Dựa vào những phƣơng thức trên, những kẽ lừa đảo bắt đầu tiến hành quá trình lừa đảo.
Căn cứ theo cách thức hoạt động, ngƣời ta phân loại những cuộc tấn cơng lừa đảo ra thành các loại sau.
Main-in-the-Middle Attacks: Ở kỹ thuật này, máy tính của attacker đƣợc xem nhƣ là máy tính trung gian giữa máy tính của ngƣời dùng và website thật. Attacker dựng lên một máy tính trung gian để nhận dữ liệu của ngƣời dùng và chuyển nĩ cho website thật. Hoặc nhận dữ liệu của website thật rồi chuyển cho ngƣời dùng. Dữ liệu khi chuyển qua lại sẽ đƣợc lƣu trữ lại tại máy tính của attecker. Thoạt nghe mơ tả này chúng ta nghỉ ngay đến chức năng của Proxy Server. Đúng vậy, do đĩ proxy chính là những nơi khơng tin cậy cho lắm khi chúng ta truy cập web thơng qua nĩ.
Những kẽ tấn cơng sẽ dựng lên một Proxy Server với lời mời gọi sử dụng đƣợc tung ra internet. Vì lý do gì đĩ (để giả ip trong mua bán hàng qua mạng) ngƣời dùng sẽ tìm đến proxy server này để nhờ giúp đỡ trong việc truy cập web. Và thế là vơ tình ngƣời trở thành con mồi cho bọn hacker. Những kẻ tấn cơng ngồi việc dựng lên proxy server rồi dụ con mồi đến cịn nghĩ đến việc tấn cơng vào các proxy server này để lấy dữ liệu. Bằng những kỹ thuật tấn cơng nào khác, hacker xâm nhập hệ thống lƣu trữ của proxy để lấy dữ liệu, phân tích và cĩ đƣợc những thứ mà họ cần.
Một cách khác để tấn cơng trong kỹ thuật này, là tìm cách làm lệch đƣờng đi của gĩi dữ liệu. Thay vì phải chuyển gĩi tin đến cho web server, thì đằng này là chuyển đến máy tính của hacker trƣớc, rồi sau đĩ máy tính của hacker sẽ thực hiện cơng việc chuyển gĩi tin đi tiếp. Để làm điều này, hacker cĩ thể sử dụng kỹ thuật DNS Cache Poisoning – là kỹ thuật làm lệch đƣờng đi của gĩi dữ liệu bằng cách làm sai kết quả phân giải địa chỉ của DNS.
Một điểm cần lƣu ý rằng, kỹ thuật tấn cơng này khơng phân biệt giao thức web là HTTP hay HTTPS.
Url Obfuscation Attacks: Làm giả URL là kỹ thuật tiếp theo mà chúng ta sẽ bàn đến. Trong kỹ thuật, attacker sẽ làm giả URL của một trang web đƣợc nhiều ngƣời truy cập. Bằng cách nào đĩ, URL này đƣợc gửi đến cho ngƣời dùng, vì thiếu tính cẩn thận nên ngƣời dùng đã truy cập vào web này. Ví dụ nhƣ thay vì truy cập http://www.amazone.com thì lại truy cập vào
website http://www.amazione.com.
Kỹ thuật của việc làm thay đổi một chút xíu về URL nhƣ thế đƣợc gọi là “dotless ip addresses”, Mọi ngƣời nghĩ rằng việc này đơn giản, tuy nhiên nĩ cũng khơng dễ chút nào. Chúng ta cĩ thể tìm hiểu về kỹ thuật này tại địa chỉ http://morph3us.org/blog/index.php?/...fuscation.html
Cross-Site Scripting Attacks: Cross-Site Scripting (XSS) là một trong những kỹ thuật tấn cơng phổ biến nhất hiện nay, đồng thời nĩ cũng là một trong những vấn đề bảo mật quan trọng đối với các nhà phát triển web và cả những ngƣời sử dụng web. Bất kì một website nào cho phép ngƣời sử dụng đăng thơng tin mà khơng cĩ sự kiểm tra chặt chẽ các đoạn mã nguy hiểm thì đều cĩ thể tiềm ẩn các lỗi XSS.
