Một khối lượng lớn yêu cầu được gửi cho ứng dụng trong một khoảng thời gian nhất định khiến hệ thống không đáp ứng kịp yêu cầu dẫn đến hệ thống bị phá vỡ. Vì khuôn khổ và thời gian của luận văn là có hạn nên luận văn chỉ thực hiện tìm hiểu một số kĩ thuật phổ biến và khả năng phá hoại một hệ thống mạng với mức độ cao. Và trong các chương ở phần thứ hai, luận văn sẽ trình bày kĩ hơn từng kĩ thuật sau :
• Thao tác trên tham số truyền
• Chèn câu truy vấn SQL • Tràn bộđệm • Từ chối dịch vụ • Một vài kĩ thuật khác o Kí tự rỗng o Mã hóa URL
o Lợi dụng truy xuất đường dẫn đến một tập tin o Ngôn ngữ phía trình chủ
Chương II: KỸ THUẬT TẤN CÔNG VÀO CÁC LỖ HỔNG TRÊN WEBSITE VÀ CÁCH PHÒNG CHỐNG
II.1 THỰC TRẠNG AN NINH MẠNG TẠI VIỆT NAM HIỆN NAY VÀ DỰ BÁO XU HƯỚNG AN NINH MẠNG NĂM 2011
II.1.1 Tình hình phát triển Internet tại Việt Nam đến tháng 1/2011
Tại Việt Nam, nhiều doanh nghiệp phải đối mặt với việc hình thành và lan tràn nhiều biến thể virut mới, tấn công trên mạng ngày càng nở rộ với mục đích vụ lợi cá nhân cũng như mục đích kinh tế, thậm chí ảnh hưởng đến hoạt động kinh doanh và an ninh quốc gia. Các website trong nước liên tiếp bị tấn công với mức độ phức tạp gia tăng mà điển hình là việc báo điện tử Vietnamnet bị tấn công nhiều lần và đánh sập vào ngày 22/11/2010. Hình thức lừa đảo trực tuyến các email bằng tiếng việt đã bắt đầu xuất hiện và phát tán rộng…đã đặt ra yêu cầu đối với sự nhận thức đúng đắn về mức độ cấp thiết, tối quan trọng của an ninh mạng, bảo mật thông tin.
Mạng Internet Việt Nam còn tiềm ẩn rất nhiều những nguy cơ về mặt an ninh an toàn thông tin. Hàng loạt website lớn bị tấn công với mức độ phức tạp ngày càng gia tăng. Rất nhiều các website của các tổ chức, doanh nghiệp còn tồn tại các lỗ hổng an toàn thông tin. Nhiều lỗ hổng an toàn thông tin mới được phát hiện. Tội phạm mạng đang diễn ra với tốc độ nhanh hơn, quy mô hơn, tính chuyên nghiệp, trình độ kỹ thuật ngày càng cao hơn
Số lượng các cuộc tấn công web tăng gấp đôi:
Trong năm 2009, ở nước ta có hơn 1000 (1.037) website bị hacker tấn công, tăng hơn gấp đôi so với năm 2008 (461 website) và gấp ba lần so với năm 2007 (342 website).
Trong 3 tháng đầu năm 2010 đã có hơn 300 website của các cá nhân và tổ chức có tên miền .vn bị các hăcker nước ngoài thăm dò, tấn công.
