Hệ thống đánh giá nist SP00 30

BÁO CÁO ĐÁNH GIÁ RỦI RO ĐỐI VỚI MỘT HỆ THỐNG
WEB
SỬ DỤNG HỆ THỐNG ĐÁNH GIÁ NIST SP00-30

Thành viên: Nhóm 04.

1. Trần Mạnh Cường B14DCAT
2. Lưu Bá Sơn

B14DCAT

3. Lê Hoàng Đức

B14DCAT

4. Nguyễn Thế Tuấn B14DCAT


TỔNG QUÁT

I. GIỚI THIỆU
II.CÁCH TIẾP CẬN ĐÁNH GIÁ RỦI RO
III.QUY TRÌNH ĐÁNH GIÁ
Bước 1: Mơ tả đặc trưng hệ thống
Bước 2: Xác định các mối đe dọa
Bước 3: Xác định lỗ hổng
Bước 4: Phân tích kiểm sốt
Bước 5: Xác định mức độ chắc chắn
Bước 6: Xác định mức độ tác động
Bước 7: Xác định rủi ro
Bước 8: Khuyến nghỉ các biện pháp kiểm soát

IV.

KẾT LUẬN


I.

GIỚI THIỆU

1. Trang web quét:
Đây là một trang web demo của phần mềm Acunetix Web Vulnerability Scanner được xây dựng để đáp ứng nhu cầu dùng demo phần mềm.

2. Mục đích báo cáo
Đánh giá các rủi ro của hệ thống
Đưa ra một số giải pháp giảm thiểu rủi ro

3. Phạm vi báo cáo
Đánh giá web site theo góc nhìn của một nhân viên đánh giáo mức độ an toàn hệ thống


II.

CÁCH TIẾP CẬN RỦI RO

1. Phương pháp thu thập thông tin
Công cụ được sử dụng dụng: Tool Acunetix Web Vulnerability Scanner
Với giao diện chính là.

2.Đánh giá rủi ro

Sử dụng ma trận đánh giá rủi ro 3x3.


III. QUY TRÌNH ĐÁNH GIÁ
Bước 1:Mơ tả đặc trưng hệ thống
- Phần cứng
Máy chủ, …

- Phần mềm
Máy chủ web : nginx
Ngơn ngữ lập trình: PHP
Hệ quản trị cơ sở dữ liệu: MySql
-Dữ liệu
Thông tin nhạy cảm của người dùng, các nội dung của trang web.

-Người dùng
Người dùng nếu chưa đăng nhập thì có thể xem các nội dung cơ bản của trang web
Người dùng nếu đăng nhập thì có thể mua hang.

-Các kỹ thuật thu thập thông tin:
Dùng Tool quét tự động Tool Acunetix Web Vulnerability Scanner
Kết quả sau khi quét phát hiện ra được một số lỗ hổng.


III. QUY TRÌNH ĐÁNH GIÁ
Bước 2:Xác định các mối đe dọa
1. Tự nhiên
Các thảm họa thiên nhiên: lũ lụt, động đất, hạn hán, ... ở khu vực đặt máy chủ
2. Mơi trường
Điện áp cung cấp khơng ổn định, hóa chất, ...

3. Con người

Kiểu người đe dọa

Cơng việc có thể làm

Hacker

Cài phần mềm độc hại, xâm nhập hệ thống, đánh cắp thông tin, ...

Tội phạm thông tin

Tiêu hủy thông tin, tiết lộ thơng tin, tống tiền,...

Khủng bố

Đánh bom, bắt cóc tổng tiền, trả thù, khai thác hệ thống,..

Gián điệp bên ngoài

Giành lợi thế cạnh tranh, giao dịch các thông tin thu được,..

Nhân viên, người dùng

Nhập dữ liệu sai gây lỗi, không phân quyền


Bước 3: Xác định lỗ hổng

Trần Mạnh Cường

Lỗ hổng
Missing function access control

Mô tả
Thiếu các điều khoản trong việc phân quyền quản trị các mức, dẫn đến việc kẻ tấn công có thể lợi dụng và truy ra
các điểm yếu trên hệ thống, hay lợi dụng để leo thang đặc quyền.

Broken Authentication and Session Management

Xác thực hay quản lý phiên thiếu chính xác. Sơ hở này cho phép kẻ tấn cơng có thể lợi dụng để đạt được mật khẩu,
khóa hay phiên làm việc, từ đó mạo danh phiên làm việc và danh tính của người dùng thơng thường

Application error message

Là một lỗ hổng cho phép kẻ tấn công thu thập thông tin về hệ thống từ các thông điệp lỗi/cảnh báo do ứng dụng
web trả về.


