Đề tài: Nghiên cứu ứng dụng Mod Security để bảo vệ web server

Các firewall truyền thống không đủ mạnh để để bảo vệ các web server. ModSecurity cho phép bảo vệ web server (một or nhiều) thông qua cơ chế can thiệp trực tiếp ở mức độ ứng dụng. Đồ án này nhằm nghiên cứu và ứng dụng ModSecurity để bảo vệ hệ thống web bất kỳ.

MỤC LỤC I PHIẾU GIAO ĐỀTÀI II NHẬP ĐỀ IV GIỚI THIỆU MOD_SECURITY .7 CHỨC NĂNG Parsing Buffering Logging Rule Engine CẤU TRÚC RULE TRONG ModSecurity QUY TRÌNH XỬ LÝ TRONG ModSecurity Request Header (1) .9 Request body (2) Response headers (3) Response body (4) 10 Logging (5) 10 KHUYẾN CÁO KHI TRIỂN KHAI THỰC TẾ 10 V TỐNG QUAN VỀ TIÊU CHUẨN OWASP TOP TEN .11 VI CÀI ĐẶT MODSECURITY 12 VII CẤU HÌNH 15 Cấu hình thư mục 15 Các tập tin cấu hình 15 Các thị tập tin cấu hình 16 Quản lý Request Body 17 Quản lý Response Body .18 Filesystem Locations 18 File Uploads 19 Debug Log 19 Audit Log 19 Default Rule Match Policy 20 Verifying Installation 20 VIII OWASP MODSECURITY CORE RULE SET .20 Giới thiệu 20 Triển khai OWASP ModSecurity CRS 21 Kiểm tra kết 22 IX TỔNG QUAN VỀ RULE 23 Giới thiệu 23 Variables 24 Request variables 25 Server variables 26 Response variables 26 Miscellaneouse variables 27 Parsing flags 27 Collections variables 28 Time variables 28 Operators 29 String–matching operators 29 Numerical operators 30 Validation operators 30 Miscellaneous operators 30 Actions 31 Disruptive actions .31 Flow actions 31 Metadata actions 32 Variable actions 32 Logging actions 32 Special actions 33 Miscellaneous Actions 33 X RULE LANGUAGE TUTORIAL 33 Tổng quan 33 Hướng dẫn sử dụng biến (variable) 33 Hướng dẫn sử dụng liên kết rule (chain) 34 Hướng dẫn sử dụng toán tử phủ định 34 Variable Counting 35 Hướng dẫn action 35 Action Defaults 35 Unconditional Rules 36 Using Transformation Functions .36 Blocking 37 Changing Rule Flow 37 Capturing Data 38 Variable Manipulation 39 Metadata 39 XI PHÂN TÍCH CÁC RULE ỨNG DỤNG THỰC TẾ 40 Trường hợp 1: Chống công Replay attack thông qua chế đánh token ngẫu nhiên .40 Trường hợp 2: Phát Session cookie không hợp lệ 43 Trường hợp 3: Phòng chống phương pháp khai thác HTTP Reponse Spliting .48 Trường hợp 4: Phòng chống phương pháp khai thác Path-Traversal 50 Trường hợp 5: Phát nguy lộ thơng tin thẻ tín dụng 52 Trường hợp 6: Phát hành vi đăng nhập bruteforce .54 XII PHỤ LỤC 61 DANH MỤC LỖ HỔNG BẢO MẬT OWASP 2010 61 DANH MỤC CÔNG CỤ HỖ TRỢ KIỂM TRA BẢO MẬT ỨNG DỤNG WEB .64 DANH MỤC THAM KHẢO KHAI THÁC LỖ HỔNG BẢO MẬT ỨNG DỤNG WEB 67 XIII TÀI LIỆU THAM KHẢO .91 I PHIẾU GIAO ĐỀTÀI Tên đề án: Nghiên cứu ứng dụng Mod Security để bảo vệ web server Người hướng dẫn: Lưu Thanh Trà Thời gian thực hiện: 14 tuần Số lượng SV I Mục đích Các firewall truyền thống khơng đủ mạnh để để bảo vệ web server ModSecurity cho phép bảo vệ web server (một/nhiều) thông qua chế can thiệp trực tiếp mức độ ứng dụng Đồ án nhằm nghiên cứu ứng dụng ModSecurity để bảo vệ hệ thống web II II Yêu cầu sinh viên thực  Sinh viên có kiến thức Linux, web  Sinh viên có kiến thức security, html, lập trình web III yêu cầu  Sinh viên nắm rõ hoạt động hệ điều hành Linux  Sinh viên nắm rõ web, html, http, PhP IV Sản phẩm  Hệ thống Mod Security triển khai hoàn chỉnh để bảo vệ hệ thống web V Tài liệu tham khảo Các giáo trình giảng viên đề nghị, Internet Ngày 28 tháng 02 năm 2013 Ký tên TS Lưu Thanh Trà II NHẬP ĐỀ Ngày nay, ứng dụng web doanh nghiệp quan phủ phải đối mặt với hai thách thức lớn là: giảm thiểu nguy bảo mật bảo đảm quy trình cơng nghiệp và/hoặc quy định phủ May mắn thay tồn giải pháp an tồn thơng tin sẵn sàng hỗ trợ tổ chức CNTT đạt hai tiêu chí thời điểm OWASP cho phép chuyên gia an ninh CNTT giảm thiểu công chủ động liên tục củng cố cấu hình cấu hình an ninh OS, ứng dụng web Web Application Firewall Đồng thời, dự án thuộc chuẩn OWASP cho phép kiểm soát viên giám sát việc tuân thủ sách bắt buộc tổ chức, doanh nghiệp ModSecurity sản phẩm thuộc dự án OWASP, cho phép người dùng cấu hình, tùy chỉnh phương thức phát cơng vào web server Phiên ModSecurity hỗ trợ Apache, Nginx IIS Cùng với dự án ModSecurity Core Rule Set việc triển khai hệ thống WAF dễ dàng cho nhân viên hệ thống chuyên viên bảo mật III IV GIỚI THIỆU MOD_SECURITY Mod_Security module mở rộng cho chương trình web server Apache, Nginx, IIS hoạt động firewall lớp ứng dụng web Cùng với gia tăng phương pháp công web mod_security cập nhật rule đưa nhiều cách phòng chống mã nguồn chương trình Một số tính chất mà mod_security dùng làm Web Application Firewall: Tính linh động (Flexibility) Việc phân tích luồng HTTP theo tiêu chí định thực tế thường gặp vấn đề để so trùng mẫu mà bạn muốn Ngồi ra, nhu cầu hệ thống web khác dẫn đến việc phân tích loại ứng dụng khác Mod_security kết hợp với OWASP phát triển tập rule mẫu (Core Rule Set) nhằm tạo tính linh động cho mơ hình web khác nhau, hỗ trợ người quản trị phân tích theo nhu cầu thực tế hệ thống quản trị Tính thụ động (Passivity) ModSecurity khơng thực thi tác vụ người quản trị viên không định cơng việc cụ thể cho chương trình, việc quan trọng ứng dụng có nhiệm vụ phân tích nguy ModSecurity Mọi cảnh báo thực thơng qua chế phân tích định tương tác với hệ thống người quản trị thực CHỨC NĂNG ModSecurity hoạt động với chương trình web server (ví dụ: Apache) thực tác vụ sau: Parsing ModSecurity phân tách liệu luân chuyển qua hệ thống thành cấu trúc liệu mà ModSecurity định nghĩa sẵn Cấu trúc chuyển qua chế so trùng mẫu tập rule để phân tích nguy Buffering Chức buffer (đệm) đóng vai trị quan trọng chế hoạt động ModSec Việc có ý nghĩa request gởi đến ứng dụng web phải thơng qua ModSecurity trước đến ứng dụng xử lý response phân tích trước trả phía client Cơ chế cách để ngăn chặn công thời gian thực, liệu mà ModSecurity nhận phân tích lưu trữ RAM (bao gồm request body response data) Logging ModSecurity hỗ trợ ghi nhật ký gói tin HTTP: request headers, request body, response header, response body nhằm hỗ trợ người quản trị phân tích nguy mà hệ thống gặp phải để định kiểm sốt Rule Engine Các tập mẫu ModSecurity đóng vai trò quan trọng việc phát dạng cơng thực phịng chống ModSecurity phát triển với dự án OWASP phát triển mẫu để phân tích phịng chống cơng hệ thống web (Tham khảo https://www.owasp.org/index.php/Category:OWASP_ModSecurity_Core_Rule_Set_Project) Các phân