luận văn tấn công và phòng chống tấn công mạng lan

TRƯỜNG ĐẠI HỌC SÀI GÒN
KHOA CÔNG NGHỆ THÔNG TIN




TẤN CÔNG
VÀ PHÒNG CHỐNG
TẤN CÔNG MẠNG LAN



SVTH : Ngô Văn Chơn
Hà Minh Thắng
Phan Thị Liêm
Bùi Quốc Thái





GVHD: ThS. Lê Ngọc Kim Khánh

TP.Hồ Chí Minh, ngày 25 tháng 4 năm 2012

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 1

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 2

Nhận xét của giảng viên:
………………………………………………………………………………………………
………… …………………………………………………………………………………
……………………… ……………………………………………………………………
…………………………………… ………………………………………………………
………………………………………………… …………………………………………
……………………………………………………………… ……………………………
…………………………………………………………………………… ………………
………………………………………………………………………………………… …
………………………………………………………………………………………………
……… ……………………………………………………………………………………
…………………… ………………………………………………………………………
………………………………… …………………………………………………………
……………………………………………… ……………………………………………
…………………………………………………………… ………………………………
………………………………………………………………………… …………………
……………………………………………………………………………………… ……
………………………………………………………………………………………………
…… ………………………………………………………………………………………
………………… …………………………………………………………………………
……………………………… ……………………………………………………………
…………………………………………… ………………………………………………
………………………………………………………… …………………………………
……………………………………………………………………… ……………………
…………………………………………………………………………………… ………
………………………………………………………………………………………………

… …………………………………………………………………………………………
……………… ……………………………………………………………………………
…………………………… ………………………………………………………………
………………………………………… …………………………………………………
……………………………………………………… ……………………………………
…………………………………………………………………… ………………………
………………………………………………………………………………… …………
……………………………………………………………………………………………….
………………………………………………………………………………………………
………… …………………………………………………………………………………
……………………… ……………………………………………………………………
…………………………………… ………………………………………………………
………………………………………………… …………………………………………
……………………………………………………………… ……………………………
…………………………………………………………………………… ………………
………………………………………………………………………………………… …
………………………………………………………………………………………………
……… ……………………………………………………………………………………
…………………… ………………………………………………………………………
………………………………… …………………………………………………………
……………………………………………… ……………………………………………
…………………………………………………………… ………………………………
………………………………………………………………………… …………………
……………………………………………………………………………………… ……

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 3

MỤC LỤC

Phần 1: Tổng quan về mạng máy tính 4
1. Local Area Network - LAN (Mạng cục bộ) 4
2. Phạm vi ứng dụng của mạng LAN 4
Phần 2: Tấn công và các biện pháp phòng 5
1. Kĩ thuật tấn công Man In The Middle 5
1.1 Giả mạo ARP 6
1.1.1 Truyền thông ARP thông thường 6
1.1.2 Giả mạo Cache 7
1.1.3 Phòng chống 8
1.2 Giả danh DNS 9
1.2.1 Truyền Thông DNS 9
1.2.2 Nguyên lý giả mạo DNS: 10
1.2.3 Phòng chống tấn công giả mạo DNS 10
1.2.4 Kết luận: 11
1.3 Chiếm quyền điều khiển session 11
1.3.1 Nguyên lý 11
1.3.2 Cách chống tấn công chiếm quyền điều khiển Session 12
1.4 Giả mạo SSL 14
1.5 SSL và HTTPS 14
1.5.1 Phá hủy HTTPS 15
1.5.2 Biện pháp phòng chống 16
1.5.3 Kết luận 17
2 Khai thác lỗ hỗng bảo mật 17
2.1 Khai thác lỗ hổng 17

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 4

2.2 Phòng chống 18

3 Tài liệu tham khảo 18
Phần 1: Tổng quan về mạng máy tính
1. Local Area Network - LAN (Mạng cục bộ)
Các máy tính cá nhân và các máy tính khác trong phạm vi một khu vực hạn
chế được nối với nhau bằng các dây cáp chất lượng tốt sao cho những người sử
dụng có thể trao đổi thông tin, dùng chung các thiết bị ngoại vi, và sử dụng các
chương trình cũng như các dữ liệu đã được lưu trữ trong một máy tính dành riêng
gọi là máy dịch vụ tệp (file).
Mạng LAN có nhiều quy mô và mức độ phức tạp khác nhau, nó có thể chỉ liên kết
vài ba máy tính cá nhân và dùng chung một thiết bị ngoại vi đắt tiền như máy in
lazer chẳng hạn. Các hệ thống phức tạp hơn thì có máy tính trung tâm (Máy chủ
Server) cho phép những người dùng trao đổi thông tin với nhau và thâm nhập vào
các cơ sở dữ liệu dùng chung.

