Phát triển giải pháp và công cụ đảm bảo an ninh cho các dịch vụ trực tuyến

Nhan đề : Phát triển giải pháp và công cụ đảm bảo an ninh cho các dịch vụ trực tuyến Tác giả : Đinh Thái Sơn Người hướng dẫn: Nguyễn Khanh Văn Từ khoá : An ninh mạng Năm xuất bản : 2013 Nhà xuất bản : Trường Đại học Bách khoa Hà Nội Tóm tắt : Trình bày tổng quan về an ninh trực tuyến. Phương pháp phát hiện và ngăn chặn crosssite scripting. Phương pháp phát hiện và phòng tránh XSS Worm.

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI - Đinh Thái Sơn Trang phụ bìa PHÁT TRIỂN GIẢI PHÁP VÀ CÔNG CỤ ĐẢM BẢO AN NINH CHO CÁC DỊCH VỤ TRỰC TUYẾN Chuyên ngành : Công nghệ thơng tin LUẬN VĂN THẠC SĨ KĨ THUẬT CƠNG NGHỆ THÔNG TIN NGƯỜI HƯỚNG DẪN KHOA HỌC: TS Nguyễn Khanh Văn Hà Nội – Năm 2013 LỜI CAM ĐOAN Tôi xin cam đoan: Luận văn thạc sĩ Công nghệ thông tin “Phát triển giải pháp công cụ đảm bảo an ninh cho dịch vụ trực tuyến” cơng trình nghiên cứu thực cá nhân, thực sở nghiên cứu lý thuyết hướng dẫn khoa học Tiến sĩ: Nguyễn Khanh Văn Tôi xin chịu trách nhiệm lời cam đoan Hà Nội, ngày 01 tháng 03 năm 2013 Tác giả Đinh Thái Sơn LỜI CẢM ƠN Để hồn thành chương trình cao học viết luận văn này, xin chân thành cảm ơn đến q thầy Viện Cơng nghệ thơng tin Truyền Thông, trường Đại học Bách Khoa Hà Nội tận tình dạy bảo tơi thời gian học Tơi xin gửi lời biết ơn sâu sắc đến Tiến Sĩ Nguyễn Khanh Văn dành nhiều thời gian nhiệt huyết để hướng dẫn tơi hồn thành luận văn Nhân đây, xin cảm ơn Ban giám hiệu trường Đại học Hùng Vương thầy cô khoa Tốn cơng nghệ tạo điều kiện cho lớp cao học Công nghệ thông tin 2010B Hùng Vương học tập thuận lợi Mặc dù tơi cố gắng hồn thiện luận văn, nhiên chắn cịn nhiều thiếu sót, mong góp ý q báu q thầy bạn Hà Nội, ngày 01 tháng 03 năm 2013 Tác giả Đinh Thái Sơn MỤC LỤC Trang phụ bìa MỤC LỤC DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT DANH MỤC CÁC HÌNH VẼ PHẦN MỞ ĐẦU Lý chọn đề tài Mục đích nghiên cứu luận văn, đối tượng, phạm vi nghiên cứu 10 Cấu trúc luận văn 10 Chương 11 TỔNG QUAN VỀ AN NINH TRỰC TUYẾN 11 1.1 An ninh trực tuyến 11 1.2 Thống kê an ninh 11 1.3 Đánh giá 13 Chương 14 PHƯƠNG PHÁP PHÁT HIỆN VÀ NGĂN CHẶN CROSS-SITE SCRIPTING 14 2.1 Tìm hiểu Cross-site scripting 14 2.2 Các mối đe dọa từ Cross-site Scripting : 14 2.3 Phân loại Cross-site Scripting 16 2.4 Các cách ngăn chặn XSS: 20 2.4.1 Ngăn chặn XSS giai đoạn phát triển web 21 2.4.2 Ngăn chặn XSS phần mềm 22 2.4.3 Ngăn chặn XSS việc phân tích việc truyền liệu 23 2.4.4 Ngăn chặn XSS việc theo dõi liệu nhạy cảm 25 2.4.5 Mã hóa an tồn (Secure Coding) 25 2.4.6 Tường lửa ứng dụng Web (Web Application Firewalls - WAF): 26 2.4.7 Phương pháp phịng chống phía máy khách (client-side) 28 2.5 Các cách phát lỗi bảo mật chung 29 2.5.1 Phương pháp công 29 2.5.2 Penetration Testing thủ công 30 2.5.3 Phân tích mã 32 2.5.4 Máy quét lỗ hổng Web tự động 33 2.6 Mơ hình hoạt động WVS 35 2.6.1 Sự thực thi nội tuyến (inline) iStar 37 2.6.2 Thực thi hoàn chỉnh iStar 38 2.6.3 Hạn chế máy quét lỗ hổng Web 40 2.6.4 Một máy ghi trình tự điển hình 42 2.6.5 Phát lỗ hổng bảo mật lớp mạng 43 2.6.6 Sự phát tự động lỗ hổng bảo mật XSS loại (thế hệ thứ 2) 43 Chương 46 PHƯƠNG PHÁP PHÁT HIỆN VÀ PHÒNG TRÁNH XSS WORM 46 3.1 Khái niệm XSS Worm 46 3.2 Phương pháp lan truyền sâu 46 3.3 Phương pháp phát XSS worm 48 3.4 Chương trình XSS Detection : 54 3.5 Đánh giá chương trình 59 KẾT LUẬN 61 TÀI LIỆU THAM KHẢO 63 DANH MỤC CÁC THUẬT NGỮ, TỪ VIẾT TẮT STT Thuật ngữ Diễn giải XSS Cross- Site Scripting CERT Computer Emergency Response Team OWASP Open Web Application Security Project DOM Document Object Model PHP Hypertext Preprocessor ASP Active Server Page CGI Common Gateway Interface HTML Hypertext Markup Language HTTP Hypertext Transfer Protocol 10 URL Uniform Resource Locator 11 WVS Web Vulnerability Scanner 12 IDS Intrusion detection system 13 CAPTCHA Completely Automated PublicTuring test to tell Computers and Humans Apart 14 CSRF Cross-site Request Forgery 15 IDE Integrated Development Environement 16 API Application Programming Interface DANH MỤC CÁC HÌNH VẼ STT Danh mục hình Trang 1.1 Thống kê 10 lỗi website thường gặp phải 12 1.2 Thống kê thời gian vá lỗi 12 1.3 Mức độ nghiêm trọng lỗ hổng bảo mật gây 13 2.1 Thống kê lỗ hổng thường bị cơng năm 2009 15 2.2 Ví dụ tin nhắn, công Stored XSS để lấy cắp cookie 17 2.3 Các bước cơng Stored XSS 18 2.4 Ví dụ công “ Reflected XSS” 19 2.5 Các bước công Reflected XSS 19 2.6 Đoạn hex sử dụng lỗi XSS 21 2.7 Ví dụ lọc 27 2.8 Một dạng công XSS dựa vào mơ hình Black-box 33 2.9 2.10 2.11 Kỹ thuật White-box thực trình xử lý liệu Một kiến trúc Web Vulnerability Scanner chuẩn 33 34 36 Một workflow-base WVS 2.12 Thực kiểu nội tuyến 37 2.13 Thực thi Inline Istar 38 2.14 Thực thi complete iStar 39 2.15 Các mẫu tiêm độc hại 44 3.1 3.2 3.3 Đoạn mã XSS Worm viết Javascript Mơ hình kiến trúc kiểm sốt gói tin từ phía trình duyệt chống lại phát tán XSS worm Sự tương đồng mã nguồn gốc mã nguồn mã hóa 48 49 53 3.4 Mơ hình hoạt động XSS Detection 55 3.5 Một đoạn mã hàm list_url 55 3.6 Mô tả thuộc tính thẻ HTML 56 3.7 Một đoạn chương trình hàm Handle_starttag 57 3.8 Một đoạn chương trình mơ tả hàm scan_web 57 3.9 Chương trình scan với trang xss.progphp.com 59 3.10 Kết tìm kiếm lỗi dựa vào payload cho trước 59 3.11 Đánh giá xem website có khả dính lỗi XSS hay không 59 PHẦN MỞ ĐẦU Lý chọn đề tài Sự phát triển nhanh chóng Internet đem lại cho người dùng nhiều dịch vụ hữu ích đặc biệt dịch vụ tốn giải trí trực tuyến Tuy nhiên hầu hết ứng dụng tiềm ẩn nguy chứa lỗi bảo mật mà tin tặc khai thác công Cross-Site Scripting lỗi mà kẻ cơng khai thác để cơng vào nhiều dịch vụ Web Kể từ trình duyệt Web hỗ trợ việc thực script, kịch nhúng nội dung, kẻ cơng sử dụng lỗi bảo mật để truy nhập thông tin người dùng cách bất hợp pháp Việc phát mã script độc hại cần thiết người sử dụng dịch vụ việc phát thực cách sử dụng cơng cụ có sẵn cơng ty bảo mật uy tín cung cấp.Tuy nhiên Việt Nam việc phòng chống tác hại lỗi XSS gây chưa nghiên cứu cụ thể chi tiết.Vì hướng dẫn TS Nguyễn Khanh Văn, em chọn đề