nhóm mà CRS hỗ trợ:            HTTP Protection Real-time Blacklist Lookups Web-based Malware Detection HTTP Denial of Service Protections Common Web Attacks Protection Automation Detection Integration with AV Scanning for File Uploads Tracking Sensitive Data Trojan Protection Identification of Application Defects Error Detection and Hiding CẤU TRÚC RULE TRONG ModSecurity Tất hoạt động ModSecurity hầu hết liên quan đến hai phần là: cấu hình (configuration) tập luật (rule) Phần cấu hình định cách thức xử lý liệu, rule định thực hành vi (action) với liệu xử lý Một ví dụ rule: SecRule ARGS "" log,deny,status:404 Cấu trúc chuẩn rule ModSecurity bao gồm phần chính: SecRule VARIABLES OPERATOR ACTIONS VARIABLES: xác định vị trí liệu mà ModSecurity tìm kiếm mẫu Trong ví dụ trên, tham số ARGS nhằm định tìm kiếm mẫu tất tham số request OPERATOR: định cách mà ModSecurity tìm kiếm mẫu Các operator dùng theo dạng Regular expression nhằm tạo nên chế phân tích linh động cho rule ACTIONS: định hành động mà ModSecurity thực có mẫu so trùng Trong ví dụ trên, phần action viết log,deny,status:404 có nghĩa là: trùng mẫu gói tin thực ghi log, deny gói tin cách sử dụng mã trạng thái 404 (Not found) QUY TRÌNH XỬ LÝ TRONG ModSecurity Trong ModSecurity phiên phân tích thực qua bước (pha), bước ModSecurity thực thi rule tương ứng nhằm phát phịng chống khai thác Hình 1: Quy trình xử lý ModSecurity (nguồn www.Modsecurity.org) Request Header (1) Đây bước trình thực phân tích gói tin Mục đích bước nhằm cho phép người viết rule tương tác với request trước thực yêu cầu phần HTTP body Phần quan trọng để phân tích khai thác dựa vào HTTP method dựa vào URL SQL Injection, Reflect XSS, Local file include … Request body (2) Bước trình kiểm tra q trình client gởi request đến server, phần có hiệu người dùng cố sử dụng phương thức POST PUT để upload tập tin lên phía server Việc kiểm tra bảo đảm liệu đưa lên server an tồn, tránh tình trạng upload mã độc dạng công Stored XSS, Ajax Injection … Response headers (3) Những request xử lý server trả cho ModSecurity kiểm tra trạng thái phần respone header Trước phần respone body đọc ModSecurity dựa vào tập rule để xác định có cần kiểm tra nội dung liệu phần body hay không Ví dụ: mã trạng thái trả 404 (Not found) lúc khơng cần kiểm tra nội dung gói tin trả Response body (4) Sau ModSecurity hoàn thành việc kiểm tra respone header nội dung phần body kiểm tra so trùng với mẫu tập lệnh Việc hiệu để phát phòng chống xâm nhập trường hợp bước không phát cơng Ví dụ: khai thác SQL injection, hacker cố gắng sử dụng số cơng nghệ evasion việc phát request khó khăn Khi khai thác thành cơng, ModSecurity phân tích kết gói tin trả để phát câu truy vấn thành công Logging (5) Việc ghi log ghi nhận cảnh báo quy trình làm việc ModSecurity KHUYẾN CÁO KHI TRIỂN KHAI THỰC TẾ Nhằm bảo đảm tính tính linh động việc phát bảo vệ theo thời gian thực, ModSecurity cần sử dụng lượng tài nguyên CPU RAM để bảo đảm hoạt động mục đích triển khai Việc sử dụng tài nguyên phụ thuộc nhiều vào phần cấu hình cách triển khai hệ thống khác Dưới dây số điểm cần ý: ModSecurity phân tích cú pháp mà apache thực hiện, hệ thống bạn tăng tiêu thụ tài nguyên CPU để thực tác vụ Việc phân tích linh động số trường hợp cần lượng tài nguyên lớn để phân tích Ví dụ: XML, JSON, AJAX … Việc quản lý liệu upload từ phía client yêu cầu thêm tài nguyên I/O (như HDD), số trường hợp gây tình trạng trùng lặp liệu hệ thống Dữ liệu request resopone lưu trữ đệm RAM để thực tác vụ chặn theo thời gian thực Mỗi rule phần cấu hình sử dụng CPU (cho phần operartor) RAM (dùng để chuyển đổi liệu đầu vào trước qua phiên phân tích) Việc sử dụng Regular expression tốn tài nguyên nhiều Các hoạt động I/O tăng cao cho việc ghi nhật ký trình hoạt động ModSecurity (full transaction loging) Khi triển khai thực tế ModSecurity, bạn cần ý đến điều để xác định tài nguyên cần thiết để ModSecurity hoạt động ổn định Trong trường hợp bạn khơng thể thay đổi tài ngun phần cứng, khuyên bạn nên thường xuyên theo dõi trạng thái hoạt động hệ thống, rút kinh nghiệm nhằm điều chỉnh giảm bớt chức năng, ruleset phù hợp mà đảm bảo an toàn cho việc hoạt động Nếu tổ chức mà bạn quản lý sử dụng số cơng nghệ ảo hóa việc điều chỉnh tài nguyên thuận tiện để ModSecurity hoạt động Một cách khác để triển khai ModSecurity thực dùng reverse proxy, trường hợp tài nguyên cho ModSecurity ổn định so với hệ thống tích hợp (CPU, RAM, I/O hoạt động trạng thái cao) V TỐNG QUAN VỀ TIÊU CHUẨN OWASP TOP TEN OWASP (Open Web Application Security Project) dự án phi lợi nhuận, tập trung vào việc cải thiện tính bảo mật ứng dụng web Thành viên dự án cá nhân, tổ chức, chuyên gia … đóng góp mã nguồn, công cụ hỗ trợ kiểm tra lỗ hổng ứng dụng web Năm 2010, cộng đồng OWASP xuất “Tài liệu hướng dẫn kiểm tra ứng dụng Web” phiên (OWASP Testing Guide v3: https://www.owasp.org/index.php/OWASP_Testing_Project) Tài liệu liệt kê phân nhóm lỗ hổng bảo mật biết đến ứng dụng web Đồng thời nội dung tài liệu mô tả dự án cộng đồng phát triển, bao gồm dự án WAF ModSecurity OWASP phân loại lỗ hổng thành 10 phân nhóm chính: A1-Injection A2-Cross Site Scripting (XSS) A3-Broken Authentication and Session Management A4-Insecure Direct Object References A5-Cross Site Request Forgery (CSRF) A6-Security Misconfiguration A7-Insecure Cryptographic Storage Nhóm bao gồm lỗ hổng SQL injection, OS command injection, LDAP injection…các lỗ hổng phân nhóm cho phép hacker truy cập chèn liệu giả vào hệ thống thông qua câu truy vấn liệu XSS xuất ứng dụng web cho phép người dùng nhập liệu vào mà không thông qua kiểm duyệt nội dung, liệu tương tác trực tiếp với người dùng khác sử dụng website Nguy tạo hacker chèn mã kịch HTML, Javascript… nhằm ăn cắp SessionCookie, thay đổi giao diện (deface) chuyển hướng đến trang có mã độc khác Phân nhóm liệt kê nguy chức xác thực quản lý phiên (session management) ứng dụng web Thông thường chức không triển khai tốt, cho phép hacker vượt qua chế kiểm duyệt người dùng Nguy nhóm A4 thường gặp trường hợp lập trình viên sử dụng tham chiếu đến tập tin, thư mục truy vấn database mã nguồn Nếu tham chiếu không quản lý chặt chẽ, việc truy cập liệu trái phép từ bên nguy hiểm Một công CSRF yêu cầu người dùng đăng nhập Tiếp theo, hacker chèn mã kịch dựng sẵn vào nội dung trang web nhằm