN không dây – Wireless LAN

- 802.12: Phương phức ưu tiên truy cập theo yêu cầu

- 802.13: Chưa có

- 802.14: Truyền hình cáp

- 802.15: Mạng PAN không dây

- 802.16: Mạng không dây băng rộng

Chuẩn 802.11 chủ yếu cho việc phân phát các MSDU (đơn vị dữ liệu dịch vụ củaMAC) giữa các kết nối LLC (điều khiển liên kết logic)

Chuẩn 802.11 được chia làm hai nhóm:

- Nhóm lớp vật lý PHY

- Nhóm lớp liên kết dữ liệu MAC

3.3.1.1 Nhóm lớp vật lý PHY.

- Chuẩn 802.11b: 802.11b là chuẩn đáp ứng đủ cho phần lớn các ứng dụng

của mạng Với một giải pháp rất hoàn thiên, 802.11b có nhiều đặc điểmthuận lợi so với các chuẩn không dây khác Chuẩn 802.11b sử dụng kiểu trảiphổ trực tiếp DSSS, hoạt động ở dải tần 2,4GHz, tốc độ truyền dữ liệu tối đa

là 11 Mbps trên một kênh, tốc độ thực tế là khoảng từ 4-5 Mbps Khoảngcách có thể lên đến 500 mét trong môi trường mở rộng Khi dùng chuẩn nàytối đa có 32 người dung điểm truy cập Đây là chuẩn đã được chấp nhận rộngrãi trên thế giới và được trỉên khai rất mạnh hiện nay do công nghệ này sửdụng dải tần không phải đăng ký cấp phép phục vụ cho công nghiệp, dịch vụ,

y tế Nhược điểm của 802.11b là họat động ở dải tần 2,4 GHz trùng với dảitần của nhiều thiết bị trong gia đình như lò vi sóng , điện thoại mẹ con nên

có thể bị nhiễu

- Chuẩn 802.11a: Chuẩn 802.11a là phiên bản nâng cấp của 802.11b, hoạt

động ở dải tần 5 GHz, dùng công nghệ trải phổ OFDM Tốc độ tối đa từ 25Mbps đến 54 Mbps trên một kênh, tốc độ thực tế xấp xỉ 27 Mbps, dùng