tài “Phát triển giải pháp công cụ đảm bảo an ninh cho dịch vụ trực tuyến” nhằm mô tả tổng quan dịch vụ trực tuyến sâu tìm hiểu cách thức công tác hại cách công Cross- Site Scripting gây ra, khả giải nhằm giảm bớt nguy hiểm công cách thức mang lại Đồng thời luận văn này, tác giả nghiên cứu XSS worm, nghiên cứu phương pháp lan truyền đưa mô hình ngăn chặn sử dụng thuật tốn tri-grams, tác giả phát triển công cụ xây dựng ngôn ngữ python, tác giả đặt tên XSS Detection.Công cụ nhằm phát số lỗi XSS thường gặp website, đánh giá dựa hai yếu tố: hiệu suất độ xác Kết so sánh với chương trình Web Vulnerability Scanner hãng Acunetix Kết cho thấy tính xác cơng cụ XSS Detection chấp nhận được, đủ để đáp ứng cho an toàn người dùng mà không cần so sánh với cơng cụ khác Mục đích nghiên cứu luận văn, đối tượng, phạm vi nghiên cứu -Theo đánh giá tác giả, đề tài không giới Việt Nam đề tài tương đối khó với nhiều vấn đề kỹ thuật Trong phạm vi điều kiện khả nghiên cứu, mục đích, đối tượng phạm vi nghiên cứu xác định sau: - Nghiên cứu tổng quan chung an ninh dịch vụ trực tuyến - Nghiên cứu Cross Site Scripting: • Tổng quan Cross Site Scripting • Các cách thức cơng Cross Site Scripting • Phương pháp ngăn chặn phịng tránh - Nghiên cứu XSS Worm - Thuật toán ngăn chặn lây lan XSS Worm - Phát triển công cụ gọi XSS Detection nhằm kiểm tra phát lỗi XSS website so sánh với công cụ WVS (Web Vulnerability Scanner ) Cấu trúc luận văn Phần nội dung luận văn chia thành chương, đó: Chương - Tổng quan an ninh trực tuyến : Thống kê đánh giá mức độ rủi ro số lỗi bảo mật hay bị mắc phải Chương - Phương pháp phát ngăn chặn Cross Site Scripting: Nghiên cứu Cross site Scripting, phân loại Cross site Scripting, cách thức phát ngăn chặn lỗi XSS Chương - Phương pháp phát phòng tránh XSS worm: Chương giới thiệu phương pháp phát từ phía người xây dựng ứng dụng từ phía người người dùng Mơ tả thuật toán ngăn chặn XSS worm, đồng thời xây dựng ứng dụng tác giả đặt tên XSS Detection nhằm quét phát lỗ hổng XSS 10 Kẻ cơng lưu trữ XSS worm máy chủ từ xa thực lây lan liên kết URI thay plain-text( văn bản), ta bóc liên kết URI từ HTTP request việc sử dụng biểu thức quy Javascript Sau gửi yêu cầu URI đến server từ xa để lấy nội dung file - DOM Script file trang web Để liệt kê khu vực mà script tồn tại, nghiên cứu mã nguồn vài XSS worm XSS Sheet Cheat ( http://ha.ckers.org/xss.html) số tài liệu khác.Chúng phân loại số khu vực nơi mà script tồn sau : - Script elements: Một script định nghĩa thẻ script DOM tree - Event handlers: Tổ chức W3C quy định 18 event handlers nội tại.Ngồi cịn có số event handlers đặc biệt trình duyệt tự định nghĩa - HTML attributes: Kẻ cơng khai thác thuộc tính chuẩn DOM element để tự động tải file trang web - Các script đặc biệt thuộc tính hay thẻ đặc biệt trình duyệt : Một vài trình duyệt cho phép thực script thẻ đặc biệt - Javascript : URIs Giao thức Javascript cho phép thực thi script thông qua URI Dựa vào việc phân loại khu vực mà script tồn tại, trích xuất script có DOM tree lấy tệp tin lưu