Hình 1. Mạng LAN kết nối nhiều thiết bị
2. Phạm vi ứng dụng của mạng LAN
Mạng LAN thường được sử dụng để kết nối các máy tính trong gia đình,
trong một phòng Game, phòng NET, trong một toà nhà của Cơ quan, Trường
học Cự ly của mạng LAN giới hạn trong phạm vi có bán kính khoảng 100m-
Các máy tính có cự ly xa hơn thông thường người ta sử dụng mạng Internet để
trao đổi thông tin.

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 5

Phần 2: Tấn công và các biện pháp phòng chống tấn
công mạng LAN
1. Kĩ thuật tấn công Man In The Middle
Hình thức tấn công Man In The Middle tức là người ở giữa sử dụng hình thức Arp

Poison trong mạng LAN cho phép đánh lừa máy tính nạn nhân truyền một bản dữ
liệu qua máy tính của hacker.
Kiểu tấn công MITM có hiệu suất cao bởi vì giao thức HTTP và Data Tranfer
truyền tải dữ liệu theo chuẩn ASCII. Hay ngay cả các giao thức bảo mật như SSL
hay HTTPS đều có thể bị nghe trộm. Khi bị tấn công, cả victim và server đều
không biết dữ liệu trao đổi giữa họ sẽ đi qua máy của attacker. Do vậy attacker
không chỉ đọc được cuộc trò chuyện này mà còn có thể thay đổi được nội dung của
nó.



Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 6

Hình 2. Tấn công MITM
- Có các kiểu tấn công MITM:
+ Giả mạo ARP (ARP spoofing /ARP poisoning)
+ Giả danh DNS (DNS spoofing)
+ Chiếm quyền điều khiển Session.( Session hijacking)
+ Giả mạo SSL ( SSL hijacking)
1.1 Giả mạo ARP
Đây là một hình thức tấn công MITM hiện đại có xuất sứ lâu đời nhất (đôi
khi còn được biết đến với cái tên ARP Poison Routing), tấn công này cho
phép kẻ tấn công (nằm trên cùng một subnet với các nạn nhân của nó) có thể
nghe trộm tất cả các lưu lượng mạng giữa các máy tính nạn nhân.Đây là một
trong những hình thức tấn công đơn giản nhất nhưng lại là một hình thức
hiệu quả nhất khi được thực hiện bởi kẻ tấn công.
Truyền thông ARP thông thường
Giao thức ARP được thiết kế để phục vụ cho nhu cầu thông dịch các địa chỉ giữa

các lớp thứ hai và thứ ba trong mô hình OSI. Lớp thứ hai (lớp data-link) sử dụng
địa chỉ MAC để các thiết bị phần cứng có thể truyền thông với nhau một cách trực
tiếp. Lớp thứ ba (lớp mạng), sử dụng địa chỉ IP để tạo các mạng có khả năng mở
rộng trên toàn cầu. Lớp data-link xử lý trực tiếp với các thiết bị được kết nối với
nhau, còn lớp mạng xử lý các thiết bị được kết nối trực tiếp và không trực tiếp. Mỗi
lớp có cơ chế phân định địa chỉ riêng, và chúng phải làm việc với nhau để tạo nên
một mạng truyền thông. Với lý do đó, ARP được tạo với RFC 826, “một giao thức
phân định địa chỉ Ethernet - Ethernet Address Resolution Protocol”.

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 7


Hình 3. Truyền thông ARP thông thường
Giả mạo Cache
Việc giả mạo bảng ARP chính là lợi dụng bản tính không an toàn của giao thức
ARP. Không giống như các giao thức khác, chẳng hạn như DNS (có thể được cấu
hình để chỉ chấp nhận các nâng cấp động khá an toàn), các thiết bị sử dụng giao
thức phân giải địa chỉ (ARP) sẽ chấp nhận nâng cấp bất cứ lúc nào. Điều này có
nghĩa rằng bất cứ thiết bị nào có thể gửi gói ARP reply đến một máy tính khác và
máy tính này sẽ cập nhật vào bảng ARP cache của nó ngay giá trị mới này

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 8


Hình 4. Giả mạo ARP
Công cụ để tấn công ARP Spoofing:

