Đang tải... (xem toàn văn)
, , Kẻ cơng sử dụng tính „comment‟ ứng dụng web để chèn bình luận (comment) có chứa thẻ script Mỗi người dùng ghé thăm tải đoạn bình luận và thực thi trình duyệt họ Giống chức bình luận Facebook diễn đàn, kẻ cơng sử dụng để công theo phương pháp này b) Reflected XSS Kiểu công Reflected XSS biết đến kiểu loại (non-persistent XSS), loại công XSS thường thấy ngày Khi ứng dụng bị nhiễm loại cơng này, không kiểm tra đầu vào thông qua yêu cầu máy khách Chương trình kẻ công viết Javascript, ActionScript, VBScript Những kẻ công dạng này thường làm cho lỗ hổng cài đặt, ăn trộm cookies nạn nhận, thay đổi nội dung trang web Một vấn đề quan trọng việc khai thác điểm yếu lỗ hổng XSS là việc mã hóa ký tự Trong số trường hợp, máy chủ Web ứng dụng Web lọc vài ký tự mã hóa Ví dụ, ứng dụng Web lọc thẻ lại lọc '%3cscript%3e' Hình 2.2: Mơ hì nh tấn cơng Reflected XSS Trong trường hợp này, kẻ công gửi email cho nạn nhân có chứa mã độc đường liên kết để lấy cookie Nạn nhân sau nhận mail, kích lên liên kết và từ khởi tạo yêu cầu HTTP tới ứng dụng Web gây nhiễm cho ứng dụng Đoạn JavaScript có chứa mã độc sau gửi trở lại trình duyệt nạn nhân 2.2.3 Cách phát sâu XSS Trong trang Web bị dính sâu XSS, thường là người sử dụng đăng nhập gửi vài thông tin nào tớ máy chủ, mà kết gửi có liên quan tới thơng tin chuỗi người dùng đã nhập khả cao là đã bị dính sâu XSS Kẻ cơng thường dùng thẻ để nhúng vào form ứng dụng đưa vào URL Bạn thử đăng nhập với chuỗi: alert(“XSS found”), thấy xuất popup ứng dụng đã bị nhiễm XSS, tương tự nhúng vào URL 2.2.4 Các phƣơng pháp ngăn chặn lỗ hổng bảo mật XSS Để trang Web tránh việc cơng XSS, nhà phát triển phần mềm nên kiểm tra cẩn thận hơn: Kiểm tra chấp nhận liệu hợp lệ Có chức nắm giữ từ chối nhận liệu hỏng Thực kiểm tra sàng lọc liệu cách liên tục 2.3 Tổng quan SQL Injection 2.3.1 Định nghĩa SQL injection kỹ thuật sử dụng cho việc muốn tìm điểm yếu ứng dụng sở liệu Nó thường sử dụng ứng dụng Web, mà yêu cầu nhập thông tin từ người dùng để xử lý Kỹ thuật này thường thấy trường hợp yêu cầu đăng nhập vào ứng dụng hay khung đăng thông tin từ người dùng mà ứng dụng sử dụng câu truy vấn SQL injection xuất hiên ứng dụng web có sử dụng công nghệ như: ASP, ASP.NET và PHP với SQL Ví dụ người sử dụng nhập thông tin vào trang đăng nhập yêu cầu gửi thông tin người dùng mật mang để so sánh với tập hợp người dùng hợp pháp sở liệu [9] 2.3.2 Các kỹ thuật công SQL Injection Có loại cơng thuộc SQL Injection: Đăng nhập không cần mật khẩu, sử dụng câu lệnh SELECT, sử dụng Stored-procedures, sử dụng câu lệnh INSERT [8] 2.3.3 Những ảnh hƣởng gây SQL Injection Một kẻ cơng đã nhận hệ thống có điểm yếu tiêm mã độc SQL Injection vào, chúng đưa vào câu lệnh truy vấn SQL thông qua trường nhập đầu vào nào Điều tương đương với việc giao sở liệu bạn cho kẻ công cho phép kẻ công thực thi lệnh SQL nào bảo gờm câu lệnh “DROP TABLE” để xóa hẳn sở liệu bạn Kẻ cơng có lẽ thực thi trạng thái SQL cách tùy ý hệ thống có khả tiêm nhiễm Điều gây nguy cho toàn sở liệu bạn làm phơi bày thông tin nhạy cảm Phụ thuộc vào back-end sở liệu, khả tiêm nhiễm SQL Injection dẫn đến nhiều mức độ việc truy cập liệu/hệ thống kẻ cơng Nó có khả thực thi truy vấn tờn tại, UNION liệu tùy ý, sử dụng lựa chọn thêm vào truy vấn theo sau 9 2.3.4 Các phƣơng pháp phòng chống SQL Injection phổ biến Các loại công SQL Injection dựa điểm yếu sở liệu Thông thường nhà lập trình thường quên việc ngăn chặn lỗi bảo mật lập trình dẫn đến sơ hở 10 CHƢƠNG MỘT SỐ CÔNG CỤ PHÁT HIỆN NGUY CƠ AN NINH Chương miêu tả công cụ phát lỗ hổng bảo mật, với chiến lược công cụ dễ sử dụng, có khả phát tốt sử dụng nhiều mà nhà kiểm thử dễ dàng áp dụng chạy hoàn toàn tự động, khơng tốn cơng sức người Đó công cụ như: Acunetix, Netsparker, WebScarab, Websecurify, W3af, Havij, Wapiti, BurpSuite, Exploit-Me, Rcvalle-rapache 3.1 Netsparker Netsparker công cụ duyệt tìm lỗ hổng SQL injection XSS gây ra, phần mềm miễn phí cho tất trang web muốn tìm lỗ hổng Cơng cụ phát vấn đề bảo mật ứng dụng Web, Netsparker kiểm tra phát số lượng điểm yếu lớn SQL injection như: Error Based, Blind và Time Based SQL Injections Sau xác nhận lỗ hổng đó, cơng cụ có khả thực thi kiểm tra rộng để xác định rõ người sử dụng ứng dụng có quyền người quản lý Trong trường hợp Netsparker báo cáo vấn đề riêng biệt gọi là “Admin User DB Connection” Netsperker tìm khai thác nhiều tầng back-end sở liệu khác nhau, có khả tìm thấy 98.53% tất SQL injection Ví dụ chạy ứng dụng: http://localhost/topman kết chạy công cụ này mơ tả Hình 3.1 sau: Hình 3.1: Thực nghiệm cơng cụ Netsparket Bên cạnh đó, nhiều lỗ hổng mức độ ảnh hưởng trung bình thấp như: hiển thị thông tin vài trường, lộ thơng tin ngơn ngữ lập trình Những thơng tin mà hữu ích 11 cho kẻ muốn cơng Dựa cơng cụ này, đã giúp phát lỗ hổng, từ nhà phát triển biết khắc phục trước bị công gây hậu 3.2 Websecurify Websecurify cơng cụ kiểm thử phần mềm tự động có khả quét thông số an ninh khác trang web và đưa phân tích thống kê tồn diện giúp bạn tìm thấy lỗ hổng an ninh để giữ cho trang web tránh công kẻ công [14] Cũng tương tự desktop, Websecurify đuôi mở rộng firefox chrome Bạn cài đặt sử dụng cách dễ dàng để sử dụng 3.3 Acunetix Acunetix cơng cụ bảo mật mới, cho phép chúng ta x ác nhận tìm nhiều tính yếu điểm cho ứng dụng Web Việc nâng cao độ xác đạt việc kết hợp kỹ thuật quét hộp đen với phản hồi từ phần tử nhạy cảm đặt bên mã ng̀n thực thi Việc quét hộp đen thì cách mà ứng dụng tác động trở lại việc phân tích mã ng̀n khơng thể hiểu ứng dụng có hành vi nào bị công Do việc kết hợp kỹ thuật với để đạt kết tương xứng việc sử dụng phân tích mã nguồn quét hộp đen cách độc lập [5] Hình 3.2 là ví dụ chạy trang web: Hình 3.2: Ví dụ Acunetix Trang web quản lý dự án, cài đặt tại máy localhost: http://localhost/topman Chương trình chạy đơn giản bạn cần đưa đường địa trang Web vào bắt đầu chạy, hình kết sau: 12 Trang web cần quét Mức động uy hiểm lỗ hổng Hình 3.3: Kết quả chạy Acunetix Kết cho thấy có lỗi có khả cơng XSS Dựa vào kết và độ nguy hiểm, tới phân tích lỗ hổng sau: Miêu tả chi tiết lỗ hổng Kích lên lỗ hổng để xem chi tiết Hình 3.4: Phân tí ch chi tiết kết quả Một REQUEST chứa mã độc, thực thi di chuột qua login_name, thực thi câu lệnh hiển thị hộp thoại thông báo lỗi hình vẽ Đối với kẻ cơng, cài đặt đoạn mã xấu nhằm lấy cookies người sử