Đồ án: Tìm hiểu về an ninh mạng và kỹ thuật tấn công web server

TRƯỜNG CAO ĐẲNG CNTT HỮU NGHỊ VIỆT- HÀN KHOA KHOA HỌC MÁY TÍNH BỘ MƠN: MẠNG MÁY TÍNH ĐỒ ÁN MƠN HỌC AN NINH MẠNG TÌM HIỂU VỀ AN NINH MẠNG VÀ KỸ THUẬT TÁN CÔNG WEB SERVER Họ tên SV Lớp CBHD : NGÔ TÙNG DƯƠNG : MM03A : Ths LÊ TỰ THANH NỘI DUNG Tổng quan an ninh mạng Web Server Mục tiêu nhiệm vụ Nội dung Kết luận đề tài Tài liệu tham khảo 06/12/19 2/15 NỢI DUNG CHÍNH Tổng quan an ninh mạng Web Server •An ninh mạng ? An ninh mạng lĩnh vực mà giới công nghệ thông tin quan tâm Một internet đời phát triển, nhu cầu trao đổi thông tin trở nên cần thiết Mục đích việc kết nối mạng làm cho người sử dụng chung tài nguyên mạng từ vị trí địa lý khác Chính mà tài nguyên dễ dàng bị phân tán, hiển nhiên điều dễ bị xâm phạm, gây mát liệu thơng tin có giá trị Kết nối rộng dễ bị cơng, quy luật tất yếu Từ đó, vấn đề bảo vệ thơng tin đồng thời xuất an ninh mạng đời 06/12/19 3/15 NỢI DUNG CHÍNH • Kẻ cơng • Hacker mũ đen Đây tên trộm hiệu, với Hacker có kinh nghiệm đặc biệt nguy hiểm hệ thống mạng Mục tiêu chúng đột nhập vào hệ thống mạng đối tượng để lấy cấp thông tin, nhằm mục đích bất Hacker mũ đen tội phạm thật cần trừng trị pháp luật • Hacker mũ trắng Họ nhà bảo mật bảo vệ hệ thống Họ xâm nhập vào hệ thống, mục đích tìm kẽ hở, lổ hổng chết người sau tìm cách vá lại chúng Tất nhiên, hacker mũ trắng có khả xâm nhập trở thành hacker mũ đen • Hacker mũ xám Lọai kết hợp hai loại Thông thường họ người trẻ, muốn thể 06/12/19 4/13 NỢI DUNG CHÍNH • Lỗ hổng bảo mật • Lỗ hổng loại A Các lỗ hổng cho phép người sử dụng ngồi truy nhập vào hệ thống bất hợp pháp Lỗ hổng nguy hiểm, phá hủy tồn hệ thống • Lỗ hổng loại B Các lỗ hổng cho phép người sử dụng thêm quyền hệ thống mà khơng cần thực kiểm tra tính hợp lệ Mức độ nguy hiểm trung bình Những lỗ hổng thường có ứng dụng hệ thống, dẫn đến lộ thơng tin liệu • Lỗ hổng loại C Các lỗ hổng loại cho phép thực phương thức công theo DoS Mức độ nguy hiểm thấp, ảnh hưởng tới chất lượng dịch vụ, làm ngưng trệ, gián đoạn hệ thống, không làm phá hỏng liệu quyền truy nhập bất hợp pháp 06/12/19 5/13 NỘI DUNG CHÍNH • Website Website “trang web” lưu trữ máy chủ hay hosting hoạt động Internet Đây nới giới thiệu thơng tin, hình ảnh doanh nghiệp, sản phần dịch vụ doanh nghiệp hay giới thiệu kì thơng tin để khách hàng truy cập đâu, lúc Website tập hợp nhiều web page Khi doanh nghiệp, công ty xây dựng website nghĩa xây dựng nhiều trang thông tin sản phẩm, dịch vụ hay giới thiệu, 06/12/19 6/15 NỢI DUNG CHÍNH • Khái niệm Web Server Web Server (máy phục vụ Web): máy tính mà cài đặt phần mềm phục vụ Web, đơi người ta gọi phần mềm Web Server.Tất Web Server hiểu chạy file *.htm *.html, nhiên Web Server lại phục vụ số kiểu file chuyên biệt chẳng hạn IIS Microsoft dành cho *.asp, *.aspx ; Apache dành cho *.php ; Sun Java System Web Server SUN dành cho *.jsp… 06/12/19 7/15 NỢI DUNG CHÍNH Web Server máy chủ có dung lượng lớn, tốc độ cao, dùng để lưu trữ thông tin ngân hàng liệu, chứa website thiết kế với thông tin liên quan khác (các mã Script, chương trình, file Multimedia) 06/12/19 8/13 NỢI DUNG CHÍNH • Máy chủ IIS (Internet Information Services ) IIS dịch vụ thông tin Internet Microsoft phát triển, sản phẩm tích hợp với hệ điều hành Windows Phiên IIS 7.5 chạy hệ điều hành Windows server 2008 (hay windows 7) Trong IIS bao gồm nhiều dịch vụ dịch vụ như: dịch vụ Web Server, dịch vụ FTP Server … 06/12/19 9/13 NỢI DUNG CHÍNH • Apache Web Server Apache Web Server xem nỗ lực lớn việc phát triển trì Web Server mã nguồn mở cho hệ điều hành, bao gồm Unix, Linux Windows NT Đây Web Server hội tụ tất tính năng: bảo mật, hiệu suất, mở rộng phát triển cung cấp dịch vụ Web đồng chuẩn Web hành 06/12/19 10/13 NỢI DUNG CHÍNH MỘT SỐ CÁCH TẤN CƠNG VÀ PHỊNG CHỐNG TẤN CƠNG WEB SERVER •Tấn cơng Directory Traversal Directory traversal hay biết với số tên khác “dot-dot-slash”, “path Traversal”,”directory clumbing” “backtracking” hình thức cơng truy cập đến file thư mục mà lưu bên thư mục webroot Hình thức cơng khơng cần sử dụng công cụ mà đơn thao tác biến với (dot-dot-slash) để truy cập đến file, thư mục, bao gồm source code, file hệ thống, … 06/12/19 11/13 NỢI DUNG CHÍNH • Tấn cơng HTTP Response Splitting Lỗi HTTP Response Splitting công vào ứng dụng web diễn khơng thể xử lý thông tin đầu vào người dùng nhập Kẻ cơng từ xa gửi u cầu HTTP đặc biệt làm cho máy chủ web định dạng yêu cầu nhầm tưởng chứa yêu cầu HTTP Chỉ yêu cầu thứ xử lý người sử dụng HTTP Response Splitting cho phép tiến hành lượng lớn công, chặn ăn cắp thông tin người dùng 06/12/19 12/13 NỢI DUNG CHÍNH • Tấn cơng SSH Bruteforce Giao thức SSH sử dụng để tạo đường hầm mã hóa máy chủ, nhằm chuyển liệu người dùng Kẻ cơng Bruteforce bắt SSH tin thơng tin đăng nhập hợp lệ để truy cập trái phép vào đường hầm SSH Sau đường hầm sử dụng để truyền cách malware khai thác nạn nhân mà khơng bị hủy lệnh 06/12/19 13/13 NỢI DUNG CHÍNH •Tấn cơng Man-in-the-Middle Một cơng mạng thường thấy sử dụng để chống lại cá nhân tổ chức lớn cơng Man in the Middle Có thể hiểu nơm na kiểu cơng kẻ nghe trộm Man in the Middle hoạt động cách thiết lập kết nối đến máy tính nạn nhân relay message chúng 06/12/19 14/13 NỘI DUNG CHÍNH • Một số cách phòng chống cơng máy chủ Web • • • • • • Patches Updates Protocols Accounts Files and Directories Lockdown IIS Services 06/12/19 15/13 NỢI DUNG CHÍNH • MỘT SỐ CƠNG CỤ TẤN CƠNG VÀ PHỊNG CHỐNG TẤN CƠNG WEB SERVER Cơng cụ cơng •Metasploit Framework •Wfetch •Brutus Cơng cụ phòng chốn cơng •Microsoft Baseline Security Analyzer (MBSA) •Sandcat 06/12/19 16/13 KẾT LUẬN • • • Qua đề tài nắm mánh khóe hay lỗ hổng bảo mật giúp Hacker dễ dàng xâm nhập vào hệ thống máy chủ Web Server Trước hết bảo vệ khỏi cạm bẫy hay lời dụ dỗ từ Hacker để lấy thông tin cần thiết từ người dùng Đối với cộng đồng người dùng Internet người dễ bị Hacker lợi dụng với kiến thực hạn hẹp cơng nghệ thơng tin Khi đọc đề tài nhiều thấy lợi hại Hacker khơng nhiều có chút kiến thức để tự xử lý tình cơng XSS thơng qua spam mail, Còn người quản trị mạng với đề tài giúp biết lỗ hổng nhỏ mà Hacker tận dụng để xâm nhập vào hệ thống 06/12/19 17/15 HẠN CHẾ CỦA ĐỀ TÀI • Hạn chế lớn đề tài khơng demo đầy đủ hình thức cơng mà chỉnh demo phần nhỏ số hình thức cơng Hacker • Tiếp theo nói để Hacker Web Server đòi hỏi phải biết rõ ngơn ngữ lập trình Web phân tích đoạn code thấy lỗ hổng việc xây dụng hệ thống Web Server vấn đề lớn Vì hạn chế mà đề tài nói rõ phần lý thuyết demo có phần nhỏ để hiểu thêm phần lý thuyết 06/12/19 18/13 TÀI LIỆU THAM KHẢO • [1] CEH tồn tập tiếng việt VSIC biên soạn • [2] Hacking Exposed, Stuart McClure, Joel Scambray, George Kurtz • [3] Slide tiếng anh CEH tồn tập • http://ceh.vn • http://hvaonline.net • http://tailieu.vn 06/12/19 19/15 Chân thành cảm ơn! ... Tổng quan an ninh mạng Web Server Mục tiêu nhiệm vụ Nội dung Kết luận đề tài Tài liệu tham khảo 06/12/19 2/15 NỢI DUNG CHÍNH Tổng quan an ninh mạng Web Server An ninh mạng ? An ninh mạng lĩnh... Khái niệm Web Server Web Server (máy phục vụ Web) : máy tính mà cài đặt phần mềm phục vụ Web, người ta gọi phần mềm Web Server. Tất Web Server hiểu chạy file *.htm *.html, nhiên Web Server lại phục... Windows server 2008 (hay windows 7) Trong IIS bao gồm nhiều dịch vụ dịch vụ như: dịch vụ Web Server, dịch vụ FTP Server … 06/12/19 9/13 NỢI DUNG CHÍNH • Apache Web Server Apache Web Server xem