Windows: Cain & Abel.
Linux: Ettercap, Arpspoof,
Phòng chống
Phòng chống tấn công ARP cache gp một số bất lợi vì quá trình ARP xảy ra trong
chế độ background nên có rất ít khả năng có thể điều khiển trực tiếp được chúng.
Không có một giải pháp cụ thể nào để phòng thủ hữu hiệu nhưng tùy tình huống ta có
thể sử dụng một số phương pháp sau:
 M ha ARP cache:
Một cách có thể bảo vệ chống lại vấn đề không an toàn vốn có trong các ARP
request và ARP reply là thực hiện một quá trình kém động hơn. Đây là một tùy chọn vì
các máy tính Windows cho phép bạn có thể bổ sung các entry tĩnh vào ARP cache. Ta
có thể xem ARP cache của máy tính Windows bằng cách mở cmd và đánh vào đó lệnh
arp –a.
Có thể thêm các entry vào danh sách này bằng cách sử dụng lệnh : arp –s <IP
ADDRESS> <MAC ADDRESS>.
Trong các trường hợp, cấu hình mạng ít có sự thay đổi, ta có thể tạo một danh sách
các entry ARP tĩnh và sử dụng chúng cho các client thông qua một kịch bản tự động.

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 9

Điều này sẽ bảo đảm được các thiết bị sẽ luôn dựa vào ARP cache nội bộ của chúng
thay vì các ARP request và ARP reply.
 Kim tra lưu lưng ARP cache vi chương trnh của hng thứ 3:
Một biện pháp phòng chống lại việc giả mạo ARP cache là phương pháp kiểm tra
lưu lượng mạng của các thiết bị. Ta có thể thực hiện điều này với một vài hệ thống
phát hiện xâm phạm (chẳng hạn như Snort) hoc thông qua các tiện ích được thiết kế
đc biệt cho mục đích này (như xARP). Điều này có thể khả thi khi ta chỉ quan tâm
đến một thiết bị nào đó, tuy nhiên nó vẫn khá cồng kềnh và vướng mắc trong việc giải

quyết với toàn bộ phân đoạn mạng.
1.2 Giả danh DNS
Truyền Thông DNS
Giao thức Domain Naming System (DNS) được định nghĩa trong RFC 1034/1035
có thể được xem như là một trong những giao thức quan trọng nhất được sử dụng trong
Internet. Nói ngắn ngọn để dễ hiểu, bất cứ khi nào ta đánh một địa chỉ web chẳng hạn
như vào trình duyệt, yêu cầu DNS sẽ được đưa đến máy chủ
DNS để tìm ra địa chỉ IP tương xứng với tên miền mà ta vừa nhập. Các router và các
thiết bị kết nối Internet sẽ không hiểu google.com là gì, chúng chỉ hiểu các địa chỉ
chẳng hạn như 74.125.95.103.
Máy chủ DNS làm việc bằng cách lưu một cơ sở dữ liệu các entry (được gọi là bản
ghi tài nguyên) địa chỉ IP để bản đồ hóa tên DNS, truyền thông các bản ghi tài nguyên
đó đến máy khách và đến máy chủ DNS khác.  đây ta sẽ không đi vào giới thiệu các
khía cạnh về kiến trúc hay thậm chí các kiểu lưu lượng DNS khác nhau, mà chỉ giới
thiệu một phiên giao dịch DNS cơ bản.


Hình 5. Truy vấn và hồi đáp DNS
DNS hoạt động theo hình thức truy vấn và đáp trả (query/response). Một máy
khách cần phân giải DNS cho một địa chỉ IP nào đó sẽ gửi đi một truy vấn đến máy
chủ DNS, máy chủ DNS này sẽ gửi thông tin được yêu cầu trong gói đáp trả của nó.
Đứng ở góc độ máy khách , chỉ có hai gói xuất hiện lúc này là truy vấn và đáp trả.

