Bài giảng An toàn mạng máy tính nâng cao: Chương 6 - ThS. Nguyễn Duy

Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (1.22 MB, 20 trang )

(1)<div class='page_container' data-page=1>

WEB APPLICATION SECURITY

Author: Nguyễn Trường Phú – Nguyễn Tuấn Anh

</div>
(2)<div class='page_container' data-page=2>

ABOUT AUTHOR

• Name: Nguy

ễ

n Tu

ấ

n Anh

Nguyễn Trường Phú

• Class: 23CCAN04

</div>
(3)<div class='page_container' data-page=3>

CONTENT

1. Web application attack and defense

</div>
(4)<div class='page_container' data-page=4>

Web Application

</div>
(5)<div class='page_container' data-page=5>

N

ề

n t

ả

ng Website ph

ổ

bi

ế

n:

•  Apache (httpd)

•  Nginx

•  IIS

•  Apache Tomcat

•  PHP

•  ASPX (ASP.NET)

•  JSP + Servlet (JAVA)

•  HTML + CSS / HTML5 + CSS3

•  Javascript / Jquery

Client – Side

Server - Side

•  MySQL

•  MariaDB

•  MongoDB

•  MemSQL

•  Access

•  SQLserver

•  MSSQL

•  ……..

+

</div>
(6)<div class='page_container' data-page=6>

1 Website có th

ể

b

ị

t

ấ

n cơng nh

ư

th

ế

nào?

•  Thơng qua Authencation (Các hình thức tấn cơng vào mật khẩu, giao thức mã hố, hình thức chứng thực,…)

•  Thơng qua Session, Transport,…. (Các hình thức tấn công qua bảo mật đường truyền bao gồm cả MITM)

• Thơng qua L

ổ

h

ổ

ng Web Application

•  Thơng qua Lổ hổng OS (Đặc biệt nhiều đối với Windows và khá ít đối với Linux)

•  Thơng qua Server Application/Software (Lổ hổng các service/software khác trên server: Mail, browser,adobe,java,…)

•  Thơng qua Mã độc hoặc Backdoor được thiết lập từ trước

•  Thơng qua các hình thức tấn công từ chối dịch vụ (DoS, DDoS, DRDoS, Spam, …..)

•  Thơng qua Crawler hoặc các kẻ hở trong configure và quản lý (lổ hổng phân quyền, lộ tập tin, đường dẫn nhạy cảm,…)

•  Thơng qua Tấn công vật lý

</div>
(7)<div class='page_container' data-page=7>

L

ổ

h

ổ

ng Web Application

1.  Injection (SQLi, LDAPi, OS command injection,…)

2.  Cross Site Scripting (XSS)

3.  Broken Authentication and Session Management (Nguy cơ về quản lý phiên/session)

4.  Insecure Direct Object References (Các lổ hổng trong tham chiếu)

5.  Cross Site Request Forgery (CSRF)

6.  Security Misconfiguration (Lổ hổng trong cấu hình, triển khai dịch vụ web,…)

7.  Insecure Cryptographic Storage (Lổ hổng trong mã hoá dữ liệu nhạy cảm)

8.  Failure to Restrict URL Access (Các lổ hổng quyền hạn truy cập url nhạy cảm)

9.  Insufficient Transport Layer Protection (Lổ hổng đường truyền)

10.  Unvalidated Redirects and Forwards (Các lổ hổng chuyển hướng)

</div>
(8)<div class='page_container' data-page=8>

Ví d

ụ

v

ề

1 s

ố

hình th

ứ

c t

ấ

n cơng Web Application ph

ổ

bi

ế

n:

• SQL injection (SQLi)

• Cross Site Scripting (XSS)

• Local File Inclusion (LFI)

• Remote File Inclusion (RFI)

• Local File Discluse/Download (LFD)

</div>
(9)<div class='page_container' data-page=9>

Định ngh

ĩ

a:

