a) Giới thiệu công cụ
Acunetix là đã đi tiên phong trong lĩnh vực quét bảo mật các ứng dụng web: Các kỹ sƣ đã tập trung vào bảo mật web vào đầu năm 1997 và đƣợc phát triển bởi một đội ngũ kỹ sƣ hàng đầu trong phân tích trang web và phát hiện lỗ hổng. Acunetix WVS kiểm tra tất cả các lỗ hổng web bao gồm cả SQL Injection, Cross Site Scripting và nhiều lỗ hổng khác.
Ngoài ra, Acunetix Web Vulnerability Scanner còn có thể chạy quét một cổng chỉ định trên máy chủ web mà các trang web đƣợc lƣu trữ và tự động xác định các dịch vụ mạng đang chạy trên một cổng mở, tung ra một loạt các bài kiểm tra an ninh mạng so với dịch vụ mạng
b) Cách thức hoạt động của Acunetix WVS
- Module Crawler phân tích toàn bộ trang web bằng cách làm theo tất cả các liên kết trên trang web trong file robots.txt và sitemap.xml (nếu có). Sau đó, WVS sau đó sẽ vạch ra cấu trúc trang web và hiển thị thông tin chi tiết về mỗi tập tin. Nếu Acunetix AcuSensor Technology đƣợc kích hoạt, các bộ cảm biến sẽ lấy một danh sách của tất cả các file có trong thƣ mục ứng dụng web và thêm các file không đƣợc tìm thấy bởi trình thu thập thông tin (Crawler)với Crawler output. Các tập tin nhƣ vậy thƣờng không đƣợc phát hiện bởi các Crawler vì chúng không thể truy cập đƣợc từ các máy chủ web, hoặc không đƣợc liên kết thông
52
qua trang web. Bộ cảm ứng cũng sẽ phân tích các file ứng dụng, chẳng hạn nhƣ file web.config
- Sau quá trình thu thập thông tin, WVS tự động hiển thị một loạt các lỗ hổng có thể tấn công trên mỗi trang đƣợc tìm thấy, với vai trò của một hacker. Ngoài ra, WVS phân tích từng trang cho phép nhập dữ liệu, và sau đó cố gắng kết hợp tất cả các kết hợp đầu vào khác nhau. Đây là Automatic Scan Stage. Nếu Technology AcuSensor đƣợc kích hoạt, một loạt lỗ hổng chống lại các trang web sẽ đƣợc kiểm tra và hiển thị.
- Trong quá trình quét, một cổng scan cũng đƣợc đƣa ra đối với máy chủ web lƣu trữ các trang web. Nếu một cổng mở ra đƣợc tìm thấy, Acunetix WVS sẽ thực hiện một loạt các kiểm tra an ninh mạng chống lại các dịch vụ mạng đang chạy trên cổng đó.
- Khi các lỗ hổng đƣợc tìm thấy, Acunetix WVS báo cáo về lỗ hổng này. Mỗi thông báo chứa thông tin về lỗ hổng nhƣ tên biến POST, mức độ ảnh hƣởng, phản ứng http của các máy chủ và nhiều hơn nữa. Nếu Công nghệ AcuSensor đƣợc sử dụng, các chi tiết nhƣ dòng mã nguồn, ngăn xếp, truy vấn SQL dẫn đến lỗ hổng đƣợc liệt kê. Lời khuyên về làm thế nào để sửa chữa lỗ hổng cũng sẽ đƣợc hiển thị.
