||SLIDE|| Tấn công XSS và cách phòng chống

Các vấn đề liên quan XSS và cách phòng chống dựa trên link: https:viblo.asiaptancongxssvacachphongchongL4x5x09O5BM ===========================Tính đến thời điểm tháng 32018 trên toàn thế giới đã có khoảng 1,8 tỷ trang web. Những trang web thuộc nhiều đối tượng, trong đó có các tổ chức chính quyền, các tập đoàn kinh tế lớn, các cá nhân có ảnh hưởng, …Khi bị tấn công vào bảo mật thì một website sẽ có nguy cơ sụp đổ, kéo theo đó là ảnh hưởng rất lớn đến tổ chức hay cá nhân sở hữu website này. XSS là loại tấn công phổ biến nhất và đang thực sự đe dọa tới rất nhiều người dùng web hiện nay

TẤN CƠNG XSS VÀ CÁCH PHỊNG CHỐNG I.Khái Niệm Cross - Site Scripting hay viết tắt XSS kỹ thuật công cách chèn vào website động (ASP, PHP,CGI,…) thẻ HTML hay đoạn mã script nguy hiểm gây hại cho người sử dụng khác Trong đoạn mà nguy hiểm thường viết Client Site Script như: JavaScript, Jscript, DHTML thẻ HTML Ví dụ: http://www.xxx.vn//index.php? pg=news&cat=alert(“LỗiXSS”) Theo hacker sử dụng lỗ hổng XSS để chèn thêm đoạn mã Javascript nhằm phục vụ mục đích riêng II Phân loại XSS Non-persistent Persistent XSS III Các phương thức công người nhắc nhở 1.Cookie Đánh cắp Cookies dùng:mà website lưu trữ máy tính bạn định danh cho bạn Nếu khơng có cookie bạn phải nhập lại thơng tin hình web Thơng tin mà cookie lưu trữ thông tin mà thân bạn chia sẻ với website tạo cookie Cookie chứa nhiều thông tin quan trọng phiên làm việc bạn Nếu hacker có đoạn cookie chưa phiên làm việc bạn, hacker có khả đăng nhập vào website tư cách bạn mà không cần biết mật III Các phương thức công Tấn công qua mạng Intranet: Các bước khai thác Bước 1: Một nạn nhân truy cập vào trang Bước 3: Sau sử dụng trình duyệt nạn Web độc Bước 2: Phát 4: Mã hạiđộc động JavaScript nhấn công vàoMalware chống liên lạisẽ kết tảikhông Web nhân tảng để công, mã độc rõ ràng, ứng nội dụng sẽtrên bịWeb nhúng bên Java mã ngồi, Applet JavaScript thuvàthập làm chứa thơng lộphần địa tin JavaScript xác định máy chủ Web mạng mềm đánh IP cắp độc nạn hại, sau nhân gửi thơng rakiểm mạng quasốt NAT bêntrình IP ngồi duyệt nội họ III Các phương thức công XSS Defacements: Có hai loại XSS Defacement Liên tục Khơng liên tục III Các phương thức công XSS Defacements: Mức độ nghiêm trọng XSS Defacement liên tục cao so với XSS Defacement khơng liên tục kẻ cơng thay đổi vĩnh viễn thông tin trang bị công sửa đổi nội dung, đánh cắp số thông tin cá nhân người dùng Mặc dù kẻ cơng khơng có quyền truy cập trực tiếp vào hệ thống tập tin nơi trang Web bị lỗi XSS XSS Defacement không liên tục thường dễ dàng tìm kiếm thực thi để làm việc attacker đánh lừa người dùng qua URL cụ thể Khái niệm XSS Defacement tương tự loại hình cơng XSS khác Tuy nhiên thay tiêm đoạn mã JavaScript để thực thi chuyển thành liệu cookie chiếm đoạt quyền kiểm sốt trình duyệt, attacker tiêm đoạn mã làm thay đổi cấu trúc, nội dung ban đầu Website IV NGĂN CHẶN XSS Lọc Có hai khái niệm trình lọc (filter) XSS: lọc đầu vào (input filtering) lọc đầu (output filtering) Cách sử dụng phổ biến lọc đầu vào Input Filtering xem xác so với Output Filtering, đặc biệt trường hợp XSS Reflected Tuy nhiên có khác biệt nhỏ, trình lọc đầu vào áp dụng cho tất loại liệu, loại bỏ nội dung không hợp lệ lọc đầu mang tính áp dụng lại, mục đích trừ loại mã độc cịn xót lại IV NGĂN CHẶN XSS Lọc Black-List Filtering Lọc liệu định nghĩa sẵn danh sách cho trước, gặp yêu cầu không hợp lệ hủy, không thực yêu cầu Ưu điểm dễ cấu hình, triển khai nhược điểm xuất công kiểu (chưa định nghĩa black-list) khơng thể phát ngăn chặn công IV NGĂN CHẶN XSS Lọc White-List Filtering Cho phép quy định sẵn trước danh sách hợp lệ, có yêu cầu thuộc danh sách thực Vì ngăn chặn kiểu cơng mới, nhược điểm có ứng dụng phát triển phải cập nhật White-List Tuy nhiên White-List Filtering bảo mật so với Black-List Filtering IV NGĂN CHẶN XSS Input Encoding Mã hóa đầu vào trở thành vị trí trung tâm cho tất lọc, đảm bảo có điểm cho tất lọc Mã hóa phía máy chủ tiến trình mà tất nội dung phát sinh động qua hàm mã hóa nơi mà thẻ script thay thể mã Nói chung, việc mã hóa (encoding) khuyến khích sử dụng khơng u cầu bạn phải đưa định kí tự hợp lệ khơng hợp lệ.Tuy nhiên việc mã hóa tất liệu khơng đáng tin cậy tốn tài nguyên ảnh hưởng đến khả thực thi số máy chủ IV NGĂN CHẶN XSS 3.Output Encoding Mục đích việc mã hóa đầu (vì liên quan Cross Site Scripting) chuyển đổi đầu vào khơng tin cậy vào hình thức an tồn, nơi đầu vào hiển thị liệu cho người sử dụng mà không thực trình duyệt.  IV NGĂN CHẶN XSS 4.Sử dụng thư viện Hiện có nhiều thư viện giúp ta ngăn ngừa XSS, chúng giúp ta thực bước ngăn chặn XSS liệt kê Thậm chí framework để làm web tích hợp sẵn nhiều cơng nghệ chống loại hình công này, nhiên tất không đủ chung ta khơng có hiểu biết V CHỐT LẠI Không giống vấn đề liên quan đến bảo mật khác, XSS loại bỏ thời gian ngắn.Tuy nhiên , công XSS thực gửi trang web cho trình duyệt web nạn nhân có kèm theo mã script độc kẻ cơng Vì người phát triển web bảo vệ website khỏi bị lợi dụng xâm hại CẢM ƠN VÌ ĐÃ XEM ... phương thức công XSS Defacements: Có hai loại XSS Defacement Liên tục Không liên tục III Các phương thức công XSS Defacements: Mức độ nghiêm trọng XSS Defacement liên tục cao so với XSS Defacement... hacker có khả đăng nhập vào website tư cách bạn mà không cần biết mật III Các phương thức công Tấn công qua mạng Intranet: Các bước khai thác Bước 1: Một nạn nhân truy cập vào trang Bước 3: Sau... động JavaScript nhấn công vàoMalware chống liên lạisẽ kết tảikhông Web nhân tảng để công, mã độc rõ ràng, ứng nội dụng sẽtrên bịWeb nhúng bên Java mã ngoài, Applet JavaScript thuvàthập làm chứa thông