dụng hộp thoại hiển thị ra, lúc hệ thống bị nhiễm sâu XSS Một ứng dụng bị nhiễm sâu này, có khả bị chỉnh sửa nội dung trang web, thực thi chức sai lệch, có khả gây phá hủy hệ thống quyền người sử dụng hợp pháp ứng dụng, tài khoản người sử dụng đã bị đánh cắp Để ngăn chặn lỗi xảy ra, người phát triển ngăn chặn cách kiểm tra lọc kỹ liệu đầu vào, nhằm tránh mã độc 13 3.4 WebScarab a) Khái niệm WebScarab công cụ kiểm tra ứng dụng Web, khung làm việc dùng cho việc phân tích ứng dụng, giao tiếp sử dụng giao thức HTTP và HTTPs Nó viết Java có khả chạy nhiều tảng WebScarab thao tác giống proxy, cho phép thao tác kiểm tra chỉnh sửa yêu cầu tạo trình duyệt trước chúng gửi tới máy chủ và kiểm tra, chỉnh sửa đáp trả từ máy chủ trước chúng nhận trình duyệt WebScarab có hai phần [10]: Lite mode: Phần có khả chặn chỉnh sửa yêu cầu (cả giao tiếp HTTP HTTPs) Full mode: Phần có khả thêm vào yêu cầu 3.5 Havij a) Khái niệm Havij cơng cụ tìm kiếm SQL injection, giúp người kiểm thử thâm nhập tìm thấy lỗ hổng SQL injection trang web cách tìm sở liệu tại ứng dụng thâm nhập vào để lấy thông tin sở liệu đó, thực thi chạy câu lệnh SQL, truy cập vào tệp hệ thống chạy chúng nhằm phá hủy hoàn toàn hệ thống Sức mạnh Havij khác so với công cụ khác phương pháp tiêm nhiễm Sau đã lấy thông tin người dùng, kẻ cơng dùng tên người sử dụng mật để đăng nhập vào hệ thống cách hợp lệ b) Những đặc tính Havij Phát điểm yếu sở liệu Lấy thông tin bảng cột, lấy liệu từ sở liệu, chạy câu lệnh SQL chí truy cập hệ thống tập tin sở thực lệnh hệ điều hành Havij đơn giản dễ sử dụng cho người dùng Hỗ trợ nhiều loại sở liệu 3.6 W3af W3af công cụ mã nguồn mở, áp dụng cho việc kiểm tra an ninh cho ứng dụng Web, tìm kiếm khai thác lỗ hổng Nó cung cấp thông tin lỗ hổng an ninh hỗ trợ việc kiểm thử cách thâm nhập vào trang Web W3af bắt đầu Andres Riancho vào tháng năm 2007, sau nhiều năm phát triển 14 W3af sử dụng chiến thuật khai thác để tì m URL mới và các lỗ hổng Chúng ta xem chương tiếp theo để biết được những lỗ hổng mà công cụ này phát hiện cho ứng dụng phần mềm Trường Nhà Kết luận, chương này giới thiệu tới một vài loại công cụ mà dùng phổ biến lĩnh vực an ninh cho ứng dụng Web Dưới là vài đánh giá và kết luận thu khảo sát tìm hiểu cơng cụ trên: Trong các trường hợp không đủ thời gian kiểm thử muốn thực thi kiểm thử nhanh chóng mà vẫn phát lỗ hổng mà trang Web hay gặp phải, người dùng có thể sử dụng những công cụ Websecurify , Netsparker, W3af Bên cạnh việc cài đặt và giao diện dễ sử dụng cho nh ững người vào nghề làm kiểm thử không cần mất thời gian nhiều để học cách sử dụng công cụ , Ngoài muốn đánh giá độ an toàn công tác đánh giá hệ thống, người dùng có thể sử dụng công cụ Netsparker, công cụ này hữu hiệu việc kiểm thử “Penetration testing” – là phương pháp đánh giá độ an toàn cách công (đánh trận giả) Các công cụ Acunetix, WebScarab, BurpSuite phát nhanh và sâu , áp dụng cho những người kiểm thử hiểu sâu về công cụ và có khả tối ưu hóa cao để quét Công cụ này cũng tì m rất nhiều những lỗ hổng áp dụng tốt trường hợp muốn đảm bảo an ni nh cho một ứng dụng Web Exploit-Me là công cụ nhanh gọn và dễ sử dụng, nhiên khả phát hiện lỗ hổng