Hình 6. Truy vấn và hồi đáp DNS bằng đệ quy

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 10

Nguyên lý giả mạo DNS:

Có nhiều cách để có thể thực hiện vấn đề giả mạo DNS.  đây ta sẽ tìm hiểu kỹ
thuật giả mạo DNS ID.
Mỗi truy vấn DNS được gửi qua mạng đều có chứa một số nhận dạng duy nhất,
mục đích của số nhận dạng này là để phân biệt các truy vấn và đáp trả chúng. Điều này
có nghĩa rằng nếu một máy tính đang tấn công của chúng ta có thể chn một truy vấn
DNS nào đó được gửi đi từ một thiết bị cụ thể, thì tất cả những gì chúng ta cần thực
hiện là tạo một gói giả mạo có chứa số nhận dạng đó để gói dữ liệu đó được chấp nhận
bởi mục tiêu.
Chúng ta sẽ hoàn tất quá trình này bằng cách thực hiện hai bước với một công cụ
đơn giản. Đầu tiên, chúng ta cần giả mạo ARP cache thiết bị mục tiêu để định tuyến lại
lưu lượng của nó qua host đang tấn công của mình, từ đó có thể chn yêu cầu DNS và
gửi đi gói dữ liệu giả mạo. Mục đích của kịch bản này là lừa người dùng trong mạng
mục tiêu truy cập vào website độc thay vì website mà họ đang cố gắng truy cập

Hình 7. Tấn công giả mạo DNS bằng cách giả mạo DNS ID
Phòng chống tấn công giả mạo DNS
Việc phòng thủ với tấn công giả mạo DNS khá khó khăn vì có ít các dấu hiệu để
nhận biết bị tấn công. Thông thường, ta không hề biết DNS của mình bị giả mạo cho
tới khi điều đó xảy ra. Kết quả nhận được là một trang web khác hoàn toàn so với
những gì mong đợi. Trong các tấn công với chủ đích lớn, rất có thể người dùng sẽ
không hề biết rằng mình đã bị lừa nhập các thông tin quan trọng của mình vào một
website giả mạo. Sau đây là một số phương pháp phòng thủ tấn công giả mạo DNS:

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 11

* Bảo vệ các máy tính bên trong của mạng: Các tấn công giống như trên thường
được thực thi từ bên trong mạng . Nếu các thiết bị mạng an toàn thì ta sẽ giảm được
khả năng các host bị thỏa hiệp và được sử dụng để khởi chạy tấn công giả mạo.

* Không dựa vào DNS cho các hệ thống bảo mật: Trên các hệ thống an toàn và
có độ nhạy cảm cao, không duyệt Internet trên nó là cách thực hiện tốt nhất để không
sử dụng đến DNS. Nếu dùng phần mềm sử dụng hostname để thực hiện một số công
việc của nó thì chúng cần phải được điều chỉnh cho phù hợp trong file cấu hình thiết
bị.
* Sử dụng IDS: Một hệ thống phát hiện xâm nhập, khi được đt và triển khai
đúng, có thể vạch mt các hình thức giả mạo ARP cache và giả mạo DNS.
* Sử dụng DNSSEC: DNSSEC là một giải pháp thay thế mới cho DNS, sử dụng
các bản ghi DNS có chữ ký để bảo đảm sự hợp lệ hóa của đáp trả truy vấn. Tuy
DNSSEC vẫn chưa được triển khải rộng rãi nhưng nó đã được chấp thuận là “tương lai
của DNS”.
Kết luận:
Giả mạo DNS là một hình thức tấn công MITM khá nguy hiểm khi được đi sử
dụng với mục đích ăn cắp thông tin. Sử dụng công nghệ này những kẻ tấn công có thể
tận dụng các kỹ thuật giả mạo để đánh cắp các thông tin quan trọng của người dùng,
hay cài đt malware trên một ổ đĩa bị khai thác, hoc gây ra một tấn công từ chối dịch
vụ.
1.3 Chiếm quyền điều khiển session
Nguyên lý
Thuật ngữ chiếm quyền điều khiển session (session hijacking) chứa đựng một loạt
các tấn công khác nhau. Nhìn chung, các tấn công có liên quan đến sự khai thác
session giữa các thiết bị đều được coi là chiếm quyền điều khiển session. Khi đề
cập đến một session, chúng ta sẽ nói về kết nối giữa các thiết bị mà trong đó có
trạng thái đàm thoại được thiết lập khi kết nối chính thức được tạo, kết nối này
được duy trì và phải sử dụng một quá trình nào đó để ngắt nó. Khi nói về các
session, lý thuyết có đôi chút lộn xộn, chính vì vậy chúng ta hãy xem xét một
session theo một cảm nhận thực tế hơn.
Trong bài này chúng tôi sẽ giới thiệu cho các bạn về hành động chiếm quyền điều
khiển session có liên quan đến các session HTTP. Nếu để ý một số website mà bạn
truy cập có yêu cầu thông tin đăng nhập thì chúng chính là các ví dụ tuyệt vời cho

các kết nối hướng session. Bạn phải được thẩm định bởi website bằng username và
password để thiết lập session, sau đó website sẽ duy trì một số hình thức kiểm tra
session để bảo đảm bạn vẫn được đăng nhập và được phép truy cập tài nguyên
(thường được thực hiện bằng một cookie), khi session kết thúc, các chứng chỉ
username và password sẽ được xóa bỏ và đó cũng là khi session hết hiệu lực. Đây
là một ví dụ cụ thể về session mà mc dù chúng ta không phải lúc nào cũng nhận ra

