Chương 13: Chương trình Web Checker
CHƯƠNG 13: CHƯƠNG TRÌNH WEB CHECKER
I. ĐẶC TẢ CHƯƠNG TRÌNH WEB CHECKER
I.1. Tổng quan
Chương trình “Web Checker” là một ứng dụng dùng để minh họa cho một số kĩ
thuật tấn công đã được trình bày ở phần trên như SQL Injection, Form Field
Manipulation và URL Manipulation, mà trọng tâm là SQL Injection.
Từ ý tưởng đó, chương trình sẽ có khả năng kiểm tra ứng dụng Web có mắc phải lỗi bảo mật SQL injection, Form Field Manipulation, URL Manipulation hay không. Bằng cách ứng dụng sẽ nhận trang web cần kiểm tra từ người sử dụng, rồi tự động tìm thông tin của trang Web và tạo ra các yêu cầu gửi đến trình chủ. Sau đó nhận, phân tích kết quả trả về để đánh giá, kiểm tra và thông báo cho người sử
dụng.
I.2. Yêu cầu
Từ những ý tưởng trên, ứng dụng có những yêu cầu như sau:
I.2.1. Yêu cầu chức năng
• Chức năng duyệt Web.
• Kiểm tra, phát hiện một số lỗ hổng bảo mật của ứng dụng Web như: o Chèn câu truy vấn SQL (SQL Injection)
o Thao tác trên tham số truyền (Parameter Manipulation) • Đánh dấu, thông báo kết quả kiểm tra.
Chương 13: Chương trình Web Checker
I.2.2. Yêu cầu phi chức năng
• Dễ sử dụng: ứng dụng phải cung cấp một giao diện trực quan, rõ ràng, dễ sử dụng.
II.KIẾN TRÚC CHƯƠNG TRÌNH WEB CHECKER
II.1. Kiến trúc chương trình Web Checker
Chương trình được chia làm hai tầng: • Tầng 1 (giao diện) có nhiệm vụ:
o Duyệt Web (cung cấp trang cần kiểm tra). o Hiển thị kết quả kiểm tra
• Tầng 2 (xử lý) có nhiệm vụ:
o Lấy trang Web được yêu cầu kiểm tra
o Tạo các mẫu thử (lấy dữ liệu kiểm tra kết hợp với thông tin từ trang Web, đóng gói thành HTTP request) gửi đến trình chủ.
Chương 13: Chương trình Web Checker
Hình 13.II.1-1: Kiến trúc phân tầng của ứng dụng Web Checker
II.2. Giao tiếp giữa chương trình với trình chủ Web
Giao tiếp giữa ứng dụng với trình chủ là giao tiếp giữa client và server. Trong đó trình chủ là server còn ứng dụng là client kết nối đến server theo kiểu stream socket.
Chương 13: Chương trình Web Checker
III. CÀI ĐẶT
III.1. Ngôn ngữ cài đặt
Web Checker là ứng dụng có sử dụng giao thức HTTP để trao đổi thông tin trên mạng. Do đó để công việc lập trình được đơn giản, ứng dụng phải tân dụng các thư viện lập trình mạng và ActiveX Control có sẵn trong các môi trường lập trình. Một phần cũng quan trọng không kém đó là ngôn ngữ được chọn là môi trường cài đặt phải quen thuộc, có thể dễ dàng nhanh chóng vận dụng để xây dựng ứng dụng.
Với các lý do trên, luận văn chọn MS Visual C++ làm môi trường phát triển cho ứng dụng.
• Yêu cầu hệ thống:
o Hệ điều hành:WinXp, WinNT, Win 2000, Win 9x với giao thức TCP/IP o Mạng: Kết nối Internet hoặc trình chủ Web tại máy cục bộ.
o Phần cứng: Ổ cứng còn trống 10 MB.
III.2. Phương pháp cài đặt
III.2.1. Sử dụng mô hình giao diện dạng Dialog
Do ứng dụng được xây dựng với tính đơn giản dễ sử dụng chỉ gồm một màn hình. Nên mô hình giao diện được chọn là Dialog.
III.2.2. Sử dụng ActiveX Control (Microsoft Web Browser)
Ứng dụng có sử dụng ActiveX Control (Microsoft Web Browser) của MS VC++
để cung cấp chức năng trình duyệt Web. Qua trình duyệt người sử dụng cung cấp
Chương 13: Chương trình Web Checker
III.2.3. Sử dụng giao diện lập trình Window Socket 2
Ứng dụng sử dụng giao diện lập trình Window Socket 2 để lập trình stream socket, kết nối đến trình chủ Web.