1. SQL injection

SQL injection (SQLi) là một kỹ thuật cho phép những kẻ tấn công lợi dụng lỗ

hổng của việc kiểm tra dữ liệu đầu vào trong các ứng dụng web và các thông

báo lỗi của hệ quản trị cơ sở dữ liệu trả về để inject (tiêm vào) và thi hành các

</div>
(10)<div class='page_container' data-page=10>

Ví dụ:

1. SQL injection

Truy cập chuyên mục SQL trên ceh.vn thấy URL có dạng: /index.php?page=SQl
è Câu truy vấn CSDL có dạng: “SELECT * FROM chuyenmuc WHERE tenchuyenmuc =“ + $page

Trong đó có thể $page=$_GET(‘tenpage’)

Attacker cố tình truy vấn trên URL: /index.php?page=SQl or 1=1

è Câu truy vấn CSDL có dạng: SELECT * FROM chuyenmuc WHERE tenchuyenmuc=SQl or 1=1

Ta thấy vì 1=1 ln đúng nên truy vấn trả lại tất cả những thơng tin có trong bảng chuyenmuc
⇒ Thơng tin bị khai thác => Lỗi.

</div>
(11)<div class='page_container' data-page=11>

Định ngh

ĩ

a:

2. XSS

XSS

xu

ấ

t hi

ệ

n khi m

ộ

t

ứ

ng d

ụ

ng web cho phép ng

ườ

i dùng nh

ậ

p các d

ữ

li

ệ

u vào mà

không thông qua ki

ể

m duy

ệ

t n

ộ

i dung, nh

ữ

ng d

ữ

li

ệ

u này s

ẽ

t

ươ

ng tác tr

ự

c ti

ế

p v

ớ

i

nh

ữ

ng ng

ườ

i dùng khác cùng s

ử

d

ụ

ng website. Nguy c

ơ

t

ạ

o ra là hacker có th

ể

chèn các mã k

ị

ch b

ả

n nh

ư

HTML, Javascript… (client side) nh

ằ

m

ă

n c

ắ

p

SessionCookie, thay

đổ

i giao di

ệ

n (deface) ho

ặ

c chuy

ể

n h

ướ

ng

đế

n trang có mã

</div>
(12)<div class='page_container' data-page=12>

Định ngh

ĩ

a:

</div>
(13)<div class='page_container' data-page=13>

Ví dụ:

2. XSS

if(!empty($_GET['name']))
{
$name=$_GET['name'];
print $name;

} else {
Code lây $name trực tiếp từ giá trị khung name và in ra thẳng:

Khi attacker khơng truy vấn bình thường mà inject mã javascript

vào khung name ó Truyền

giá trị trực tiếp cho biến name:

Lúc này được javascript được gán cho biến name và in ra

</div>
(14)<div class='page_container' data-page=14>

Định ngh

ĩ

a:

3. LFI

L

ỗ

h

ổ

ng cho phép các attacker có th

ể

truy v

ấ

n các t

ậ

p tin nh

ạ

y c

ả

m trên

web server và

đọ

c

đượ

c

N

ộ

i dung các t

ậ

p tin

đ

ó. Ví d

ụ

các t

ậ

p tin nh

ạ

y c

ả

m: /etc/passwd, /etc/

</div>
(15)<div class='page_container' data-page=15>

Ví dụ:

3. LFI

Truy cập chuyên mục SQL trên ceh.vn thấy URL có dạng: /index.php?page=SQl
è Nếu code trang view có dạng:

<?php
$Bien=$_GET[‘page’];

Include $Bien; ?>

Attacker cố tình truy vấn trên URL: /index.php?page=../../../etc/passwd

è Lúc này trở thành giống như là ta code như sau:

<?php
$Bien=$_GET[‘page’];

Include ../../../etc/passwd; ?>

è Attacker có thể đọc được nội dung của tập tin passwd trong đường dẫn ../../etc/ trên server

ngay chính tại trang view.

