5. CHÈN MÃ LỆNH THỰC THI TRÊN TRÌNH DUYỆT NẠN NHÂN
5.1.Kỹ thuật tấn công cross site scripting (xss)
Phƣơng pháp Cross Site Scripting (đƣợc viết tắt là XSS) là phƣơng pháp tấn công bằng cách chèn thêm những đoạn mã có khả năng đánh cắp hay thiết lập đƣợc những thông tin quan trọng nhƣ cookies, mật khẩu,… vào mã nguồn ứng dụng web để từ đó chúng đƣợc chạy nhƣ là một phần của ứng dụng Web và có chức năng cung cấp hoặc thực hiện những những điều hacker muốn.
Phƣơng pháp này không nhằm vào máy chủ hệ thống mà chủ yếu tấn công trên chính máy ngƣời sử dụng. Hacker sẽ lợi dụng sự kiểm tra lỏng lẻo từ ứng dụng và hiểu biết hạn chế của ngƣời dùng cũng nhƣ biết đánh vào sự tò mò của họ dẫn đến ngƣời dùng bị mất thông tin một cách dễ dàng.
Thông thƣờng hacker lợi dụng địa chỉ URL để đƣa ra những liên kết là tác nhân kích hoạt những đoạn chƣơng trình đƣợc viết bằng ngôn ngữ máy khách nhƣ VBScript, JavaScript…đƣợc thực thi trên chính trình duyệt của nạn nhân. Ví dụ:
http://hotwired.lycos.com/webmonkey/00/index1.html?tw=<script>alert (document.cookie);</script>
http://www.oracle.co.jp/mts_sem_owa/MTS_SEM/im_search_exe?search_t
Phần in đậm là đoạn mã đƣợc thêm vào với mục đích đánh cắp cookies của nạn nhân. Trong ví dụ trên, hầu hết những tiền tố URL là địa chỉ của những ứng dụng Web có thật (VD: http://hotwired.lycos.com/webmonkey, http://www.oracle.co.jp/mts_sem_owa/MTS_SEM/...) lợi dụng cách truyền tham số trên URL mà hacker có thể dễ dàng thêm vào đoạn mã đánh cắp cookie.
Ví dụ trên chỉ minh họa một cách đơn giản là thêm đoạn mã của mình vào trang Web thông qua URL. Nhƣng thực sự thì có rất nhiều cách để thêm đoạn mã JavaScript với mục đích tấn công kiểu XSS. Hacker có thể dễ dàng lợi dụng Document Object Model (DOM) để thay đổi ngữ cảnh và nội dung Web ứng dụng. Sau đây là danh sách nơi có thể chèn đoạn mã:
Phần in đậm là phần có thể đặt đoạn mã đánh cắp thông tin.