III.2.4. Một số lớp và hàm chínhđược càiđặt trong chương trình
• Lớp CCheckerDlg
class CCheckerDlg : public CDialog {
public:
void getTestFile();
void markChecked(CString &);
//Lấy dữ liệu mẫu kiểm //đánh dấu vi trí kiểm tra CString evaluateRslt(Result *); //phân tích kết quả
void scanWeb(); //Kiểm tra trang Web
CArray < Result *, Result *> m_result; //Mảng chứa kết quả CArray < Test *, Test *> m_Test; //Mảng chứa dữ liệu mẫu kiểm bool m_IsPost; CString m_sData; CString m_HTTPbody; CString m_HTTPreceive; CString m_HTTPsend; ... protected:
// Loại yêu cầu POST/GET //Dữ liệu trong Header yêu cầu //Phần thân của HTTP trả lời //Header trả lời
//Header yêu cầu
afx_msg void OnBeforeNavigate2Explorer(LPDISPATCH, VARIANT FAR*, VARIANT FAR*, VARIANT FAR*, VARIANT FAR*, VARIANT FAR*, BOOL FAR*);
private:
Chương 13: Chương trình Web Checker
void Browse(); void InsertHTML() };
//Gửi/nhận thông với trình chủ //Hiển thị thông tin trả lời thành Web
Kế thừa từ lớp CDialog, ngoài nhiệm vụ quản lý dialog, lớp còn có chức năng sau:
- Thực hiện các yêu cầu duyệt Web của người dùng thông qua phương thức Browse().
- Hiển thị dữ liệu của biến m_HTTPbody thành trang Web thông qua phương thức InsertHTML().
- Phương thức getTextFile() đọc dữ liệu mẫu kiểm từ tập tin ngay khi chạy chương trình và lưu trữ trong mảng m_Test.
- Phương thức scanWeb() là phương thức chính được gọi khi người sử dụng
chọn nút kiểm tra. Phương thức có chức gọi các hàm xử lý khác để kiểm tra trang Web, phân tích và đưa ra kết quả.
• Lớp Checker
class Checker {
public:
void inject(CString &, int, CString );
//Chèn dữ liệu mẫu kiểm vào CString getForumValue(int ,CString ,CString &,CString &,
CString &); //Lấy dữ liệu trong form
...
Cstring getLinkValue(int ,CString, CString &,CString &)
//Lấy dữ liệu trong liên kết Checker();
Chương 13: Chương trình Web Checker
};
Định nghĩa các phương thức:
- Lấy dữ liệu thực của các đối tượng cần kiểm như form/ liên kết trong trang
sau đó sẽ được chương trình lần lượt chèn các mẫu kiểm thông qua phương
thức inject(…) rồi gửi lên trình chủ.
- Chèn giá trị mẫu kiểm vào dữ liệu của form/ liên kết. • Lớp Request class Request { public: Request(); virtual ~Request(); private:
void ParseURL(LPCSTR url,LPSTR protocol,int lprotocol, LPSTR host,int lhost,LPSTR request,int lrequest,int *port);
//Phân rã chuỗi URL
int SendHTTP(LPCSTR url,LPCSTR headers,BYTE *post, DWORD postLength,HTTPRequest *req);
//Mở kết nối, gửi HTTP yêu cầu và nhân HTTP trả lời public:
void SendRequest(bool IsPost, LPCSTR url, CString
&psHeaderSend, CString &psHeaderReceive, CString &psMessage);
//Nếu yêu cầu là GET thì dùng cung cấp của ActiveX còn POST thì gọi hàmSend HTTP ...
};
Chương 13: Chương trình Web Checker
- Phương thức SendHTTP được gọi thông qua các phương thức SendRequest(…) và Browse(). Phương thức này có nhiệm vụ tạo kết nối đến trình chủ, gửi yêu cầu và nhận thông điệp trả lời từ trình chủ . Các thông diệp nhận về sẽ được cập nhật vào biến toàn cục chính là m_HTTPsend,m_HTTPreceive, m_HTTPbody. • Lớp Test class Test { public: Test(); virtual ~Test(); CString m_errType; CString m_errName; CString m_strInject; //Loại lỗ hổng //Tên lỗ hổng //Chuỗi ký tự chèn };
CArray <CString,CString> m_strRslt; //Các chuỗi kết quả
Định nghĩa kiểu dữ liệu mẫu kiểm. Dữ liệu sẽ được đọc từ tập tin test.txt. Định dạng của tập tin test.txt:
Chuỗi kí tự sẽ chèn vào
Các mẫu kết quả để phát hiện lỗi Số thứ tự lỗi
Tên lỗi
%27\1
...