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 12

nó, các session sẽ xuất hiện liên tục và hầu hết sự truyền thông đều dựa vào một số
hình thức của session hoc hành động dựa trên trạng thái.

Hình 8. Một Session bình thường
Như những gì chúng ta thấy trong các tấn công trước, không có thứ gì khi đi qua
mạng được an toàn, và dữ liệu session cũng không có gì khác biệt. Nguyên lý ẩn
phía sau hầu hết các hình thức chiếm quyền điều khiển session là nếu có thể chn
phần nào đó dùng để thiết lập một session, khi đó bạn có thể sử dụng dữ liệu đó để
thủ vai một trong số những thành phần có liên quan trong truyền thông và từ đó có
thể truy cập các thông tin session. Ví dụ trên của chúng tôi có nghĩa rằng nếu chúng
ta capture cookie được sử dụng để duy trì trạng thái session giữa trình duyệt của
bạn và website mà bạn đang đăng nhập vào, thì chúng ta có thể trình cookie đó với
máy chủ web và thủ vai kết nối của bạn. Đứng trên quan điểm của những kẻ tấn
công thì điều này quả là thú vị.

Hình 9. Chiếm quyền điều khiển
Cách chống tấn công chiếm quyền điều khin Session

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 13

Do có nhiều hình thức chiếm quyền điều khiển session khác nhau nên cách thức
phòng chống cũng cần thay đổi theo chúng. Giống như các tấn công MITM khác
mà chúng ta đã đánh giá, tấn công chiếm quyền điều khiển session khó phát hiện và
thậm chí còn khó khăn hơn trong việc phòng chống vì nó phần lớn là tấn công thụ
động. Trừ khi người dùng mã độc thực hiện một số hành động rõ ràng khi anh ta
truy cập session đang bị chiếm quyền điều khiển, bằng không bạn có thể sẽ không
bao giờ biết tấn công đó đang diễn ra. Đây là một số thứ mà bạn có thể thực hiện để
phòng chống tấn công này:
 Truy cập ngân hàng trực tuyến tại nhà - Cơ hội để ai đó có thể chn lưu
lượng của bạn trên mạng gia đình ít hơn nhiều so với mạng ở nơi làm việc.
Điều này không phải vì máy tính ở nhà của bạn thường an toàn hơn, mà vấn
đề là bạn chỉ có một hoc hai máy tính tại nhà, hầu hết chỉ phải lo lắng về
tấn công chiếm quyền điều khiển session nếu con bạn đã hơn 14 tuổi và đã
bắt đầu xem các đoạn video hacking trên YouTube rồi từ đó học và làm
theo. Trên mạng công ty, bạn không biết những gì đang diễn ra bên dưới tiền
sảnh hoc trong văn phòng chi nhánh cách đó 200 dm, vì vậy nguồn tấn
công tiềm ẩn là rất nhiều. Cần biết rằng một trong những mục tiêu lớn nhất
của tấn công chiếm quyền điều khiển session là tài khoản ngân hàng trực
tuyến, tuy nhiên ngoài ra nó còn được áp dụng cho mọi thứ.
 Cần c sự hiu biết về tấn công - Những kẻ tấn công tinh vi, kể cả đến các
hacker dày dạn nhất cũng vẫn có thể mắc lỗi và để lại dấu vết đã tấn công
bạn. Việc biết thời điểm nào bạn bị đăng nhập vào các dịch vụ dựa trên
session có thể giúp bạn xác định được rằng liệu có ai đó đang rình rập mình
hay không. Do đó nhiệm vụ của bạn là cần phải canh chừng mọi thứ, quan
tâm đến thời gian đăng nhập gần nhất để bảo đảm mọi thứ vẫn diễn ra tốt
đẹp.
 Bảo mật tốt cho các máy tính bên trong - Các tấn công này thường được

thực thi từ bên trong mạng. Do đó nếu các thiết bị mạng của bạn an toàn thì
cơ hội cho kẻ tấn công thỏa hiệp được các host bên trong mạng của bạn sẽ ít
đi, và từ đó giảm được nguy cơ tấn công chiếm quyền điều khiển session.