thường kém các ứng dụng khác Trong trường hợp những trang web có nhu cầu muốn chuyên sâu vào tì m nhữ ng lỗ hổng dạng SQL injection Công cụ Havij có thể tì m được rất mạng và chí nh xác Đối với ứng dụng Web có sử dụng Apache server, kiểm thử viên muốn phát hiện lỗ hổng có khả tấn công DoS Kiểm thử viên c ó thể sử dụng cơng cụ Rcvale rapache để phát cách nhanh chóng bằng cách thử tấn công Công cụ Exploit-Me tập hợp công cụ cho việc kiểm tra bảo ứng dụng Web Firefox Nó thiết kế đơn giản, dễ cài đặt sử dụng, tương tác trực tiếp với Firefox Mỗi công cụ đều có những ưu điểm phù hợp với các ứng dụng khác và bên cạnh đó có vài nhược điểm Người dùng có thể tham khảo để biết phù hợp nhất với hoàn cảnh và ứng dụng của mì nh để áp dụng mang lại hiểu quả cao nhất 15 CHƢƠNG THỰC NGHIỆM VÀ PHÂN TÍCH KẾT QUẢ Chương sâu vào thực nghiệm một vài công cụ giới thiệu chương ứng dụng quản lý trường học mang tên “Trường Nhà” Đó cơng cụ có khả phát lỗ hổng an ninh cho ứng dụng Web cao, giao diện dễ sử dụng mã nguồn mở như: Acunetix, Websecurify, Burp suite, Skipfish, W3af Netsparker Dựa kết thực nghiệm, cuối chương tổng quát hóa đưa khuyến cáo nhằm giúp ứng dụng Web khác nâng cao vấn đề bảo mật an ninh cho ứng dụng Web 4.1.Acunetix 4.1.1 Thực nghiệm Thực nghiệm công cụ ứng dụng quản lý trường học tại: http://truongnha.com Hình 4.1: Kết quả chạy cơng cụ Acunetix Hình mơ tả kết việc quét trang http://truongnha.com Công cụ này đã phát vài lỗ hổng Web server mạng 4.1.2 Phân tích thực nghiệm Với lỗ hổng Web server Apache HTTP có khả bị công từ chối dịch vụ (DoS), khả kẻ công truy cập từ xa công vào dạng làm tràn nhớ chiếm hết quyền sử dụng CPU, điều gây công từ chối dịch vụ dạng công Apache Session Cookie không được dùng với cờ bảo mật : Với dạng lỗ hổng này, ứng dụng không an toàn chúng không được thiết lập cờ bảo mật Giải pháp đưa công cụ Acunetix nhà phát triển nên thiết lập cờ bảo mật cho chúng dạng HTTPOnly 16 4.2.Netsparker 4.3.1 Thực nghiệm Chúng ta chạy ứng dụng http://truongnha.com: Hình 4.2: Thực nghiệm cơng cụ Netsparker 4.3.2 Phân tích thực nghiệm Lỡ hởng xảy tại: http://truongnha.com/admin/ Lỗi mật truyền ngang qua HTTP: Khi tồn tại lỗi xảy ra, kẻ cơng lợi dụng làm chặn lại giao thông mạng và ăn trộm chứng thực người sử dụng hợp pháp Để tránh lỗ hổng xảy ra, liệu nhảy cảm, hay form trang nên truyền ngang qua HTTPs thay truyền qua HTTP khơng an toàn Lỗ hổng Django Stack Trace Disclosure: khả hiển thị chi tiết trang web lỗi tại ứng dụng web mục tiêu Những thông tin giúp cho kẻ cơng chống lại hệ thống, khai thác lỗ hổng hệ thống dựa thơng tin đã biết, từ thực thi khai thác chúng, dẫn đến phá hủy hệ thống Để khắc phục lỗi này, nhà phát triển phần mềm nên thay đổi cấu hình Django là: thay đổi lựa chọn DEBUG tới false Bên cạnh đó có rất nhiều những lỗi với mức độ thấp như: Lỗi bên máy chủ : Máy chủ đáp trả lại HTTP với trạng thái 500, điều đó lỗi phía máy chủ Thơng tin này sau đó sẽ được phân tí ch một cách cẩn th ận Sự ảnh hưởng của lỗ hổng này phụ thuộc vào nhiều điều kiện nó có khả sẽ gây tấn công dưới dạng SQL Injection Để ngăn chặn lỗ hổng này xảy , nhà phát triển phần mềm nên xem xét lại mã chương trì nh để