Hacking Web Application Trường Cao Đẳng CNTT Hữu Nghị Việt Hàn Khoa Khoa Học Máy Tính GHVD: Ths. Lê Tự Thanh Học Phần: An Ninh Mạng Lớp: CCMM03A Nhóm: 4 Thực hiện: Đặng Hữu Quốc Nhân www.viethanit.edu.vn Chính Sách Bảo Mật Mới Google chi nhiều tiền cho các lỗi ứng dụng web của mình. • Google đã tung ra một chương trình táo bạo, chương trình thử nghiệm tìm ra các lỗ hỏng nghiêm trọng, những người nghiên cứu tìm ra lỗ hỏng sẽ được google trả tiền ngày hôm đó, trong các ứng dụng web của mình như là google.com, bogger.com, orkut.com và youtube.com. • Chương trình mới của google khuyến khích những người nghiên cứu tìm hiểu sâu về lỗ hổng bảo mật trong dịch vụ web của mình và trả tiền bất cứ nơi nào từ $500 đến $3,133.70 cho một lỗ hổng nghiêm trọng hoặc "thông minh", dễ bị tấn công. • Google là công ty lớn đầu tiên mời gọi các cuộc tấn công trực tiếp chống lại các ứng dụng trực tuyến, ông HD Moore, tác giả của Metasploit và là giám đốc an ninh tại Rapid7. Trong khi các nhà nghiên cứu bảo mật đã dành nhiều năm thử nghiệm các ứng dụng phần mềm và báo cáo những phát hiện, những quyết định cách tiếp cận trực tuyến này đã phải đối mặt với những thách thức pháp lý và hy vọng sẽ khuyến khích các nhà cung cấp các dịch vụ khác để có một cách tiếp cận tương đương. Trang 2 www.viethanit.edu.vn Các Mục Tiêu • Giới thiệu ứng dụng web • Các thành phần ứng dụng web • Hoạt động ứng dụng web như thế nào ? • Kiến trúc ứng dụng web • Dữ liệu đưa vào không hợp lệ • Tham số/ hình thức giả mạo • Các lỗ hổng dễ bị xâm nhập • Tấn công biến ẩn trong form • Tấn công Cross site scripting Trang 3 • Tấn công dịch vụ web • Phương pháp tấn công • Bộ công cụ tấn công ứng dụng web • Làm thế nào bảo vệ chống lại các cuộc tấn công ứng dụng web ? • Bộ công cụ bảo mật ứng dụng web • Ứng dụng web với tường lửa • Kiểm thử ứng dụng web www.viethanit.edu.vn Nội Dung Chính Trang 4 Kiểm thử ứng dụng WEB Khái niệm về ứng dụng WEB Mối đe dọa ứng dụng WEB Bộ công cụ bảo mật Các biện pháp đối phó Các phương pháp tấn công Bộ công cụ tấn công ứng dụng WEB www.viethanit.edu.vn Thống Kê Bảo Mật Ứng Dụng Web Trang 5 Lỗ hổng của các ứng dụng web 0% 20% 40% 60% 80% 100% 37% 23.6% 23% 19% Cross-Site Scripting 80% 62% 60% SQL Injection Parameter Tampering Cookie Poisoning Database Server Web Server Buffer Overflow www.viethanit.edu.vn Giới Thiệu Về Ứng Dụng WEB • Các ứng dụng web cung cấp một giao diện giữa người dùng đầu cuối và máy chủ web thông qua một trang web được tạo ra ở máy chủ web hoặc chứa các mã kịch bản tự động trong trình duyệt của người dùng. • Các tổ chức dựa trên các ứng dụng web và công nghệ web 2.0 để hỗ trợ việc kinh doanh và cải thiện hiệu suất công việc. • Mặc dù các ứng dụng web thực thi các chính sách bảo mật nhất định nhưng dễ bị ảnh hướng bởi các cuộc tấn công khác nhau như: SQL injection, cross-site scripting, session hijacking,… • Công nghệ web mới như là web 2.0 cung cấp, cho phép khai thác nhiều ứng dụng web hơn và các tấn công cũng đa dạng hơn. Trang 6 www.viethanit.edu.vn Các Thành Phần Ứng Dụng WEB Trang 7 www.viethanit.edu.vn Cơ chế theo dõi phiên làm việc Lưu trữ dữ liệu Máy chủ web Truy xuất dữ liệu Nội dung ứng dụng Quyền của người sử dụng Đăng nhập Vai trò của hệ thống bảo mật Chương trình ứng dụng Đăng xuất Hoạt Động Ứng Dụng WEB ? Trang 8 www.viethanit.edu.vn Kiến Trúc Ứng Dụng WEB Trang 9 www.viethanit.edu.vn Ứng Dụng WEB 2.0 Trang 10 www.viethanit.edu.vn Blogs Công nghệ mới như AJAX(gmail, youtube) Ứng dụng điện thoại di động (Iphone) Giao diện WEB phong phú Framework (Library, jQuery) Điện toán đám mây trang WEB như (amazon.com) Bách khoa toàn thư và từ điển Phần mềm văn phòng trực tuyến (Google Docs and Microsoft light) Dễ dàng tạo, sử đổi, xóa dữ liệu bởi người dùng cá nhân Nâng cao chơi games Hỗ trợ WEB động Dịch vụ cung cấp thông tin Trang WEB mạng xã hội (Facebook, Zing,…) Mash-up (electronic payment systems) Tương tác với ứng dụng khác Nền tảng Google và các dịch vụ miễn phí (Google maps) [...]... server misconfiguration, Web service routing Issues, and cross-site scripting Không có phương pháp bảo vệ nào là hoàn toàn chống lại các cuộc tấn công, khi bị tấn công thì tiếp tục thay đổi và phát triển với sự tiến hóa của công nghệ www.viethanit.edu.vn Trang 12 Nội Dung Chính Kiểm thử ứng dụng WEB Bộ công cụ bảo mật Các biện pháp đối phó Khái niệm về ứng dụng WEB Mối đe dọa ứng dụng WEB Các phương pháp... nhập một chuỗi để được truy cập vào Shell của máy chủ web Chức năng Shell bao gồm: system(), StartProcess(), java.IangRuntimexec(), System.Diagnostics.Process.Start(), API Kiểu tấn công này hầu như thay đổi nội dung trang web Attacker thêm nội dung HTML vào các ứng dụng web dễ bị tấn công Trong kiểu tấn công nhúng HTML, nghĩa là nhúng kịch bản web vào trong HTML mà không được kiểm tra mã HMTL và kịch... cầu trang web Trang web chứa kịch bản độc hại Thực thi Gởi yêu cầu trái phép www.viethanit.edu.vn Trang 33 Tấn Công Trong XSS Trong Bài Viết Blog Vào Web TechPost Mã độc hại Attacker thêm vào kịch bản độc hại trong phần bình luận của bài viết blog Phần bình luận chứa kịch bản độc hại được lưu trữ trên máy chủ www.viethanit.edu.vn Thêm vào các bài đăng trong blog Người dùng chuyển hướng đến một web site... dịch vụ web phá vỡ Lỗi cấu lệ Các cuộc tấn Giả mạo hình bảo Tấn công ngưng công truy thành viên mật phiên làm việc cập mạng www.viethanit.edu.vn Không giới hạn truy cập URL Tập tin thực thi độc hại Bảng 2 Trang 15 Dữ Liệu Nhập Vào Không Hợp Lệ Dữ liệu không hợp lệ có nhiều sai sót được đưa đến các ứng dụng web, mà dữ liệu nhập từ các máy khách không được hợp lệ trước khi xử lý bởi ứng dụng web và máy... Site Cripting, Buffer Overflow,… Kết quả đó là dữ liệu bị lấy cắp và hệ thống hoạt động sai lệch Dữ liệu đầu vào không được