</div>
(16)<div class='page_container' data-page=16>

Định ngh

ĩ

a:

3. RFI

Cho phép attack gọi đến một file trên web server hoặc trên server khác ngay tại web

server này.
Ví dụ:

Nếu ceh.vn bị lỗi RFI thì nội dung trang vietnamnet.vn sẽ hiển hị trên ceh.vn

Nếu attacker đặt backdoor trên vietnamnet.vn dạng:

Tại ceh.vn attacker truy vấn:

Thì nội dung backdoor shell.php sẽ được include vào source code của ceh.vn ó ta cắm

</div>
(17)<div class='page_container' data-page=17>

Ví dụ:

3. RFI

Code:

<?php

$test=$_GET['test'];

include $test.'id=1';

?>

Và

register_globals = off

Input:

</div>
(18)<div class='page_container' data-page=18>

Định ngh

ĩ

a:

3. LFD

Gi

ố

ng LFI nh

ư

ng thay vì attacker có th

ể

đọ

c các file nh

ạ

y c

ả

m thì

ở

đ

ây attacker có th

ể

</div>
(19)<div class='page_container' data-page=19>

Ví dụ:

3. LFD

Đoạn code sau:

<?php

$test=$_GET['test'];

readfile($test);

?>

Hàm

readfile()

cho phép chúng ta đọc code file được truyền vào .

</div>
(20)<div class='page_container' data-page=20>

Phát hiện, kiểm tra các lổ hổng Web Application:

•  Ở vị trí attacker tấn công Opensource hoặc ở vị trị quản trị/chuyên gia an ninh kiểm thử Whitehat:

Đọc source code, Debug Source code tìm lổ hổng.

•  Tấn công CloseSource, Đa số, kiểm thử Blackbox:

q  Sử dụng phương pháp thủ công

Phương pháp Fuzzer vào các input

(Nhập vào chuỗi ký tự ngẫu nhiên hoặc có mục địch nhằm xác định lổ hổng)

Ví dụ: Thêm vào URL, khung Search, Login,… các câu truy vấn, thay đổi method, tiêm vô số ký tự,…

q  Sử dụng phương pháp tự động

Sử dụng các cơng cụ Scan, tìm kiếm lổ hổng

Ví dụ:

</div>

Bài giảng An toàn mạng máy tính nâng cao: Chương 6 - ThS. Nguyễn Duy

WEB APPLICATION SECURITY

ABOUT AUTHOR

•

Name: Nguy

ễ

n Tu

ấ

n Anh

Nguyễn Trường Phú

•

Class: 23CCAN04

CONTENT

1.

Web application attack and defense

<b>Web Application </b>

<b>N</b>

<b>ề</b>

<b>n t</b>

<b>ả</b>

<b>ng Website ph</b>

<b>ổ</b>

<b> bi</b>

<b>ế</b>

<b>n: </b>

<b>+ </b>

<b>+ </b>

<b>1 Website có th</b>

<b>ể</b>

<b> b</b>

<b>ị</b>

<b> t</b>

<b>ấ</b>

<b>n cơng nh</b>

<b>ư</b>

<b> th</b>

<b>ế</b>

<b> nào? </b>

•

<b>Thơng qua L</b>

<b>ổ</b>

<b> h</b>

<b>ổ</b>

<b>ng Web Application </b>

<b>L</b>

<b>ổ</b>

<b> h</b>

<b>ổ</b>

<b>ng Web Application </b>

<b>Ví d</b>

<b>ụ</b>

<b> v</b>

<b>ề</b>

<b> 1 s</b>

<b>ố</b>

<b> hình th</b>

<b>ứ</b>

<b>c t</b>

<b>ấ</b>

<b>n cơng Web Application ph</b>

<b>ổ</b>

<b> bi</b>

<b>ế</b>

<b>n: </b>

•

SQL injection (SQLi)

•

Cross Site Scripting (XSS)

•

Local File Inclusion (LFI)

•

Remote File Inclusion (RFI)

•

Local File Discluse/Download (LFD)

<b> Định ngh</b>

ĩ

<b>a: </b>

<b>1. SQL injection </b>

<b>Ví dụ: </b>

<b>1. SQL injection </b>

• 

• 

1. 

• 

• 

• 

• 

• 