ngăn chặn những lỗi không mong 17 đợi, để không làm lộ thông tin ngoài , lỗi nên xử lý phía máy chủ Lỡ hởng này xảy tại: http://truongnha.com/static/bootstrap/ Cookie không được đánh dấu HTTPOnly : HTTPOnly là chế bảo mật cookie Nếu một cookie được đánh dấu HTTPOnly thì cookie không có khả truy cập được từ máy khách Do đó nó có khả tạo thêm một tầng bảo vệ chống lại tấn công XSS Trang web này sẽ có khả bị kẻ công truy cập cookie một cách dễ dàng Để ngăn chặn các lỗi này , nhà phát triển phần mềm nên đánh dấu cookie với cờ HTTPOnly để tạo một tầng bảo mật chống lại XSS cho các trang Web mình 4.3.Websecurify 4.6.1 Thực nghiệm Chúng ta thực thi quét trang web với cơng cụ Websecurify và có kết sau: Hình 4.3: Kết quả chạy cơng cụ Websecurify 4.6.2 Phân tích thực nghiệm Dưới là các lỡ hởng được tì m thấy bởi công cụ này Error Disclosure: lộ thông tin này, kẻ công biết thêm ứng dụng, phiên bản và cấu hì nh hiện tại của ứng dụng giúp í ch cho việc khai thác các điểm yếu đó Autocomplete Enable: những trường thông tin nhạy cả m được hiển thị , kẻ cơng truy cập vào đệm lấy thơng tin và công thông tin mật khẩu, cookies… Email Disclosure: Máy chủ ứng dụng bị lộ địa email Điều này sẽ gây r a một cuộc spam thư, hay lộ thông tin của người dùng nào đó 18 Banner Disclosure: Máy chủ và ứng dụng bị lộ thông tin phiên và kiểu 4.4.Tổng hợp đánh giá Chương này thực hiện việc kiểm thử an ninh cho ứng dụng quản lý trường học phổ thông mang tên “Trường Nhà” (http://truongnha.com) và phát lỗ hổng bảo mật giúp ứng dụng này giảm thiểu phần nào thiệt hại gây Dưới là danh sách các công cụ thực thi ứng dụng “Trường Nhà”, và lỗ hổng đã đư ợc miêu tả chi tiết thực thi công cụ phần thực nghiệm trên: Bảng 4.1: Danh sách các lỗ hổng các công cụ Công cụ Lỗ hổng W3af Lộ thông tin địa Email XSS Acunetix Websecurify X X X DOS/DDOS X Lộ đường dẫn X Lộ ngôn ngữ ứng dụng Tấn công liên trang giả mạo Netsparker X X X X Mật truyền qua HTTP X Mật tự động hiển thị X Lộ thông tin máy chủ X Hiển thị cookies X Khả tự động thị trường X X X X X X X Toàn chương này tập trung sâu vào quét lỗ hổng bảo mật công cụ đại được sử dụng nhiều hiện ứng dụng quản lý trường học tại http://truongnha.com Thêm vào đó , chương này đưa một vài khuyến cáo để giúp ứng dụng có thể giảm thiểu các 19 lỗ hổng an ninh nhằm ngăn chặn tấn công của kẻ tấn công vào ứng dụng Những khuyến cáo này áp dụng với ứng dụng Web khác Dựa vào việc thực nghiệm trên, luận văn đưa qui trình áp dụng cho việc sử dụng công cụ cách hiệu sau: o Đầu tiên, nên sử dụng công cụ Websecurify cơng cụ cài đặt đơn giản, khơng thời gian có khả tìm lỗ hổng quan trọng như: SQL Injection, XSS, thơng số bị lộ o Sau đó, đã phát lỗ hổng bản, người dùng muốn phát rộng thêm lỗ hổng khác, áp dụng cơng cụ Acunetix và Netsparker chúng có nhiều lựa chọn nhiều cấu hình cho người dùng để quét toàn cấu trúc trang Web, từ có khả phát lỗ hổng DOS, cổng thông tin mở mật truyền cách khơng an tồn o Cuối cùng, người dùng quen dùng chế độ dòng lệnh sử dụng thêm công cụ W3af và Skipfish để quét lại lượt để phát thêm vài lỗ hổng dạng công liên trang giả mạo Với việc áp dụng quy trình vậy, ứng dụng Web phần giảm thiểu mối