Tính đến cuối quý I/2011, số người sử dụng Internet tại Việt Nam đạt 27.559.006 người, chiểm 31,9 % dân số; số thuê bao internet trên cả nước ước tính đạt 3,8 triệu thuê bao. Đa số các doanh nghiệp và các tổ chức có hệ thống mạng và website giới thiệu, quảng bá thương hiệu (191.667 tên miền .vn và hàng triệu tên miền thương mại). Có rất nhiều doanh nghiệp đã ứng dụng thanh toán trực tuyến vào công việc kinh doanh, giao dịch,…
Các website bị tấn công chủ yếu là các website kinh doanh trực tuyến, ngân hàng, các tổ chức cung cấp dịch vụ,…( Nguyên nhân: chủ yếu là sự yếu kém
trong quản trị website và không thường xuyên kiểm soát lỗ hổng, ít quan tâm đếncác cảnh báo an ninh của các cơ quan, tổ chức có chức năng đảm bảo an ninh an toàn thông tin quốcgia
Rất nhiều website trong nước tồn tại các lỗ hổng an toàn thông tin ở mức độ nguy hiểm cao.Đa số các trang web lớn của Việt Nam đều có lỗ hổng bảo mật và có thể bị chiếm quyền điều khiển. Hiện nay, trên mạng Internet Việt Nam có đến 90% các website được xây dựng trên công nghệ ASP.NET và sử dụng dịch vụ IIS 6.0, đây là lỗ hổng lớn nhất và vẫn chưa được khắc phục. Trong năm 2010 đã ghi nhận hơn 1000 website ở nước ta bị tấn công từ các lỗ hổng đang tồn tại trên các website và các lỗ hổng trên các máy chủ hệ thống. Các website của các tổ chức tài chính, ngân hàng, chứng khoán vẫn tồn tại rất nhiều lỗ hổng.
Các hành vi phạm tội vẫn là:
Dùng thủ đoạn Phishing, trojan horse, spyware để lấy cắp địa chỉ email, thông tin thẻ tín dụng và thông tin cá nhân như tên, địa chỉ,số điện thoại, số thẻ an ninh xã hội, thông tin giấy phép lái xe…
Mua bán thông tin thẻ tín dụng trên mạng internet.
Trộm cắp tiền từ thẻ tín dụng và tài khoản, làm thẻ tín dụng giả rút tiền từ máy ATM.
Rửa tiền: chuyển tiền từ tài khoản trộm cắp được sang tài khoản e-money tại e- gold, e-passport.
Lừa đảo qua quảng cáo, bán hàng trực tuyến trên mạng internet, trong hoạt động thương mại điện tử,trong mua bán ngoại tệ,cổ phiếu qua mạng, đánh bạc và rửa tiền, thực hiện hành vi trốn thuế.
Buôn bán ma túy, mại dâm qua mạng internet, truyền bá khiêu dâm trên mạng, thực hiện các hoạt động khủng bố, phá hoại, ...
II.1.2 Các cuộc tấn công của hacker và những thiệt hại mà nó gây ra hiện nay tại Việt Nam
Trong hai năm trở lại đây, khủng hoảng kinh tế nên bọn tội phạm vẫn nhằm vào các hệ thống CNTT của lĩnh vực tài chính ngân hàng, với mục tiêu kiếm được nhiều tiền hơn, nên chúng có xu hướng hoàn thiện kỹ thuật tấn công để tấn công các mục tiêu này và chúng đã thành công ở một số hệ thống.
Trong năm 2009, chỉ tính riêng hơn 40 vụ án công nghệ cao bị phanh phui, thiệt hại mà loại tội phạm này gây ra đã lên đến hàng ngàn tỉđồng.
Thiệt hại do lộ thông tin bí mật của các doanh nghiệp, tổ chức không có thể ước tính được.Các cơ quan chức năng đã phối hợp điều tra,truy tố xét xử một số vụ tấn công nghiêm trọng
Vụ 2 đối tượng người Malaysia là Cham Tack Choi và Tan Wei Hong sử dụng thẻ tín dụng Visa, Master giả để thanh toán tại khách sạn Metropol (thanh toán số tiền hơn 500 triệu đồng). Ngày 8/01/2009, TAND Hà Nội đã tuyên phạt Cham Tack Choi (SN 1984) và Tan Wei Hong (SN 1981), quốctịch Malaysia mỗi người 7 năm tù giamvề tội Trộm cắp tài sản.