trữ bên mà phần tử DOM tree liên kết tới Gọi tập script D Nếu XSS worm tồn tại, payload nhúng khu vực script kích hoạt - Bộ giải mã tự động Payload XSS worm mã hóa nhằm tránh bị phát hiện.Chính trước thực việc phân tích cần có giải mã, nhằm đưa payload nguyên gốc.Chúng ta giải mã tất giá trị tham số trích xuất từ file JavaScript bên ngồi, script từ DOM tree Trong trường hợp, 51 payload mã hóa nhiều lần, phải sử dụng biểu thức quy cho lần giải mã, kiểm tra xem văn cịn mã hóa hay chưa.Nếu trở nguyên gốc ( việc so khớp với biểu thức quy 0), dừng q trình giải mã.Nếu chưa trở nguyên gốc, trình lặp lại - Phát chuỗi tương tự Phương pháp phát URI nghi vấn chuỗi tương tự Một XSS worm lan truyền cách gửi liên kết URI trỏ tới thay gửi payload đoạn văn ( plain text).Vì vậy, trước so sánh tập phần tử P tập phần tử D, so sánh tương tự liên kết URI bóc tách từ giá trị tham số HTTP request gửi đi, với URI lấy từ DOM tree.Nếu nhận thấy tương tự, chuyển hướng trình duyệt cảnh báo người dùng URI nghi vấn.Tuy nhiên kẻ cơng sử dụng URI khác cho payload.Vì vậy, phải kiểm tra nội dung file bên ngồi.Mặc dù chúng tơi chưa gặp kiểu công thực tế nhiên cần thận trọng kiểm tra nội dung file Sau giải mã xong, tiến hành so sánh độ tương tự đoạn văn thuật toán dựa triagrams.Thuật toán tỏ mạnh mẽ việc phát Javascript obfuscation Thuật tốn mơ tả chi tiết http://search.cpan.org/dist/StringTrigram/Trigram.pm Để hiểu chất thuật toán ( phần description trang có mơ tả chi tiết thuật tốn) có ví dụ sau : Giả sử cần so sánh độ tương tự từ ví dụ “Kangaroo” từ “Kanagaroo”.Chúng ta bóc tách từ thành đoạn ký tự.Ví dụ từ “Kangaroo” bóc tách thành {kan ang nga gar aro roo}.Tập gọi trigram Tập trigram từ “Kanagaroo” {kan ana nag aga gar aro roo} Để tính tốn tương đồng lấy tập từ trùng ( ví dụ : kan, gar, aro, roo ) chia cho tập từ có trigram ( ví dụ : kan, ang, nga, gar, aro, roo, ana, nag, aga).Kết ví dụ tương đồng 4/9 52 Hiểu cách khác, giao tập hợp trigram chia cho hợp tập hợp này, độ tương tự từ Đối với so sánh độ tương tự văn bản, ta làm tương tự, nhiên thay tách thành ký tự trên, tách thành từ riêng biệt câu.Người ta gọi character-level trigram.Thuật tốn cụ thể chi tiết để so sánh độ tương tự sau : - Gọi T(s) tập hợp character-level trigram s - Gọi S(p,d) độ tương tự chuỗi p d p ∈ P d ∈ D.Trong P D tập văn định nghĩa Chúng ta tính tốn độ tương tự p d theo công thức : S(p,d) = T ( s) ∩ T (d ) T ( s) ∪ T (d ) Nếu tồn p thuộc P d thuộc D, S(p,d) lớn giá trị t đó, khẳng định HTTP request gửi có chứa XSS worm payload Câu hỏi đặt với t khẳng định HTTP request gửi có chứa XSS worm payload ? Thơng qua thống kê XSS worm có, so sánh độ tương tự với mã Javascript obfuscation, người ta cho t=20% khẳng định Chúng ta hiểu rõ kết 20% thơng qua thống kê : Hình 3.3 : Sự tương đồng mã nguồn gốc mã nguồn mã hóa 53 3.4 Chương trình XSS Detection : Hầu hết hệ thống hay chương trình đề cập phần đưa mơ hình cách thức nhằm để phòng tránh chống lại công tin tặc lỗi XSS.