thực thi hành động bất hợp pháp với quyền người dùng đăng nhập Các yêu cầu bảo mật ứng dụng web bao gồm việc cấu hình triển khai hệ thống, ứng dụng webserver (Apache, Nginx, Tenginx…), sở liệu (MySQL, Oracle…), hệ điều hành (Linux, Windows…) Tất công việc thiết lập môi trường cho ứng dụng web hoạt động cần lên kế hoạch theo dõi, kiểm tra, cập nhật thường xuyên nhằm giảm thiểu nguy hệ thống bị khai thác Rất nhiều ứng dụng web không quan tâm đến việc bảo vệ liệu nhạy cảm thông tin thẻ tín dụng, SSN thơng tin xác thực Việc hacker thu thập liệu nhạy cảm không mã hóa 10 SM-002 SM-003 SM-004 SM-005 Testing for Cookies attributes Cookies are set not ‘HTTP Only’, ‘Secure’, and no time validity Testing for Session Fixation Session Fixation Cookies are set not ‘HTTP Onl y’, ‘Secure’, and no tim e validity Testing for Exposed Session Variables Exposed sensitive session variables Testing for CSRF - CSRF Expose d sensitive session va riables Session Fixation ";secure", HTTPOnly - Always set, "; domain=app.mysite.com", "; path=/myapp/", expires-Future Value => inspect for sensitive data The application doesn’t renew the cookie after auth -Session hijacking Webscarab Encryption & Reuse of Session Tokens vulnerabilities, Proxies & Caching vulnerabilities,TGET & POST vulnerabilities, Transport vulne rabilities CSRF URL Analysis and auth requirements 73 Webscarab,Bur pProxy,Paros, TamperIE/Data Authoriz ation Testing AZ-001 AZ-002 AZ-003 Testing for Path Tr Path Traversal aversal - Path Traversal Testing for bypassing authorization schema Bypassing authorization schema Testing for Privilege Escalation Privilege Escalation Proper Implementatio n of ACLs, Check server side includes Bypassi ng authori zation schema a) Input vector enumeration b) Testing Techniques dot-dot-slash attack ( /), directory traversal,directory climbing, or backtracking Access a resource without authentication/after logout, Forceful Browsing Privileg vertical escal Testing for role/privilege manipulati e Escalatio ation when it is o - Manipulate the values of hidden n possible to acce variables , analyse the error messages ss resources gr etc anted to more privileged acco unts (e.g., acquiring admi nistrative privil eges for the ap plication), and to horizontal es calation when i t is possible to access resource s 74 Grep, Nikto, Burp Suite, Paros, Webscarab Proxy Tools granted to a si milarly configu red account (e g., in an online banking applic ation, accessing information rel ated to a differ ent user) Business logic testing BL-001 Testing for Business Logic Bypassable business logic Bypassa Bypass the ble busine actual ss logic workflow required to complete a process *Understanding the application Automated *Creating raw data for designing logical tools fails tests (Workflows, ACLs) *Designing the logical tests *Standard prerequisites *Execution of logical tests Data Validation Testing DV-001 Testing for Reflected Cross Site Scripting Reflected XSS Reflecte d XSS Detect input vectors Analyze each input vector to detect p otential vulnerabilities Replace the vector used to identify XSS with the vector which can