nguy hại lỗ hổng gây mà ứng dụng Web nào áp dụng 20 CHƢƠNG KẾT LUẬN VÀ HƢỚNG PHÁT TRIỂN Chương tổng kết lại những k ết mà luận văn đã làm và đưa những hướng phát triển thời gian tới Vấn đề bảo mật an ninh Web vấn đề quan trọng cần thiết sự phát triển rất nhanh của các ứng dụng nền Web , nguy và thiệt hại gây lỗ hổng không nhỏ Tuy vậy không phải bất kỳ nhà phát triển phần mềm Web nào cũng chú tâm đến việc bảo mật anh ninh, vì nhiều ứng dụng Web vẫn tờn tại nguy tính an tồn bảo mật (security vularability) liên tục vẫn có công xảy Việc tì m kiếm và phát nguy an ninh cách thủ cơng khó khăn có nhi ều nguy an ninh phát công cụ tự động Bên cạnh thì loại nguy an ninh và công cụ tự động phát nguy ngày càng nhiều, khiến cho người dùng khó khăn việc lựa chọn công cụ phù hợp với ứng dụng Chính đề tài này nghiên cứu m ột số kiểu tấn công phổ biến và các công cụ tự động phát hiện nguy an ninh an toàn thử nghiệm chúng vào phần mềm quản lý trường học phổ thông với tên gọi “Trường Nhà” trang web http://truongnha.com Kế hoạch tương lai của luận văn , đề tài tiếp tục sâu nghiên cứu thêm kĩ thuật cơng, sử dụng phần mềm mã nguồn mở để mở rộng thêm chức cho công cụ để đưa phương pháp và triển khai chương trình phát lỗ hổng bảo mật ứng dụng Web mức độ sâu 21 TÀI LIỆU THAM KHẢO Tiếng Việt Vnexperts Research Department, DOS DDOS toàn tập Tiếng Anh Acunetix (2012), Web Vulnerability Scanner V8, User manual v.1 2012 CEH – Certified Ethical Hackers, Hacking Web Applications – Module 13 Craig Shue, Brian Kopecky, Chris Weilemann, Denial of Service Attack Detection using Extended Analog Computers MSI::Labs (2006), Acunetix Web Vulnerability Scanner L Garber (2000), Denial-of-service attacks rip internet, IEEE Computer OWASP, http://www.owasp.org OWASP, SQL Injection, https://www.owasp.org/index.php/SQL_Injection Hakipedia, SQL Injection, http://hakipedia.com/index.php/SQL_Injection 10 Holger Peine Dr, The interactive HTTP proxy WebScarab – Installation and basic use, Fraunhofer IESE 11 Sector Toronto (2009), A framework to Own the Web – part I 12 SpiderLaps, Web Hacking Incident Database, by SpiderLaps, http://projects.webappsec.org/w/page/13246995/Web-Hacking-Incident-Database 13 Web Application Security Scanner Evaluation Criteria –2009 Web Application Security Consortium 14 Websecurify, http://www.websecurify.com/suite Thank you for evaluating AnyBizSoft PDF Splitter A watermark is added at the end of each output PDF file To remove the watermark, you need to purchase the software from http://www.anypdftools.com/buy/buy-pdf-splitter.html ... W3af công cụ mã nguồn mở, áp dụng cho việc kiểm tra an ninh cho ứng dụng Web, tìm kiếm khai thác lỗ hổng Nó cung cấp thơng tin lỗ hổng an ninh hỗ trợ việc kiểm thử cách thâm nhập vào trang Web. .. đã giúp phát lỗ hổng, từ nhà phát triển biết khắc phục trước bị công gây hậu 3.2 Websecurify Websecurify công cụ kiểm thử phần mềm tự động có khả quét thông số an ninh khác trang web và đưa... Nhà” trang web http:/ /truongnha. com Ứng dụng “Trường Nhà” là trang Web quản lý trường học phổ thông xây dựng đội phát triển phần mềm Chính vậy, đề tài thử nghiệm vào ứng dụng này để đưa lỗ hổng