Ở phần tác giả xây dựng chương trình dựa mơ hình đề cập phần trước gọi XSS Detection Chương trình gồm chức : Chức thu thập thơng tin, chức phân tích thơng tin, chức cơng dựa mẫu có sẵn  Mơ đun thu thập thông tin : Chức thu thập tất trang web ứng dụng web chạy Nó sử dụng URL đầu vào, tìm kiếm tất liên kết có trang web Thành phần cho quan trọng chương trình thành phần đầu vào mơđun cịn lại.Việc liệt kê khơng đầy đủ URL dẫn đến việc đánh giá sai khả bị công ứng dụng web  Mô đun gửi XSS payload: Sau nhận danh sách đầu vào từ mô đun thu thập thông tin.Môđun thực thi cách sử dụng xss payload có sẵn.Các payload tập hợp dựa số nguồn website tin cậy (https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet) Theo đánh giá, payload cho phổ biến sử dụng nhiều để công website, đặc biệt để phục vụ cho việc đánh cắp thông tin người dùng  Mô đun phân tích lỗi XSS : Dựa kết trả HTTP reponse, mô đun phân tích cú pháp kết trả về.Chỉ cần thành phần chuỗi kết trả trùng với chuỗi input dùng để công, trang web cho có lỗi Cross Site Scripting.Việc nhận định site có dính lỗi hay khơng tn theo quy tắc hộp đen Mơ hình chương trình mơ tả chi tiết hình : 54 Hình 3.4 Mơ hình hoạt động XSS Detection XSS Detection công cụ an tồn mà viết ngơn ngữ python Công cụ bao gồm lớp hai hàm chính.Chức chi tiết lớp hàm mô tả chi tiết Hàm list_url: Q trình phân tích cú pháp tương tự trình thu thập thơng tin web google Khi sử dụng hàm này, script python yêu cầu nhập URL đầu vào Các sript đọc nội dung mã HTML trang web tìm kiếm thẻ có dạng , hệ thống lấy thơng tin từ trang thăm lan truyền thông qua trang web theo siêu liên kết mà tìm thấy Hình 3.5 Một đoạn mã hàm list_url 55 Hình cho thấy ảnh chụp script, mơ tả hàm list_url.Trong hàm có sử dụng hai thư viện urllib2 BeautifulSoup sử dụng để mở URL đọc liệu từ trang web html kỹ kỹ thuật hộp đen Các thư viện giúp đọc thông báo cho tác giả biết cấu trúc tài liệu HTML trích xuất thẻ tài liệu HTML Nếu đọc thẻ HTML có vấn đề liên kết mở, hàm có chức báo lỗi ngoại lệ thông báo mã lỗi mô tả Kết hàm lưu vào biến tach_urls.Biến đầu vào hàm main thực thi chương trình Lớp Spider: Tại lớp này, kịch kết nối đến URL nhập bước trước tìm kiếm thẻ Nó xuất thuộc tính liên quan với yếu tố cho phép khách hàng để xem phương pháp sử dụng hành động thực Hình 3.6 Mơ tả thuộc tính thẻ HTML Sau tìm tất thẻ , thẻ thu thập sau chuyển sang tìm kiếm thẻ Kiểm soát thẻ: thẻ input type =text textarea, hai thẻ xác định khả gửi liệu đến trang web Các biến lưu thông tin thẻ thông tin đầu 56 vào cho hàm khác Hình 3.7 Một đoạn chương trình hàm Handle_starttag Hình cho thấy ảnh chụp lớp spider với hàm handle_starttag, tag biến chứa thông số thẻ form, input, textarea,… Tất thẻ kiểm tra bóc tách nhằm phát nguy lỗi XSS xảy Hàm scan_web 57 Hình 3.8 Mộ đoạn chương trình mơ tả hàm scan_web Hàm sử dụng payload đầu vào, dựa vào web form cho nghi vấn thực lớp spider, hàm sử dụng payload có sẵn lấy từ nguồn : http://ha.ckers.org/xss.html, thực thi chúng xem xét kết trả về.Nếu kết trả chuỗi có nội dung giống nội dung đưa vào, có thẻ script, có khả trang