incorrect syntax\1unclosed quotation mark\1 ... 1\2 ... SQL Injection ... Các kí tự “\1”, “\2” dùng để phân cách chuỗi. • Lớp Result
Chương 13: Chương trình Web Checker class Result { public: Result(); virtual ~Result(); CString m_object; int m_ind; CString m_properties;
//Đối tượng kiểm tra //vị trí trong trang Web //thuộc tính của đối tượng
};
CArray <CString,CString> m_err; //Mảng danh sách lỗi nếu có
Định nghĩa kiểu dữ liệu kết quả, có nhiệm vụ lưu trữ kết quả kiểm tra của trang Web và được kết xuất ra màn hình chương trình khi kiểm tra xong trang Web thông qua phương thức ShowResult().
Chương 13: Chương trình Web Checker
III.3. MÔ TẢ CHƯƠNG TRÌNH VÀ CÁCH SỬ DỤNG
III.3.1. Màn hình chương trình
Hình 13.III.3.1-1: Thành phần của màn hình chương trình
Màn hình ứng dụng gồm có ba phần chính:
• Ứng dụng web: như một trình dùng để mở trang web cần kiểm tra và hiển thị kết quả đánh dấu trực tiếp vào vị trí đã kiểm tra trong trang web có an toàn hay không an toàn.
Chương 13: Chương trình Web Checker
• Kết quả: Liệt kê kết quả sau kiểm tra gồm các vị trí đã kiểm tra an toàn hay không an toàn và những lỗ hổng mà vị trí đó mắc phải.
• Lời khuyên: Nếu phát hiện ra lỗi thì sẽ hiển thị cách phòng chống lỗi đó khi chọn tên lỗi bên phần kết quả.
III.3.2. Cách sử dụng
Người dùng gõ địa chỉ vào hoặc liên kết đến trang web cần kiểm tra. Sau đó chọn nút kiểm tra, chương trình sẽ hiển thị kết quả và lời khuyên cách phòng chống lỗ hổng bị mắc phải
Chương 13: Chương trình Web Checker
Chương trình sẽ đánh dấu trực tiếp vào trang Web vị trí được kiểm tra (màu xanh là an toàn, màu đỏ là không an toàn).
IV. Đánh giá chương trình
Những vấn đề đạt được và những vấn đề hạn chế của chương trình sau khi đã thử
nghiệm trên mạng ảo và trên Internet:
IV.1. Những vấn đề đạt được
• Thông phát hiện một số lỗi bảo mật như SQL Injection, Form Field
Manipulation, URL Manipulation của một Ứng dụng Web trên Interbet để
minh họa cho phần lý thuyết của các kỹ thuật đó.
• Thể hiện rõ ràng, trực quan kết quả các vị trí đã kiểm tra.
• Đưa ra các gợi ý về biện pháp phòng chống đối với lỗi bảo mật phát hiện
được.
Ví dụ 13.IV.1-1: Chương trình đã phát hiện được lỗi bảo mật về SQL Injection của ứng dụng Web (www.progenic.com). Cụ thể là các liên kết đến nội dung tin
tức không được kiểm tra dữ liệu nhập.
http://www.progenic.com/out/?id=5’ ...
IV.2. Những vấn đề hạn chế
• Do sử dụng cơ chế khá đơn giản là kiểm thử và đánh giá kết quả nhận được,
nên chương trình không thể phát hiện các lỗi bảo mật phức tạp. • Hiệu quả đạt được thấp đối với các ứng dụng có cách thiết kế lạ.
Chương 13: Chương trình Web Checker
Ví dụ 13.IV.2-1: Chương trình đã không phát hiện ra lỗi với ứng dụng Web
(www.thanglongmetalwares.com/sanpham.asp) mặc dù ứng dụng có lỗi bảo mật SQL Injection. Nguyên nhân thất bại là do ứng dụng lưu trữ câu truy vấn trong các đối tượng của form nên khi chương trình kiểm tra form sẽ làm thay đổi câu
truy vấn nên đã làm thay đổi hoạt động của ứng dụng Web.
<form method="post" action="Sanpham.asp" name="Sanpham">
<input type="hidden" name="strSQL" value="SELECT * FROM
Products Where Language = 1 ORDER BY Date DESC"> <input type="hidden" name="Page" value="1"> ...
Kết luận
Nội dung:
KẾT LUẬN