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 14

Kết luận
Cho đến đây chúng tôi đã giới thiệu cho các bạn ba kiểu tấn công MITM rất nguy
hiểm có thể gây ra những hậu quả nghiêm trọng nếu chúng được thực hiện thành
công. Các bạn cần phải biết rằng, sử dụng kiểu tấn công chiếm quyền điều khiển
session, kẻ tấn công với những ý định xấu có thể truy cập vào tài khoản ngân hàng
trực tuyến, email của người dùng hoc thậm chí cả các ứng dụng nhậy cảm trong
mạng nội bộ. Trong phần tiếp theo của loạt bài này, chúng tôi sẽ giới thiệu cho các
bạn một tấn công MITM nguy hiểm khác, giả mạo SSL.
1.4 Giả mạo SSL
1.5 SSL và HTTPS
Secure Socket Layers (SSL) hoc Transport Layer Security (TLS) dưới sự thi hành
hiện đại hơn của nó, là các giao thức được thiết kế để cung cấp bảo mật cho truyền
thông mạng bằng phương pháp mã hóa. Giao thức này dễ được kết hợp với các giao
thức khác nhất để cung cấp một thực thi an toàn cho dịch vụ mà giao thức cung
cấp. Các ví dụ dẫn chứng ở đây gồm có SMTPS, IMAPS và HTTPS. Mục tiêu tối
thượng là tạo các kênh an toàn trên các mạng không an toàn.
Trong phần này, chúng tôi sẽ tập trung giới thiệu vào tấn công SSL trên HTTP,
được biết đến như HTTPS, vì nó là trường hợp sử dụng phổ biến nhất của SSL. Có
thể không nhận ra nhưng hầu như chắc chắn bạn đang sử dụng HTTPS hàng ngày.
Các dịch vụ email phổ biến nhất và các ứng dụng ngân hàng trực tuyến đều dựa vào
HTTPS để bảo đảm truyền thông giữa trình duyệt web của bạn và các máy chủ của
họ được mã hóa an toàn. Nếu không sử dụng công nghệ này thì bất cứ ai với một

bộ “đánh hơi” gói dữ liệu trên mạng cũng đều có thể phát hiện ra được username,
password và bất cứ thứ gì được ẩn khác.
Quá trình được sử dụng bởi HTTPS để bảo đảm an toàn dữ liệu là xiết cht các
trung tâm có liên quan đến việc phân phối các chứng chỉ giữa máy chủ, máy khách
và hãng thứ ba được tin cậy. Lấy một ví dụ về trường hợp có một người dùng đang
cố gắng kết nối đến một tài khoản email của Gmail. Quá trình này sẽ gồm có một
vài bước dễ nhận thấy, các bước này đã được đơn giản hóa trong hình 1 bên dưới.

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 15


Hình 10. Quá trình truyền thông HTTPS
Quá trình được phác thảo trong hình 1 không phải là một quá trình chi tiết, tuy
nhiên về cơ bản nó sẽ làm việc như sau:
 Trình duyệt máy khách kết nối đến trên cổng 80 bằng
cách sử dụng HTTP.
 Máy chủ redirect phiên bản HTTPS máy khách của site này bằng cách sử dụng
HTTP code 302.
 Máy khách kết nối đến trên cổng 443.
 Máy chủ sẽ cung cấp một chứng chỉ cho máy khách gồm có chữ ký số của nó.
Chứng chỉ này được sử dụng để thẩm định sự nhận dạng của site.
 Máy khách sử dụng chứng chỉ này và thẩm định chứng chỉ này với danh sách
các nhà thẩm định chứng chỉ tin cậy của nó.
 Truyền thông mã hóa sẽ xảy ra sau đó.
Nếu quá trình hợp lệ hóa chứng chỉ thất bại thì điều đó có nghĩa rằng các website
đã thất bại trong việc thẩm định sự nhận dạng của nó. Tại điểm này, người dùng sẽ
thấy xuất hiện một lỗi thẩm định chứng chỉ và họ vẫn có thể tiếp tục với những rủi
ro có thể, vì rất có thể sẽ không có sự truyền thông thực sự với website mà họ nghĩ