xác định bởi ứng dụng WEB Trình duyệt gởi yêu cầu www.viethanit.edu.vn Sửa đổi truy vấn Trang 16 Tham Số/Giả Mạo Biểu Mẫu • • Một trang WEB tấn công với các thông số giả mạo liên quan đến các thao tác của các tham số trao đổi giữa máy chủ và máy khách để sửa đổi dữ liệu ứng dụng...Các Đối Tượng Dễ Bị Tấn Công Các ứng dụng WEB Thành phần bên thứ ba Cơ sở dữ liệu Máy chủ WEB Hệ điều hành HT mạng Bảo mật www.viethanit.edu.vn Lỗ hổng trong kinh doanh-logic Nguồn mở/thương mại Oracle/MySQL/MS SQL Apache/Microsoft IIS Windows/Linux Router/Switch IPS/IDS Trang 11 Các Hướng Tấn Công WEB 1 2 3 Một hướng tấn công là một con đường hoặc là phương tiện mà kẻ... xa Trang 28 Tấn Công XSS Như Thế Nào ? Ví dụ này sử dụng trang web có lỗ hổng XSS www.viethanit.edu.vn Trang 29 Kịch Bản Tấn Công XSS Thông Qua Email Gửi email với link chứa mã độc Mã độc được thực thi trên trình duyệt client của người dùng Người dùng click vào link chứa mã độc Yêu cầu là nhận được bởi máy Máy chủ chủ hợp gửi trang pháp web chứa thông tin người dùng • Trong ví dụ này, Attacker lừa đảo... Email Trình duyệt của người dùng Kịch bản chứa mã độc Máy chủ của Attacker Máy chủ tin cậy Xây dựng link chứa mã độc hại Gởi Email cho người dùng và thuyết phục click vào nó Gởi trang yêu cầu Trang chứa kịch bản dính mã độc Thực thi www.viethanit.edu.vn Trang 31 Ví Dụ XSS: Đánh Cắp Cookie Người Dùng Trình duyệt của người dùng Kịch bản chứa mã độc Máy chủ của Attacker Máy chủ tin cậy Máy chủ chứa trang web. .. Chính Kiểm thử ứng dụng WEB Bộ công cụ bảo mật Các biện pháp đối phó Khái niệm về ứng dụng WEB Mối đe dọa ứng dụng WEB Các phương pháp tấn công Bộ công cụ tấn công ứng dụng WEB www.viethanit.edu.vn Trang 13 Các Mối Đe Dọa Ứng Dụng WEB Bẻ khóa tài khoản quản lý Thông tin bị rò rỉ Tập tin chứa thông tin người dùng nhiễm độc Lưu trữ không bảo mật Thông số/hình thức giả mạo Việc sử lý lỗi không đúng cách... kỳ cấp độ nào của một chồng ứng dụng bao gồm cả nền tảng, máy chủ web, máy chủ ứng dụng, framework và mã tùy chỉnh Ví dụ • Tài khoản mặc định không được thay đổi • Kẻ tấn công phát hiện ra trang quản trị trên máy chủ, đăng nhập với tài khoản mặc định và có được quyền Trang 19 Injection Flaws 1 2 3 Injection Flaws là lỗ hổng ứng dụng web cho phép dữ liệu không tin cậy được phiên dịch và thực hiện như . Sách Bảo Mật Mới Google chi nhiều tiền cho các lỗi ứng dụng web của mình. • Google đã tung ra một chương trình táo bạo, chương trình thử nghiệm tìm ra các lỗ hỏng nghiêm trọng, những người. dịch vụ web • Phương pháp tấn công • Bộ công cụ tấn công ứng dụng web • Làm thế nào bảo vệ chống lại các cuộc tấn công ứng dụng web ? • Bộ công cụ bảo mật ứng dụng web • Ứng dụng web với. Server Web Server Buffer Overflow www.viethanit.edu.vn Giới Thiệu Về Ứng Dụng WEB • Các ứng dụng web cung cấp một giao diện giữa người dùng đầu cuối và máy chủ web thông qua một trang web được