web bị lỗi XSS.Chương trình đánh giá theo phương pháp POST GET Các bước thực chương trình Nhập URL cần kiểm tra lỗi XSS Quét liên kết URL nhập Tìm kiếm thẻ liên kết trang web nhập form trang web Với URL liên kết ngồi form chương trình, sử dụng payload có sẵn, thực thi cú GET, POST xem xét kết trả Dựa vào kết trả về, so sánh chuỗi trả về, đánh giá xem trang có khả bị cơng XSS hay khơng Chương trình sử dụng test thử với trang web http://testasp.vulnweb.com/ http://xss.progphp.com/ http://demo.testfire.net http://www.asianave.com/user/register.html http://www.gametiger.net http://www.qou.edu/contactUs.do?key=2 Kết đánh giá cho thấy chương trình phát xác lỗi thơng thường.Đối với lỗi khó phát hiện, chương trình có thời gian qt lâu đơi khơng đưa kết 58 Hình 3.9 Chương trình scan với trang xss.progphp.com Hình 3.10 Kết tìm kiếm lỗi dựa vào payload cho trước Hình 3.11 Đánh giá xem website có khả dính lỗi XSS hay khơng 3.5 Đánh giá chương trình Tác giả tiến hành đo thời gian quét phát lỗi công cụ XSS Detection so với cơng cụ WVS có sẵn thị trường Acunetix với trang web thử nghiệm trên.Kết sau : 59 XSS Detection Thời STT Website gian thực thi(s) Số lỗi phát Acunetix Thời gian thực thi(s) Số lỗi phát http://testasp.vulnweb.com/ 58 56 http://xss.progphp.com/ 84 24 http://demo.testfire.net 223 126 http://www.asianave.com/user/register.html 138 15 176 http://www.gametiger.net 28 128 http://www.qou.edu/contactUs.do?key=2 37 80 Từ trình kiểm tra lỗi cho thấy, với website mang tính đơn giản khơng nhiều URL cần phải quét, chương trình đưa số lỗi phát giống nhau, thời gian thực thi có khác nhau.Tuy nhiên website phức tạp hơn, số lượng URL file javascript cần phải quét nhiều hơn, chương trình XSS Detection đưa số lỗi nhiều.Việc đưa vào payload số script nguyên nhân chương trình có phát lỗi chưa tốt Tuy nhiên tính xác chương trình chấp nhận số lượng payload cần kiểm tra tăng lên 60 Những kết đạt KẾT LUẬN Sau thời gian nghiên cứu, tìm hiểu giải pháp đảm bảo an ninh cho dịch vụ trực tuyến luận văn đạt mục tiêu sau: - Tập trung tìm hiểu vấn đề an ninh mạng : Nghiên cứu lỗ hổng XSS - Làm rõ vấn đề liên quan tới XSS, cách mà cơng vào người dùng hậu nguy hiểm mà gây - Tìm hiểu phương pháp phòng tránh XSS Mỗi phương pháp áp dụng vào thành phần khác trình giao tiếp người sử dụng ứng dụng web Luận văn nêu lên điểm mạnh yếu phương pháp để xem xét áp dụng cho phù hợp - Đi sâu tìm hiểu giải pháp ngăn chặn XSS, phân tích bước, cách thực cụ thể - Tìm hiểu dạng đặc biệt XSS XSS worm Phân tích đưa mối nguy hại mà XSS worm làm Làm rõ khác biệt với worm truyền thống Từ giải thích có khả lan truyền nhanh chóng mà khơng bị nghẽn mạng - Viết chương trình XSS Dectection từ phía client dựa chế phân tích lỗi theo mơ hình black box ( hộp đen) phân tích khả phát XSS so với cơng cụ khác Hướng phát triển: Mặc dù cố gắng việc tìm hiểu, nghiên cứu phát triển thuật toán, luận văn đạt số mục tiêu đề Tuy nhiên, kết khiêm tốn hạn chế tài liệu thời gian Trong thời gian tới, tác giả cố gắng phát triển luận văn