Tháng 10/2009: Vụ Nguyen Hoawrd quốctịch Mỹ,ArialFradin quốc tịch Canada vào ViệtNam đi du lịch đã dùng thẻ AMEX hết hạn, báo mất, khóa giao dịch ở ngân hàng phát hành rút tiền tại các máy ATM để chiếm đoạt. Nguyen Howard và đồng bọn đã rút 1,4 tỷ đồng, Arial Fardin đã rút 800 triệu Điều tra, khám phá những vụ án TPCNC (tiếp)
Vụ Công ty Golden Rock:Trưởng Văn phòng đại diện của Công ty này tại mạng năm 2010 vẫn tiếp tục nóng bỏng, xuất hiện việc các cá nhân, tổ chức thuê hăcker điều hành mạng máy tính “Ma” để tấn công nhằm phá hủy hệ thống CNTT của đối thủ cạnh tranh
Và vụ mới đây nhất, Ngày 22/11/2010 là ngày đầu tiên hacker bắt đầu tấn công vào hệ thống website của báo Vietnamnet. Đây là cuộc tấn công với quy mô lớn, liên tục và kéo dài. Nó đã phá hủy hầu như gần hết CSDL đã lưu trữ 10 năm của báo VietNamNet.
Hình II.1 Giao diện báo điện tử VietNamNet bị tấn công
Lỗ hổng an ninh của các hệ thống ngày càng được phát hiện nhiều hơn. Số lượng các điểm yếu an ninh trong năm 2010 là 4.300 (năm 2009 là 3.500) có tới 30%
lỗ hổng có mức độ nguy hiểm cao. Gần một nửa (49%) số lỗ hổng an ninh vẫn chưa có các bản vá do nhà cung cấp dịch vụ phát hành. Lỗ hổng liên quan đến phần mềm Adobe Acrobat PDF được phát hiện nhiều nhất. Ở nước ta vấn đề lỗ hổng của hệ thống, ứng dụng vẫn chưa được các quản trị hệ thống cập nhật các bản vá kịp thời.
Thực trạng tấn công vào các website của hacker không mới so với những năm trước tuy nhiên đến nay các website tại Việt Nam vẫn chưa được đầu tư về nhân lực, kinh phí để được bảo vệ một cách tốt nhất. Nguyên nhân chủ yếu là sự yếu kém trong quản trị website và không thường xuyên kiểm soát lỗ hổng, khoán trắng vấn đề bảo đảm ATTT cho nơi đặt website, ít quan tâm đến các cảnh báo an ninh của các cơ quan, tổ chức có chức năng đảm bảo an ninh an toàn thông tin quốc gia.
Tại Việt Nam, năm 2010, đã có gần 60 triệu lượt máy tính bị nhiễm virus. Trung bình một ngày có hơn 160.000 lượt máy tính bị nhiễm virus. Đây là con số đáng báo động về tình hình máy tính bị nhiễm virus nước ta. Đã có hơn 57.000 dòng virus mới xuất hiện. Virus lây lan nhiều nhất qua các máy tính vẫn là virus Conficker. Trong năm 2010, đã có tới 6,5 triệu lượt máy tính bị nhiễm loại virus này. Có hơn 1,4 triệu lượt máy tính đã bị nhiễm dòng virus giả mạo thư mục, giả mạo file ảnh, file word, excel... Các virus siêu đa hình tiếp tục đứng trong top 3 những virus lây nhiễm nhiều nhất trong năm và là nỗi ám ảnh với người sử dụng máy tính tại Việt Nam. Với khả năng “thay hình đổi dạng” để lẩn trốn, 2 dòng virus Vetor và Sality đã lan truyền trên 5,9 triệu lượt máy tính.
