3.4 Các kiểu tấn công ứng dụng web phổ biến
3.4.9 Using Known Vulnerable Components
a. Mơ tả
Các phần mềm ứng dụng có khả năng bị lỗi được sử dụng và biết đến rộng rãi trên Internet. Nếu hacker biết được bạn đang dùng chúng thì họ sẽ tìm cách khai thác các lỗ hổng từ các phần mềm mà bạn đang dùng.
b. Ví dụ trường hợp có thể tấn cơng
Bằng cách nào đó, hacker biết được trang web của bạn đang dùng Apache web server phiên bản 1.3.22 cho win32. Phiên bản này đã bị phát hiện rất nhiều lỗ hổng nguy hiểm, cho phép hacker có thể truy cập từ xa và thực hiện bất kỳ lệnh nào lên server. Trên windows, web server chạy với quyền hạn như các dịch vụ của system, do đó hacker có thể làm bất kỳ điều gì họ muốn lên server của nạn nhân.
c. Cách phát hiện
Về lý thuyết, có thể dễ dàng tìm ra được các thành phần hoặc thư viện có khả năng chứa các lỗi vì chính bạn là người cài đặt chúng. Tuy nhiên, thông thường các thông tin mà nhà sản xuất các phiên bản thương mại hoặc miễn phí này khơng cung cấp đúng thơng tin về các lỗ hổng bảo mật trong sản phẩm của mình.
d. Biện pháp phịng chống
Việc đầu tiên cần làm là ẩn giấu thơng tin của các thành phần đã sử dụng, không cho người khác biết các thông tin này. Tiếp theo
- Biết rõ ứng dụng mà bạn sử dụng để giảm thiểu các lỗ hồng từ các tành phần, bạn nên biết chính xác các thành phần mà bạn sử dụng cho ứng dụng của mình.
- Biết rõ các lỗ hổng bảo mật phải tìm hiểu các lỗ hổng có khả năng xảy ra đối với hệ thống, cho dù nó có đang xảy ra hoặc không.
- Chạy các ứng dụng đánh giá độ bảo mật cho ứng dụng trên hệ thôngs. - Huấn luyện cho các lập trình viên về các lỗ hổng bảo mật và các kiểu khai thác, để từ đó họ có khả năng ngăn ngừa chúng trong lúc hiện thực ứng dụng.