họ cần truy cập đến.
Phá hủy HTTPS
Quá trình này được xem là an toàn cao cách đây một vài năm khi có một tấn công
đã công bố rằng nó có thể chiếm quyền điều khiển thành công quá trình truyền
thông. Quá trình này không liên quan đến bản thân việc phá hủy (defeating) SSL,
mà đúng hơn là phá hủy “cầu nối” giữa truyền thông không mã hóa và mã hóa.
Moxie Marlinspike, một chuyên gia nghiên cứu bảo mật hàng đầu đã cho rằng
trong hầu hết các trường hợp, SSL chưa bao giờ bị trực tiếp tấn công. Hầu hết thời
gian một kết nối SSL được khởi tạo thông qua HTTPS nên nguyên nhân có thể là
do ai đó đã redirect một HTTPS thông qua một mã đáp trả HTTP 302 hoc họ kích
vào liên kết direct họ đến một site HTTPS, chẳng hạn như nút đăng nhập. Ý tưởng
ở đây là rằng nếu bạn tấn công một phiên giao dịch từ một kết nối không an toàn
đến một kết nối an toàn, trong trường hợp này là từ HTTP vào HTTPS, bạn sẽ tấn
công cầu nối và có thể “man-in-the-middle” kết nối SSL trước khi nó xuất hiện. Để

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 16

thực hiện hiệu quả điều này, Moxie đã tạo một công cụ SSLstrip, chúng ta sẽ sử
dụng công cụ này dưới đây.
Quá trình thực hiện khá đơn giản và gợi nhớ lại các tấn công mà chúng ta đã nghiên
cứu trong các phần trước của loạt bài. Nó được phác thảo như trong hình 2 bên
dưới.

Hình 11. Chiếm quyền điều khiển truyền thông HTTPS
Quá trình được phác thảo trong hình 11 làm việc như sau:
 Lưu lượng giữa máy khách và máy chủ đầu tiên sẽ bị chn
 Khi bắt gp một HTTPS URL, sslstrip sẽ thay thế nó bằng một liên kết HTTP và
sẽ ánh xạ những thay đổi của nó.

 Máy tấn công sẽ cung cấp các chứng chỉ cho máy chủ web và giả mạo máy
khách.
 Lưu lượng được nhận trở lại từ website an toàn và được cung cấp trở lại cho
máy khách.
Quá trình làm việc khá tốt, máy chủ có liên quan vẫn nhận lưu lượng SSL mà
không hề biết về sự khác biệt này. Chỉ có một sự khác biệt rõ rệt trong trải nghiệm
người dùng là lưu lượng sẽ không được cắm cờ HTTPS trong trình duyệt, vì vậy
một người dùng có kinh nghiệm sẽ có thể thấy đó là một điều dị thường.
Biện pháp phòng chống
Như được giới thiệu ở trên, việc chiếm quyền điều khiển SSL theo cách này là hầu
như không thể phát hiện từ phía trình chủ vì máy chủ cứ tưởng nó vẫn truyền thông
bình thường với máy khách. Nó không hề có ý tưởng rằng đang truyền thông với
một client bởi proxy. May mắn thay, có một vài thứ có thể thực hiện từ bối cảnh
trình khách để phát hiện và ngăn chn các kiểu tấn công này.
 Sử dụng kết nối an toàn HTTPS – Khi bạn thực hiện tấn công được mô tả ở
đây, nó sẽ lấy đi khía cạnh an toàn của kết nối, thứ có thể xác định được trong
trình duyệt. Điều này có nghĩa rằng nếu bạn đăng nhập vào tài khoản ngân hàng
trực tuyến và thấy rằng nó chỉ là một kết nối HTTP chuẩn thì chắc chắn có thứ
gì đó sai ở đây. Bất cứ khi nào trình duyệt mà bạn chọn sử dụng cũng cần bảo
đảm rằng bạn biết cách phân biệt các kết nối an toàn với những kết nối không
an toàn.
 Lưu tài khoản ngân hàng trực tuyến ở nhà – Cơ hội cho ai đó có thể chn lưu
lượng của bạn trên mạng gia đình sẽ ít hơn nhiều so với mạng ở nơi làm việc của
bạn. Điều này không phải vì máy tính gia đình của bạn an toàn hơn (mà sự thật
có lẽ là kém an toàn hơn), nhưng sự thật nếu chỉ có một hoc hai máy tính ở nhà
thì các bạn chỉ phải quan tâm đến việc chiếm quyền điều khiển session nếu có ai

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 17

đó trong nhà bạn (cậu trai lớn) bắt đầu xem và tập theo các video về hacking trên
YouTube. Trong mạng công ty, bạn không biết những gì đang diễn ra dưới tiền
sảnh hoc văn phòng chi nhánh cách đó nhiều km, vì vậy nguồn tấn công tiềm
tàng là rất nhiều. Một trong những mục tiêu lớn nhất cho tấn công chiếm quyền
điều khiển session là ngân hàng trực tuyến, tuy nhiên thủ phạm này có thể áp
dụng cho bất cứ thứ gì.