Acusensor Technology
Công nghệ AcuSensor là một công nghệ độc đáo cho phép bạn xác định các lỗ hổng nhiều hơn một hộp máy quét an ninh web đen truyền thống, và đƣợc thiết kế để giảm lỗ hổng không đúng. Ngoài ra, nó cũng chỉ ra nơi mã nguồn dễ bị tổn thƣơng đã đƣợc tìm thấy. Điều này làm tăng độ chính xác có thể đạt đƣợc bằng cách kết hợp kỹ thuật quét hộp đen với phân tích mã nguồn mở khi mã nguồn đƣợc thực thi. Đây là một công nghệ độc đáo của Acunetix cho .NET Và các ứng dụng PHP, có quyền truy cập trực tiếp đến các tập tin web, đảm bảo thu thập dữ liệu toàn diện của trang web. Sử dụng công nghệ này đảm bảo phát hiện tất cả các yếu tố đầu vào và có thể làm giảm đáng kể báo cáo sai, bởi vì chúng có thể hiểu đƣợc hành vi của ứng dụng web tốt hơn . IBM Glass Box (đối thủ cạnh tranh của Acusensor Technology ) chỉ hỗ trợ JAVA trong khi AcuSensor hỗ trợ PHP và NET.
Công cụ kiểm tra sự thâm nhập
Acunetix còn chứa các công cụ cao cấp cho phép ngƣời kiểm tra sự thâm nhập để điều chỉnh các ứng dụng web:
- HTTP Editor - Dựng các yêu cầu HTTP/HTTPS và phân tích phản ứng của Web Server.
- HTTP Sniffer - Chặn, ghi lại hoặc sửa đội toàn bộ dữ liệu trao đổi và truyền qua ứng dụng web.
- HTTP Fuzzer - Tiến hành các bƣớc kiểm tra tinh vi, phức tạp để kiểm tra các ứng dụng đầu vào của web và xử lý các dữ liệu ngẫu nhiên không hợp lệ. Dễ dàng
53
kiểm tra hàng ngàn tham số đầu vào để sử dụng HTTP Fuzzer. Nếu thực hiện bằng phƣơng pháp thủ công thì việc kiểm tra này có thể mất nhiều ngày nhƣng với Acunetix chỉ mất vài phút.
- Dựng lại các điểm dễ bị tấn công trên web của bạn với Công cụ WVS Scripting. Trên website của Acunetix có sẵn tài liệu về Scripting SDK.
- Blind SQL Injector - Là một công cụ khai thác cơ sở dữ liệu tự động. Công cụ này lý tƣởng cho những ngƣời kiểm soát sự thâm nhập, những ngƣời mong muốn việc kiểm tra tiến hành nhanh hơn các phƣơng pháp thủ công.
Acunetix có thể hổ trợ bạn:
-Tìm kiếm lỗi của một website: SQL Injection, XSS… -Tìm kiếm cấu trúc của một website.
-Tìm kiếm lỗi của server chứa website và các thông tin liên quan đến server của website.
-Báo cáo cũng nhƣ gợi ý chỉnh sửa các lỗi của website. Lƣu các kết quả báo cáo cho việc fix lỗi sau này.
-Lập lịch tiến hành scan lỗi cho website.
-Cùng nhiều công cụ hổ trợ fix lỗi website khác.
Những lỗi mà Acunetix có thể phát hiện đƣợc:
-Version Check
Vulnerable Web Servers
Vulnerable Web Server Technologies – such as “PHP 4.3.0 file disclosure and possible code execution.