exploit the vulnerability Check for input validation, try out different combinations of XSS vectors 75 CAL9000, Rsnake XSSdb, XSSMe firefox addon, XSS proxy, WebScarab, Rat proxy, Burp Proxy DV-002 Testing for Stored Cross Site Scripting - Stored XSS DV-003 Testing for DOM based Cross Site Scripting DOM XSS Stored XSS DOM XS S Impacts *Hijacking anot her user's brow ser *Capturing sen sitive informati on viewed by a pplication user s *Pseudo deface ment of the app lication *Port scanning of internal host s ("internal" in relation to the users of the we b application) *Directed deliv ery of browser‐ based exploits *Other malicio us activities This happens mostly due to poor javascript coding 76 1.Input Forms 2.Analyze HTML code 3.Leverage Stored XSS with BeEF 4.File Upload CAL9000, Hackvertor, XSSProxy, BeEF, WebScarab Test for the user inputs obtained from client‐side JavaScr ipt objects Automated tools fails DV-004 DV-005 Testing for Cross Site Flashing Cross Site Flashing SQL Injection SQL Injection Cross Si Working for te Flashing actionscript 2.0 files 1.Decompile 2.Undefined Variables 3.Unsafe methods 4.Include malicious SWF SWFIntruder, Flare, Flasm SQL Inje 1.Inband ction (retrieved data in the webpage) 2.Out-of-band (data sent through email or other means) 3.Inferential (Analyse the behaviour of Dbserver) LDAP In jection Test Categories 1.Authentication Forms, 2.Search Engine, 3.E-Commerce sites OWASP SQLiX SQL Power Injector sqlbftools sqlmap SqlDumper sqlninja DV-006 LDAP Injection LDAP Injection DV-007 ORM ORM Inj Object Injection ection Relational ORM Injection Mapping tool ORM tools include 77 Tests 1.Heuristic Analysis(' , : , ) 2.Construct SQL Injection Vectors 3.Analyse Error Messages Ability to • Access unauthorized content • Evade Application restrictions • Gather unauthorized information • Add or modify Objects inside LDAP tree structure Black box testing for ORM Injection vulnerabilities is identical to SQL Injection testing Softerra LDAP Browser Hibernate for Java, NHibernate for NET, ActiveRecord for Ruby on Rails, EZPDO for PHP and many others DV-008 DV-009 DV-010 XML Injection XML Injection SSI Injection - SSI Injection XML Inj ection Check with XML Meta Characters ', " , , , &, , SSI Inje ction * Presense of shtml extension * Check for these characters < ! # = / " - > and [a-zA-Z0-9] * include String = XPath Injection XPath Injection XPath I njection Unlike SQL, there are not ACLs enforced, as our query can access every part of the XML document 78 * Check for XML error enumeration by supplying a single quote (') * Username: ' or '1' = '1 Password: ' or '1' = '1 Burp Suit, WebScarab, Paros DV-011 IMAP/SMT P Injection IMAP/SMTP Injection IMAP/S MTP Inject ion • Exploitation of vulnerabilities in the IMAP/SMTP protocol • Application restrictions evasion • Anti-automation process evasion • Information leaks • Relay/SPAM The standard attack patterns are: • Identifying vulnerable parameters • Understanding the data flow and deployment structure of the client • IMAP/SMTP command injection DV-012 DV-013 DV-014 Code Code Inj Injection ection Code Injection OS