Đồ án tốt nghiệp Nghiên cứu bảo đảm an toàn thông tin bằng kiểm soát “ Lỗ hổng “ trong dịch vụ Web

Đồ án tốt nghiệp Nghiên cứu bảo đảm an toàn thơng tin kiểm sốt “ Lỗ hổng “ dịch vụ Web BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC DÂN LẬP HẢI PHÒNG -oo0oo - NGHIÊN CỨU BẢO ĐẢM AN TỒN THƠNG TIN BẰNG KIẾM SOÁT “LỖ HỔNG” TRONG DỊCH VỤ WEB ĐỒ ÁN TỐT NGHIỆP ĐẠI HỌC HỆ CHÍNH QUY Nghành: Cơng Nghệ Thơng Tin HẢI PHỊNG-2007 MỤC LỤC Bảng giải từ viết tắt……………………………………………………… Lời mở đầu…………………………………………………………………… Chương 1: KHÁI NIỆM CƠ SỞ…………………………………………… 1.1 KHÁI NIỆM VỀ BẢO VỆ WEB …………………………………… 1.2 ỨNG DỤNG WEB…………………………………………………….12 1.2.1 Khái niệm ứng dụng web………………………………………… …12 1.2.2 Hoạt động ứng dụng web………………………………………….13 1.3 MỘT SỐ CÔNG CỤ BẢO VỆ WEB.……………………………… 15 Tường lửa…………………………………………………………… 15 Mạng riêng ảo ……………………………………………………….17 Chương 2: CÁC KỸ THUẬT TẤN CÔNG LỢI DỤNG LỖ HỔNG……… 18 2.1 CHÈN THAM SỐ…………………………………………………… 18 2.1.1 Chỉnh sửa HTTP Header………………………………………………18 2.1.2 Chỉnh sửa địa URL……………………………………………… 21 2.1.3 Chỉnh sửa trường ẩn Form…………………………………………… 22 2.1.4 Thao tác cookie……………………………………………… …24 2.2 CHÈN Mà LỆNH TRÊN TRÌNH DUYỆT …………….…………….27 2.2.1 Phương pháp cơng XSS……………………………………………27 2.2.2 Biện pháp phịng tránh…………………………………………… …31 2.3 CHÈN CÂU LỆNH TRUY VẤN ………………………………… 32 2.3.1 Tấn công vượt qua kiểm tra đăng nhập…………………………… 32 2.3.2 Tấn công dựa vào câu lệnh SELECT……………………………… 34 2.3.3 Tấn công dựa vào câu lệnh INSERT………………………………… 36 2.3.4 Tấn công dựa vào Store-Procedure………………………………… 37 2.3.5 Biện pháp phòng tránh………………………………………… ……38 2.4 2.4.1 2.4.2 2.4.3 TẤN CÔNG DỰA VÀO “KIỂU QUẢN LÝ PHIÊN LÀM VIỆC… 40 Tấn công kiểu “ấn định phiên làm việc”…………………………… 41 Tấn công kiểu “đánh cắp phiên làm việc”…………………………….45 Biện pháp phịng tránh……………………………………………… 46 2.5 TẤN CƠNG “TỪ CHỐI DỊCH VỤ”………………………………….47 2.5.1 Khái niệm DoS……………………………………………………… 47 a/ Lợi dụng TCP thưc Synflood………………………………….49 b/ Tấn công vào băng thơng………………………………………… 50 c/ DdoS……………………………………………………………… 52 2.5.2 Biện pháp phịng tránh…………………………………………………53 2.6 NGƠN NGỮ PHÍA TRÌNH CHỦ…………………………………… 54 2.7 TẤN CÔNG “TRÀN BỘ ĐỆM”………………………………………56 Chương 3: TỔNG KẾT KỸ THUẬT TẤN CÔNG CỦA HACKER……… 58 3.1 THU THẬP THÔNG TIN Ở MỨC HẠ TẦNG CỦA MỤC TIÊU… 58 3.2 KHẢO SÁT ỨNG DỤNG WEB………………………………………61 Ví dụ thử nghiệm…………………………………………………………… 63 Bảng giải từ viết tắt DNS ACK CSDL SYN TTL FIN HTTP SSL HTTPS Hacker CGI IP TCP SSI URI URL CSV dbo Sa IIS OWASP HTML IIS Domain Name System Acknowlegment Synchronize Time TO Live Fully Intergrated Netword Hyper Text Transfer protocol Secure Socket Layer HTTP + SSL Common Gateway Interface Internet Protocol Transfer Control Protocol Server Side Include Uniform Resour Identifies Uniform Resour Locator Client Side Validator Data base owner System Administrator Internet Information Server The open web Appllication standard project Hyper Text Markup Language Internet Infomation Server Hệ thống tên miền Xác nhận Cơ sở liệu Đồng Thời gian tồn Mạng tích hợp đầy đủ Giao thức truyền siêu văn Khe cắm an tồn Tin tặc Giao diện cổng thơng thường Giao thức mạng Giao thức điều khiển truyền thông Ngôn ngữ phía trình chủ Con trỏ đến tài