Cross-Site Scripting hay cịn đƣợc gọi tắt là XSS (thay vì gọi tắt là CSS để tránh nhầm lẫn với CSS-Cascading Style Sheet của HTML) là một kĩ thuật tấn cơng bằng cách chèn vào các website động (ASP, PHP, CGI, JSP ...) những thẻ HTML hay những đoạn mã script nguy hiểm cĩ thể gây nguy hại cho những ngƣời sử dụng khác. Trong đĩ, những đoạn mã nguy hiểm đựơc chèn vào hầu hết đƣợc viết bằng các Client-Site Script nhƣ JavaScript, JScript, DHTML và cũng cĩ thể là cả các thẻ HTML. Kĩ thuật tấn cơng XSS đã nhanh chĩng trở thành một trong những lỗi phổ biến nhất của Web Applications và mối đe doạ của chúng đối với ngƣời sử dụng ngày càng lớn.
Cơ bản XSS cũng nhƣ SQL Injection hay Source Injection, nĩ cũng là các yêu cầu (request) đƣợc gửi từ các máy client tới server nhằm chèn vào đĩ các thơng tin vƣợt quá tầm kiểm sốt của server. Nĩ cĩ thể là một request đƣợc gửi từ các form dữ liệu hoặc cũng cĩ thể đĩ chỉ là các URL nhƣ là:Mã: http://www.example.com/search.cgi?query=<script>alert('XSSwasfoun!'); </script>. Và rất cĩ thể trình duyệt của bạn sẽ hiện lên một thơng báo "XSS was found !". Các đoạn mã trong thẻ script khơng hề bị giới hạn bởi chúng hồn tồn cĩ thể thay thế bằng một file nguồn trên một server khác thơng qua thuộc tính src của thẻ script. Cũng chính vì lẽ đĩ mà chúng ta chƣa thể lƣờng hết đƣợc độ nguy hiểm của các lỗi XSS. Nhƣng nếu nhƣ các kĩ thuật tấn cơng khác cĩ thể làm thay đổi đƣợc dữ liệu nguồn của web server (mã nguồn, cấu
trúc, cơ sở dữ liệu) thì XSS chỉ gây tổn hại đối với website ở phía client mà nạn nhân trực tiếp là những ngƣời khách duyệt site đĩ. Tất nhiên đơi khi các hacker cũng sử dụng kĩ thuật này để deface các website nhƣng đĩ vẫn chỉ tấn cơng vào bề mặt của website. Thật vậy, XSS là những Client-Side Script, những đoạn mã này sẽ chỉ chạy bởi trình duyệt phía client do đĩ XSS khơng làm ảnh hƣởng đến hệ thống website nằm trên server. Mục tiêu tấn cơng của XSS khơng ai khác chính là những ngƣời sử dụng khác của website, khi họ vơ tình vào các trang cĩ chứa các đoạn mã nguy hiểm do các hacker để lại họ cĩ thể bị chuyển tới các website khác, đặt lại homepage, hay nặng hơn là mất mật khẩu, mất cookie thậm chí máy tính bạn cĩ thể sẽ bị cài các loại virus, backdoor, worm …
Hidden Attacks: Attacker sử dụng các ngơn ngữ lập trình HTML, DHTML, hoặc ngơn ngữ dạng script khác để chèn vào trình duyệt của ngƣời dùng. Hoặc sử dụng các ký tự đặc biệt để đánh lừa ngƣời dùng.
Những phƣơng thức thƣờng đƣợc attacker sử dụng là làm ẩn các frame. Các Frame sẽ đƣợc attacker làm ẩn đi trên trình duyệt của ngƣời dùng, qua đĩ attacker cĩ thể chèn vào những đoạn mã đọc. Một cách khác để tấn cơng là ghi đè nội dung trang web hoặc thay đổi hình ảnh trên trang web. Qua những nội dung bị thay đổi này, attaker sẽ chèn những đoạn mã độc hại vào đĩ.