thêm nội dung sau: - Tìm hiểu kĩ phương pháp ngăn chặn XSS đưa giải pháp tốt kết hợp giải pháp lại để giải pháp toàn diện hiệu 61 - Cải tiến chương trình phát XSS mơ tả chương đánh giá hiệu - Tìm hiểu thêm kĩ thuật phát XSS worm 62 TÀI LIỆU THAM KHẢO Philipp Vogt Cross Site Scripting (XSS) Attack Prevention with Dynamic Data Tainting on the Client Side Oystein Hallaraker and Giovanni Vigna Detecting Malicious JavaScript Code in Mozilla In 10th IEEE International Conference on Engineering of Complex Computer Systems (ICECCS05), 2005 Yao-Wen Huang, Shih-Kun Huang, and Tsung-Po Lin Web Application Security Assessment by Fault Injection and Behavior Monitoring WWW 2003 Budapest Hungary, May 2003 Christopher Kruegel and Giovanni Vigna Anomaly Detection of Web-based Attacks In 10th ACM Conference on Computer and Communication Security (CCS-03) Washington, DC, USA, October 27-31, pages 251 – 261, October 2003 G.A Di Lucca, A.R Fasolino, M Mastroianni, and P Tramontana Identifying Cross Site Scripting Vulnerabilities in Web Applications In Sixth IEEE International Workshop on Web Site Evolution (WSE’04), pages 71 – 80, September 2004 Diminutive XSS worm replication contest (2008) http://sla.ckers.org/forum/read.php?2,18790,page=19 Ahmed, T.: The trigram algorithm, http://search.cpan.org/dist/String- Trigram/Trigram.pm Wassermann, G., Su, Z.: Static detection of cross-site scripting vulnerabilities In: Proceedings of the 30th International Conference on Software Engineering, pp 171–180 ACM Press, New York (2008) E Athanasopoulos, “MODERN TECHNIQUES FOR THE DETECTION AND PREVENTION OF WEB 2.0 ATTACKS” Submitted in partial fulfillment of the requirements for the degree of Doctor of Philosophy in Computer Science in the Graduate Division of the University of Crete, Heraklion, June 2011 63 10 B Almurrani “Cross-Site-Scripting (XSS) Attacking and Defending” BACHELOR´S THESIS, ABSTRACT TURKU UNIVERSITY OF APPLIED SCIENCES Degree Program in Information Technology, Autumn 2009 11 Open Web Application Security Project OWASP Web Application Scanner Specification Project http://www.owasp.org/index.php/Category:OWASP Web Application Scanner Specification Project, 2010 [Online; retrieved June 19, 2010] 12 Martin Johns, Sessionsafe : Implementing Xss immunie session handling In In Proceedings of ESORICS, 2006 13 Client-side Detection of XSS Worms by Monitoring Payload Propagation 64 65 ... cứu cụ thể chi tiết.Vì hướng dẫn TS Nguyễn Khanh Văn, em chọn đề tài ? ?Phát triển giải pháp công cụ đảm bảo an ninh cho dịch vụ trực tuyến? ?? nhằm mô tả tổng quan dịch vụ trực tuyến sâu tìm hiểu cách... toán trực tuyến, mạng xã hội, trò chơi trực tuyến, vv….Việc đảm bảo an ninh, an tồn thơng tin cho giao dịch quan trọng Thống kê an ninh cho thấy quan tâm tin tặc hình thức giao dịch trực tuyến Cụ. .. quét phát lỗ hổng XSS 10 Chương TỔNG QUAN VỀ AN NINH TRỰC TUYẾN 1.1 An ninh trực tuyến Ngày nay, Internet ngày phát triển, việc tiếp cận đến dịch vụ trực tuyến ngày dễ dàng hơn.Cùng với phát triển