ngun web Định vị tài ngun web Kiểm tra ngơn ngữ phía trình duyệt Người sở hữu sở liệu Người quản trị hệ thống Dịch vụ thông tin mạng Dự án ứng dụng web Ngôn ngữ đánh dấu siêu văn LỜI MỞ ĐẦU Ngày nay, Internet phổ biến rộng rãi, tổ chức, cá nhân có nhu cầu giới thiệu thơng tin xa lộ thông tin thực phiên giao dịch trực tuyến Vấn đề nảy sinh phạm vi ứng dụng ứng dụng Web ngày mở rộng khả xuất lỗi (lỗ hổng) bị công cao, trở thành đối tượng cho nhiều người cơng với mục đích khác Đôi khi, đơn giản để thử tài đùa bỡn với người khác Cùng với phát triển không ngừng Internet dịch vụ đó, số lượng vụ cơng Internet tăng theo cấp số nhân Trong phương tiện thông tin đại chúng ngày nhắc nhiều đến khả truy nhập thơng tin Internet, tài liệu chuyên môn bắt đầu đề cập nhiều đến vấn đề bảo đảm an toàn liệu cho máy tính kết nối vào mạng Internet Theo số liệu CERT (Computer Emegency Response Team "Đội cấp cứu máy tính"): “số lượng vụ cơng Internet thơng báo cho tổ chức 200 vào năm 1989, khoảng 400 vào năm 1991, 1400 vào năm 1993, 2241 vào năm 1994, năm 2001 5315 vụ.” Nguyên nhân chủ yếu làm cho vụ cơng tăng nhanh có nhiều “lỗ hổng” tìm thấy ứng dụng web Theo thống kê Symantec “năm 2004 có 49% số lượng lỗ hổng tìm thấy ứng dụng web Từ tháng đến tháng 11 năm 2006, xác định lỗ hổng bảo mật nằm ứng dụng web chiếm tới 75%, tăng 15% so với đầu năm” Những vụ công nhằm vào tất máy tính có mặt Internet, máy tính công ty lớn AT&T, IBM, trường đại học, quan nhà nước, tổ chức quân sự, nhà băng Một số vụ công có quy mơ khổng lồ (có tới 100.000 máy tính bị công) Hơn nữa, số phần tảng băng Một phần lớn vụ cơng khơng thơng báo, nhiều lý như: nỗi lo bị uy tín, đơn giản người quản trị hệ thống không hay biết công nhằm vào hệ thống họ (Một ví dụ điển hình công vào phần mềm thương mại IBM tháng 3/2001, hai hacker tìm thấy lỗ hổng ứng dụng mà với trình duyệt Web lấy tài khoản người dùng, chí người quản trị) Không số lượng cơng tăng lên nhanh chóng, mà phương pháp cơng ngày tinh vi có tổ chức Mặt khác, việc quản trị hệ thống mạng đòi hỏi nhà quản trị hệ thống có kiến thức kinh nghiệm hệ thống mạng chắn, yếu quản lý tạo nhiều điều kiện cho hacker khai thác Cũng theo CERT, cơng thời kỳ 1988-1989 chủ yếu đốn “tên người sử dụng/mật khẩu” (UserID/password) sử dụng lỗi chương trình hệ điều hành (security hole) làm vô hiệu hệ thống bảo vệ, nhiên cơng vào thời gian gần cịn bao gồm thao tác giả mạo địa IP, theo dõi thông tin truyền qua mạng, chiếm phiên làm việc từ xa (telnet rlogin), cài trojan hay worm để kiểm sốt hay điều khiển máy tính…vì thế, nhu cầu bảo vệ thông tin Internet cần thiết nhằm mục đích bảo vệ liệu, bảo vệ thông tin người dùng bảo vệ hệ thống Khi nói đến vấn đề bảo mật, hầu hết chuyên gia bảo mật trọng đến an toàn hệ thống mạng hệ điều hành Để bảo vệ hệ thống, phương pháp thường chọn sử dụng firewall Tuy nhiên, theo tuyên bố CSI/FBI : 78% nơi bị hại có sử dụng firewall 59% bị cơng thơng qua Internet, cụ thể theo báo cáo CSI/FBI Computer Crime Security Survey tổng số thiệt hại ứng dụng Web bị công từ năm 1997 đến năm 2006 800 triệu đôla Mỹ Với cơng cụ tự động tìm lỗ hổng giúp nhiều cho nhà lập trình Web khơng thể ngăn chặn tồn cơng nghệ Web phát triển nhanh chóng (chủ yếu trọng đến yếu