 Bảo mật các máy tính bên trong mạng – Không đánh một con ngựa đã chết,
nhưng một lần nữa, các tấn công giống như vậy thường được thực thi bên trong
một mạng. Nếu các thiết bị mạng của bạn được an toàn thì nguy cơ bị thỏa hiệp
các host để sau đó được sử dụng để khởi chạy tấn công chiếm quyền điều khiển
session cũng sẽ giảm.
Kết luận
Hình thức tấn công MITM này là một trong những hình thức chết chóc nhất vì nó
làm cho chúng ta nghĩ đang ở một kết nối an toàn nhưng sự thật lại không phải vậy.
Nếu bạn xem xét số lượng các site an toàn mà mình viếng thăm mỗi ngày, sau đó
xem xét sự ảnh hưởng tiềm tàng nếu tất cả trong số các kết nối đó không an toàn và
dữ liệu bị rơi vào những kẻ xấu thì bạn sẽ hiểu một cách đúng đắn mức độ nguy
hiểm có thể xảy ra với bạn hoc tổ chức bạn.
2 Khai thác lỗ hỗng bảo mật
2.1 Khai thác lỗ hổng
Các lỗ hổng bảo mật trên một hệ thống là các điểm yếu có thể tạo ra sự ngưng
trệ của dịch vụ, thêm quyền đối với người sử dụng hoc cho phép các truy nhập
không hợp pháp vào hệ thống. Các lỗ hổng cũng có thể nằm ngay các dịch vụ cung
cấp như sendmail, web, ftp Ngoài ra các lỗ hổng còn tồn tại ngay chính tại hệ
điều hành như trong Windows NT, Windows 95, UNIX; hoc trong các ứng dụng
mà người sử dụng thương xuyên sử dụng như Word processing, Các hệ databases
+ Phân loại lỗ hổng bảo mật:
Có nhiều tổ chức khác nhau tiến hành phân loại các dạng lỗ hổng đc biêt.

Theo cách phân loại của Bộ quốc phòng Mỹ, các loại lỗ hổng bảo mật trên một hệ
thống được chia như sau:
- Lỗ hổng loại C: các lỗ hổng loại này cho phép thực hiện các phương thức tấn
công theo DoS (Dinal of Services - Từ chối dịch vụ). Mức độ nguy hiểm thấp, chỉ
ảnh hưởng tới chất lượng dịch vụ, có thể làm ngưng trệ, gián đoạn hệ thống; không
làm phá hỏng dữ liệu hoc đạt được quyền truy nhập bất hợp pháp.

Tấn công và phòng chống tấn công mạng LAN

[Type text] Trang 18

- Lổ hổng loại B: Các lỗ hổng cho phép người sử dụng có thêm các quyền trên
hệ thống mà không cần thực hiện kiểm tra tính hợp lệ. Mức độ nguy hiểm trung
bình; Những lỗ hổng này thường có trong các ứng dụng trên hệ thống; có thể dẫn
đến mất hoc lộ thông tin yêu cầu bảo mật.
- Lỗ hổng loại A: Các lỗ hổng này cho phép người sử dụng ở ngoài có thể truy
nhập vào hệ thống bất hợp pháp. Lỗ hổng rất nguy hiểm, có thể làm phá hủy toàn bộ
hệ thống.
Để khai thác các lỗ hổng bảo mật, chúng tôi sử dụng công cụ là Metasploit
Framework, có thể chạy được trên Windows lẫn Linux.
2.2 Phòng chống
- Luôn update các bản vá lỗi mới nhất từ nhà sản xuất
- Enable Firewall chỉ mở những cổng cần thiết cho các ứng dụng
- Có thiết bị IDS phát hiện xâm nhập
- Có Firewall chống Scan các Service đang chạy.
3 Kết luận
4 Tài liệu tham khảo
+ www.quantrimang.com.vn
+ www.google.com