OS Com Commanding manding - OS Commanding Buffer Buffer o • Testing for overflow verflow heap overflow Buffer vulnerability overflow • Testing for stack overflow vulnerability • Testing for format string vulnerability 79 Enter commands in the input field Understand the application platform, OS, folder structure, relative path and execute those Webscarab OllyDbg, Spike, Brute Force Binary Tester (BFB), Metasploit RATS, Flawfinder and ITS4 are available for analyzing C-style languages DV-015 DV-016 Denial of Service Testing DS-001 Incubated vulnerability Incubated vulnerability Testing for HTTP Splitting/Smu ggling - HTTP Splitting, Smuggling Incubat ed vulnera bility Testing for SQL Wildcard Attacks - SQL Wildcard vulnerability SQL Wil • Starting dcard with % and vulnerabili ending with % ty will generally cause longer running queries • Some search implementatio ns may cache search results During the testing, every search query should be slightly different to avoid this HTTP S plitting, S muggling File Upload, Stored XSS , SQL/XPATH Injection, Manage server files via server misconfigs Outcome Cache Poisoning/XSS 80 param=foobar%0d%0aContentLength:%200%0d%0a%0d %0aHTTP/1.1%20200%20OK%0d %0aContentType:%20text/html%0d %0aContent-Length:%2035%0d %0a%0d%0aSorry, %20System%20Down • '%_[^!_%/%a?F%_D)_(F%)_%([)({} %){()}£$&N%_)$*£()$*R"_)][%](%[x]) %a][$*"£$-9]_%' • '%64_[^!_%65/%aa?F%64_D)_(F %64)_%36([)({}%33){()}£$&N%55_) $*£()$*R"_)][%55](%66[x])%ba ][$*"£$-9]_%54' bypasses modsecurity • _[r/a)_ _(r/b)_ _(r-d)_ • %n[^n]y[^j]l[^k]d[^l]h[^z]t[^k]b[^q]t[ ^q][^n]!% • %_[aaaaaaaaaaaaaaaaaaaaaaaaaaaa aaaaaaaaaaaaa[! -z]@$!_% XSS-proxy, Paros, Burp, Metasploit DS-002 DS-003 DS-004 Locking Customer Accounts Locking Customer Accounts Testing for DoS Buffer Overflows Buffer Overflows User Specified Object Allocation User Specified Object Allocation Locking Customer Accounts Wrong Attempts Valid Username enumeration - Login Page, New User Reg Page, Password Reset Page Buffer O if you have verflows received a response (or a lack of) that makes you believe that the overflow has occurred, attempt to make another request to the server and see if it still responds User Sp ecified Obj ect Allocat ion Submit large inputs and check how the server responds 81 If the application does not pose an upper limit to the number of items that can be in any given moment inside the user electronic cart, you can write an automated script that keeps adding items to the user cart until the cart object fills the server memory ... ỨNG DỤNG WEB .64 DANH MỤC THAM KHẢO KHAI THÁC LỖ HỔNG BẢO MẬT ỨNG DỤNG WEB 67 XIII TÀI LIỆU THAM KHẢO .91 I PHIẾU GIAO ĐỀTÀI Tên đề án: Nghiên cứu ứng dụng Mod Security để bảo vệ web. .. uploads: /opt/modsecurity/var/upload Location /opt/modsecurity /opt/modsecurity/bin /opt/modsecurity/etc /opt/modsecurity/var / opt/modsecurity/var/audit / opt/modsecurity/var/data /opt/modsecurity/var/log... trực tiếp mức độ ứng dụng Đồ án nhằm nghiên cứu ứng dụng ModSecurity để bảo vệ hệ thống web II II Yêu cầu sinh viên thực  Sinh viên có kiến thức Linux, web  Sinh viên có kiến thức security, html,