tố thẩm mĩ, yếu tố tốc độ…) nên dẫn đến nhiều khuyết điểm phát sinh Sự công không nằm khuôn khổ vài kĩ thuật phát hiện, mà linh động tăng lên tùy vào sai sót nhà quản trị hệ thống người lập trình ứng dụng Chương 1: KHÁI NIỆM CƠ SỞ 1.1 KHÁI NIỆM VỀ BẢO VỆ WEB Bảo vệ web khơng cịn khái niệm xa lạ người lập trình web, nhà quản trị mạng,… Mục tiêu bảo vệ web gồm có: Bảo mật: Thơng tin khơng đọc trái phép Bảo tồn: Thông tin không bị sửa đổi cách trái phép Bảo đảm tính sẵn sàng: Người dùng hợp pháp có quyền truy cập hay sử dụng thông tin Hai đối tượng sử dụng dịch vụ web người dùng người quản trị hệ thống Phía người dùng dịch vụ web, an toàn mạng trước hết yêu cầu đặt với server Thứ nhất, yêu cầu gửi đến server phải thưc thi phản hồi thời gian định (tính sẵn sàng) Thứ hai, thông tin gửi tới phải đảm bảo không bị virut hay bị sửa đổi tác nhân khác (tính tồn vẹn) Thứ ba, server khơng phổ biến thơng tin cá nhân mạng (tính bí mật) Phía nhà quản trị hệ thống, họ có yêu cầu giống với người dùng nhìn góc độ khác Thứ nhất, họ phải đảm bảo người dùng xâm nhập vào server để thay đổi nội dung website (tính tồn vẹn) Thứ hai, người dùng truy cập vào thông tin không thuộc quyền họ (tính bí mật bắt buộc) Thứ ba, người dùng công server làm khơng thể phục vụ người dùng khác (tính sẵn sàng) Thứ tư, người dùng nhận dạng phải chịu trách nhiệm chối bỏ hành động (tính xác thực) ™ Đối tượng cơng mạng (Intruder): cá nhân tổ chức sử dụng công cụ phá hoại phần mềm phần cứng để dị tìm điểm yếu, lỗ hổng bảo mật hệ thống, thực hoạt động xâm nhập chiếm đoạt tài nguyên mạng trái phép Một số đối tượng công mạng: Tin tặc (Hacker): kẻ xâm nhập mạng trái phép cách sử dụng công cụ phá mật khai thác điểm yếu thành phần truy nhập hệ thống Kẻ giả mạo (Masquerader): kẻ giả mạo thông tin mạng Một số hình thức giả mạo giả mạo địa IP, tên miền, định danh người dùng… Kẻ nghe trộm (Evesdropping): đối tượng nghe trộm thông tin mạng sử dụng công cụ sniffer, sau dùng cơng cụ phân tích debug để lấy thơng tin có giá trị Mục đích: ăn cắp thơng tin có giá trị kinh tế, phá hoại hệ thống mạng có chủ định vó thể hành động vơ ý thức nhằm thử nghiệm chương trình khơng kiểm tra cẩn thận,… ™ Lỗ hổng bảo mật: yếu hệ thống ẩn chứa dịch vụ đó, mà dựa vào kẻ cơng xâm nhập trái phép để thực hành động phá hoại chiếm đoạt tài nguyên bất hợp pháp Nguyên nhân gây lỗ hổng bảo mật khác nhau: lỗi thân hệ thống, phần mềm cung cấp, người quản trị yếu không hiểu sâu sắc dịch vụ cung cấp,… Mức độ ảnh hưởng lỗ hổng khác nhau: có lỗ hổng ảnh hưởng tới chất lượng dịch vụ, có lỗ hổng ảnh hưởng sâu sắc tới tồn hệ thống,… ™ Một số hình thức công mạng ... LẬP HẢI PHÒNG -oo0oo - NGHIÊN CỨU BẢO ĐẢM AN TỒN THƠNG TIN BẰNG KIẾM SỐT “LỖ HỔNG” TRONG DỊCH VỤ WEB ĐỒ ÁN TỐT NGHIỆP ĐẠI HỌC HỆ CHÍNH QUY Nghành: Cơng Nghệ Thơng Tin HẢI PHÒNG-2007 MỤC LỤC... 5315 vụ. ” Nguyên nhân chủ yếu làm cho vụ cơng tăng nhanh có nhiều ? ?lỗ hổng? ?? tìm thấy ứng dụng web Theo thống kê Symantec “năm 2004 có 49% số lượng lỗ hổng tìm thấy ứng dụng web Từ tháng đến tháng... dụng web phân tích- thiết kế- lập trình- kiểm thử Ở bước này, vấn đề bảo mật thông thường quan tâm giai đoạn cuối Ở giai đoạn phát lỗ hổng bảo mật vá lỗi khơng giải triệt để lỗi + Lỗi nằm dịch vụ