Có thể nói, chính sự chủ quan, hạn chế trong nhận thức, thiếu hụt về đầu tư an ninh thông tin (ANTT) của các doanh nghiệp, người sử dụng đã tạo tiền đề cho sự gia tăng các mối đe dọa và nguy cơ bảo mật. Vấn đề ANTT có tầm quan trọng sống còn đối với các doanh nghiệp, đặc biệt khi các giao dịch trực tuyến đã trở nên ngày càng phổ biến hơn tại Việt Nam. Lời khuyên của tôi là không nên cắt giảm ngân sách cho an ninh bảo mật mà thay vì đó cần phải đầu tư vào đó một cách khôn ngoan hơn.
II.1.3 Dự báo xu hướng an ninh mạng năm 2011
An ninh mạng năm 2011 vẫn tiếp tục nóng bỏng, xuất hiện việc các cá nhân, tổ chức thuê hăcker điều hành mạng máy tính “Ma” để tấn công nhằm phá hủy hệ thống CNTT của đối thủ cạnh tranh
Kỹ thuật tấn công tinh vi hơn, hoàn hảohơn; mã độc ngày càng “độc” hơn… sẽ tiếp tục đặ tra những thách đố mới cho năm 2010.
Kinh tế càng khủng hoảng, tin tặc càng tìm cách xoay sở kiếm tiền, hoạt động cuả gới tội phậm CNC sẽ tinh vi hơn, thủ đoạn hơn để làm sao kiếm được nhiều tiền.
Mạng xã hội (Twiter, spacebook,..) đang phát triển mạnh mẽ không chỉ là trào lưu nhất thời, đã trở thành một nền tảng mới rất hiệu quả giúp con người giao tiếp, liên lạcvới nhau. Đây chính là một môi trường thuậnlợi để giới tội phạm CNC thử nghiệm các thủ đoạn, kỹ thuật tấn công đe dọa an ninh mạng.
Tiếp tục xuất hiện nhiều chương trình diệt virus giả.
Hình thành nhiều mạng máy tính Ma (bootnet) được điều khiển bởi các hăcker có chuyên môn cao, có nguy cơ xuất hiện các cuộc chiến lớn trên mạng (chiến tranh mạng).
Điện toán đám mây sẽ là đích nhắm mới của giới tội phạm, đặc biệt là khi mạng 3G bắt đầu được đưa vào hoạt động tại ViệtNam.
Việcsử dụng thiếtbị di động không dây Apple có dấu hiệu bùng nổ tạiViệt Nam, trong khi đó Apple chưa có giải pháp đảm bảo an toàn cho các dịch vụ của thiết bị này, do vậy Apple có thể sẽ là mộtmục tiêu quan tâm mới của giới tội phạm mạng.
Virus đa hình và Thư rác tin nhắn tức thời (IM) ngày càng phức tạp.
Rootkit là một bộ công cụ phần mềm do kẻ xâm nhập đưa vào máy tính nhằm mục đích cho phép mình quay lại xâm nhập máy tính đó và dùng nó cho các mục đích xấu mà không bị phát hiện. Đây sẽ là một xu hướng mới khi đã trở thành công cụ “đại chúng hóa” chứ không còn là “đặc quyền” của một số tin tặc “biết nghề” như trước. Các dòng virus siêu đa hình sẽ kết hợp nhiều kỹ thuật mới để tạo ra những sự lây lan dai dẳng kéo dài trong nhiều năm.
Cùng sự phổ biến của Windows 7 với khả năng đảm bảo an ninh cao và mọi quyết định thực thi quan trọng trên máy tính sẽ thuộc về người sử dụng, xu hướng virus đánh lừa người sử dụng bằng cảm quan sẽ phát triển mạnh. Trường hợp các virus giả mạo file dữ liệu (Fake icon) là những biểu hiện đầu tiên và xu hướng này sẽ tiếp tục trong năm 2011.
Sẽ có nhiều cuộc tấn công, lừa đảo trên điện thoại di động trong năm 2011. Có thể sẽ ghi nhận những cuộc phát tán mã độc đầu tiên trên điện thoại di động, với hình thức tấn công chủ yếu dưới dạng các trojan, ẩn náu và ăn cắp thông tin cá nhân.