-CGI Tester
Checks for Web Servers Problems – Determines if dangerous HTTP methods are enabled on the web server (e.g. PUT, TRACE, DELETE) Verify Web Server Technologies
-Parameter Manipulation
Cross-Site Scripting (XSS) – over 40 different XSS variations are tested SQL Injection
Code Execution(Unix and Windows) Directory Traversal (Unix and Windows) File Inclusion
Script Source Code Disclosure CRLF Injection
Cross Frame Scripting (XFS) PHP Code Injection
54 XPath Injection
Full Path Disclosure LDAP Injection Cookie Manipulation
Arbitrary File creation (AcuSensor Technology) Arbitrary File deletion (AcuSensor Technology) Email Injection (AcuSensor Technology) File Tampering (AcuSensor Technology) URL redirection
Remote XSL inclusion
-MultiRequest Parameter Manipulation -Blind SQL/XPath Injection
-File Checks
Checks for Backup Files or Directories – Looks for common files (such as logs, application traces, CVS web repositories)
Cross Site Scripting in URI Checks for Script Errors -File Uploads
Unrestricted File uploads Checks -Directory Checks
Looks for Common Files (such as logs, traces, CVS) Discover Sensitive Files/Directories
Discovers Directories with Weak Permissions
Cross Site Scripting in Path and PHPSESSID Session Fixation. Web Applications
HTTP Verb Tampering -Text Search
Directory Listings Source Code Disclosure Check for Common Files Check for Email Addresses
Microsoft Office Possible Sensitive Information Local Path Disclosure
55
Trojan shell scripts (such as popular PHP shell scripts like r57shell, c99shell etc)
-Weak Passwords
Weak HTTP Passwords -GHDB Google Hacking Database
Over 1200 GHDB Search Entries in the Database -Port Scanner and Network Alerts
Port scans the web server and obtains a list of open ports with banners
Performs complex network level vulnerability checks on open ports such as:
DNS Server vulnerabilities (Open zone transfer, Open recursion, cache poisoning)
FTP server checks (list of writable FTP directories, weak FTP passwords, anonymous access allowed)
Security and configuration checks for badly configured proxy servers Checks for weak SNMP community strings and weak SSL cyphers and
many other network level vulnerability checks
Other vulnerability tests may also be preformed using the manual tools provided, including:
Input Validation Authentication attacks Buffer overflows Blind SQL injection Sub domain scanning
Ƣu điểm
- Hỗ trợ CAPTCHA, Single Sign-On và Cơ chế xác thực hai lần.
- Nhận biết các ứng dụng web phổ biến (ví dụ: Diễn đàn, giỏ hàng...) và nhận biết các phiên bản dễ bị tấn công.
- Phát hiện ra các danh mục quyền dễ bị tấn công nếu các phƣơng thức HTTP đƣợc kích hoạt.
- Tạo ra một danh sách các phản hồi bất thƣờng của HTTP nhƣ lỗi server nội bộ, HTTP 500, v.v...
- Tùy chỉnh danh sách xác thực giả.
- Các Scanning profiles giúp dễ dàng quét các Website với các tùy chọn scan và các điểm nhận dạng.
56
- So sánh các bản quét và chỉ ra điểm khác biệt với lần quét trƣớc.
- Dễ dàng biên tập lại các thay đổi của website với việc quét lại theo chức năng.
- Hỗ trợ các ứng dụng nâng cấp của web 2.0; xử lý và phân tích JSON và XML
- Có khả năng quét lại lỗ hổng xác định để xác định các phƣơng pháp xử lý.
- Cho phép thiết lập các xác thực thông qua HTTP. Hỗ trợ xác thực thông tin HTTP đa diện.
- Hỗ trợ hàng loạt các loại nội dung.
- Xử lý nhanh và tốt hơn lƣu lƣợng truy cập mạng; hỗ trợ bộ nhớ DNS, keep-alive v.v...
- Kỹ thuật thẩm định an ninh máy chủ Web mới thêm vào và cả những bản cũ đƣợc nâng cấp.
- Kiểm tra an ninh upload file đƣợc cải thiện rõ rệt.
- Hỗ trợ đa dạng các cơ chế giao tiếp.
- „Acunetix Scripting tool‟ mới để hỗ trợ tạo kịch bản kiểm tra các lỗ hổng mới.
- Có khả năng tự động đƣa ra dữ liệu chuẩn có liên quan tới các mẫu nhập tin của trang web.
c) Kỹ thuật sử dụng
Cũng giống nhƣ Bkav scan, Acuntix cũng đƣợc xây dựng dựa trên kỹ thuật phân tích tĩnh và dựa trên tiếp cận theo hƣớng phỏng đoán.
d) Thuật toán sử dụng
Acunetix cũng phát hiện lỗ hổng dựa trên fuzzing .