II.2 SƠ LƯỢC VỀ MỘT SỐ BIỆN PHÁP KIỂM TRA AN TOÀN WEB II.2.1 Webscarab
WebScarab là một khung cho việc phân tích các ứng dụng mà giao tiếp bằng cách sử dụng giao thức HTTP và HTTPS. Nó được viết bằng Java, và vì thế xách tay cho nhiều nền tảng. WebScarab có nhiều chế độ hoạt động, thực hiện bởi một số plugin. Trong cách sử dụng phổ biến nhất của nó, WebScarab hoạt động như một proxy chặn, cho phép các nhà điều hành để xem xét và sửa đổi các yêu cầu được tạo ra bởi trình duyệt này trước khi chúng được gửi đến máy chủ, và để xem xét và sửa đổi các phản hồi trở về từ máy chủ trước khi chúng được nhận bởi trình duyệt . WebScarab có khả năng đánh chặn cả HTTP và HTTPS giao tiếp. Nhà hệ điều hành cũng có thể xem lại các cuộc đàm thoại (yêu cầu và trả lời) có đi qua WebScarab.
Một khuôn khổ mà không có bất kỳ chức năng là vô giá trị, tất nhiên, và do đó WebScarab cung cấp một số bổ sung, chủ yếu nhằm vào các chức năng bảo mật cho thời điểm này. Những bổ sung bao gồm:
- Những mảnh vỡ, chất chiết xuất từ kịch bản và HTML ý kiến từ các trang HTML khi chúng được nhìn thấy thông qua proxy, hoặc bổ sung khác
- Proxy quan sát giao thông giữa trình duyệt và máy chủ web. Các proxy WebScarab có thể quan sát cả hai HTTP và HTTPS giao thông được mã hóa, bằng cách đàm phán kết nối SSL giữa WebScarab và trình duyệt thay vì chỉ đơn giản là kết nối các trình duyệt đến máy chủ và cho phép một dòng mã hóa để đi qua nó. plugins proxy khác nhau cũng đã được phát triển để cho phép các nhà điều hành để kiểm soát các yêu cầu và trả lời rằng đi qua proxy.
- Hướng dẫn đánh chặn cho phép người dùng thay đổi HTTPS và HTTPS yêu cầu và trả lời trên bay, trước khi chúng đến máy chủ hoặc trình duyệt.
- Beanshell cho phép để thực hiện các hoạt động tùy tiện phức tạp trên các yêu cầu và câu trả lời. Bất cứ điều gì có thể được thể hiện trong Java có thể được thực hiện. Bất cứ điều gì có thể được thể hiện trong Java có thể được thực thi.
- Tiết lộ các trường ẩn đôi khi nó được dễ dàng hơn để sửa đổi một trường ẩn trong trang đó, hơn là ngăn chặn các yêu cầu sau khi nó đã được gửi đi. This plugin simply changes all hidden fields found in HTML pages to text fields, making them visible, and editable. Plugin này chỉ đơn giản là thay đổi tất cả các lĩnh vực ẩn được tìm thấy trong các trang HTML vào các trường văn bản, làm cho chúng nhìn thấy, và có thể chỉnh sửa.
- Bandwidth giả lập cho phép người sử dụng để giả lập một mạng chậm hơn, để quan sát trang web của họ sẽ thực hiện khi truy cập qua, nói rằng, một modem. Spider - xác định các URL mới trên trang web mục tiêu, và nạp chúng vào lệnh.
-Hướng dẫn yêu cầu cho phép chỉnh sửa và phát lại các yêu cầu trước đó, hoặc tạo ra các yêu cầu hoàn toàn mới.
Sessionid phân tích thu thập và phân tích một số cookie để trực quan xác định mức độ ngẫu nhiên và không thể tiên đoán. Note that this analysis is rather trivial, and does not do any serious checks, such as FIPS, etc. Lưu ý rằng phân tích này là khá tầm