Bước 4: Phân tích kiểm sốt

Trần Mạnh Cường

Lỗ hổng

Các biện pháp hiện có ngăn ngừa các lỗ hổng

Missing function access control

Chưa có biện pháp ngăn ngừa

Broken Authentication and Session Management

Chưa có biện pháp ngăn ngừa

Application error message

Đã có mã hóa một số thông tin nhưng lại show ra cho người dùng một đường dẫn chỉ đến thư mục lỗi

Warning: fopen(): Unable to access acu2796ẳs1ạƠs2s3ạuca2796 in
/hj/var/www/showimage.php on line 7




Bước 5: Xác định mức độ chắc chắn

Trần Mạnh Cường

Lỗ hổng

Mức độ chắc chắn

Missing function access control

Cao

Broken Authentication and Session Management

Cao

Application error message

Trung bình


Bước 6: Xác định mức độ tác động

Trần Mạnh Cường

Lỗ hổng

Mức độ tác động

Missing function access control

Cao

Broken Authentication and Session Management

Trung bình

Application error message

Trung bình


Bước 7: Xác định rủi ro

Trần Mạnh Cường

Lỗ hổng

Mức độ rủi ro

Missing function access control

Cao (100x1.0)

Broken Authentication and Session Management

Vừa(50x1)

Application error message

Vừa(50x1)


Bước 8: Khuyến nghỉ các biện pháp kiểm soát

Trần Mạnh Cường

Lỗ hổng

Biện pháp kiểm soát

Missing function access control

Yêu cầu quản trị viên root phải nghiên cứu và xắp sếp lại các quyền của các quản viên khác ko để cho tất cả các
quản trị viên được đầy đủ các quyền

Broken Authentication and Session Management

Kiếm sốt q trình thay đổi mật khẩu, mật khẩu phải để dưới dạng băm, tăng độ khó cho mật khẩu, bảo vệ id
session (Tốt nhất là lên SSL nếu không ko nên show trên URL)

Application error message

Không được show ra lỗi và đường dẫn file lỗi khi lỗi xảy ra tránh dùng các hàm in lỗi error_reporting(0) trong php


Lưu Bá Sơn

Bước 3: Xác định lỗ hổng

Lỗ hổng

Mô tả

Cross Frame Scripting

Là một lỗ hổng cho phép kẻ tấn công đánh cắp thông tin người dùng thông qua việc sử dụng JavaScript
để tải một trang web hợp pháp lên một iframe nằm trong trang web của kẻ tấn công

Apache http-only Disclosure 

Là một lỗ hổng cho phép kẻ tấn công lấy được dữ liệu từ http-only cookie thông qua việc xử lý các Bad
Request của máy chủ web Apache có phiên bản từ 2.0.21 trở xuống.

AWStats Script

Là một lỗ hổng cho phép kẻ tấn công thu thập thông tin nhạy cảm về cấu trúc và hoạt động của ứng
dụng web thông qua các báo cáo của công cụ AWStats trên trang web.


Bước 4: Phân tích kiểm sốt

Lưu Bá Sơn

Lỗ hổng

Biện pháp hiện có ngăn ngừa các lỗ hổng

Cross Frame Scripting

Chưa có biện pháp ngăn ngừa tích cực

 
Apache http-only Disclosure

Chưa có biện pháp ngăn ngừa

AWStats Script

Chưa có biện pháp ngăn ngừa


Lưu Bá Sơn

Bước 5: Xác định mức độ chắc chắn

Lỗ hổng

Mức độ chắc chắn

Cross Frame Scripting

Cao

Apache http-only Disclosure

Cao

AWStats Script

Vừa


Lưu Bá Sơn

Bước 6: Xác định mức độ tác động

Lỗ hổng

Mức độ tác động

Cross Frame Scripting

Vừa

Apache http-only Disclosure

Vừa

AWStats Script

Vừa


Bước 7: Xác định rủi ro

Để đánh giá được rủi ro một cách xác thực nhất cần :
- Mô tả chi tiết kiều kiện, tình huống thực tế tác động đến tài sản
- Xác định mức độ tác động, độ chắc chắn và các lĩnh vực bị ảnh hưởng
- Rủi ro = Tác động * Độ chắc chắn

Lưu Bá Sơn


Lưu Bá Sơn

Bước 7: Xác định rủi ro

Lỗ hổng

Mức độ rủi ro

Cross Frame Scripting

Vừa (50x1)

Apache http-only Disclosure

Vừa(50x1)

AWStats Script

Thấp(10x1)


Lưu Bá Sơn

Bước 8: Khuyến nghị các biện pháp kiểm soát

Lỗ hổng

Biện pháp kiểm soát

Cross Frame Scripting

Tránh các liên kết, tìm kiếm các trang wed độc hại
Dữ thơng tin cá nhân trong bộ nhớ được bảo mật an toàn
Sử dụng mật khẩu mạnh và thay đổi chúng thường xuyên
 
 

Apache http-only Disclosure

Nâng cấp máy chủ web lên phiên bản Apache 2.2.22 trở lên.

AWStats Script

Hạn chế truy nhập đến chương trình này bằng xác thực tài khoản quản trị.


Bước 3: Xác định lỗ hổng

Nguyễn Thế Tuấn

Lỗ hổng

Mô tả

Cookie Injection

tất cả các cơng ty cung cấp trình duyệt web đều cài đặt chuẩn RFC 6265 không đúng. Lỗ hổng nghiêm trọng trong
cài đặt “Browser Cookies” cho phép tin tặc từ xa bypass giao thức bảo mật HTTPS và xâm nhập dữ liệu phiên làm
việc riêng tư của người dùng

CSRF(Crooss Site Request Forgery)

với lỗ hổng CDRF, kẻ tấn cơng có thể dụ nạn nhân (1 thành viên bất kỳ đang đăng nhập) nhấn vào 1 liên kết chứa
URL thực hiện truy vấn gửi một thông điệp chứa bất kỳ lên trang cá nhân của thành viên khác của họ.

GKPlugin

GKPlugin Lỗ hổng nghiêm trọng này cho phép tin tặc có thể dễ dàng đọc nội dung của các tệp tin nhạy cảm trên trang web bất kỳ
sử dụng GKPlugin lỗ hổng này khá giống Local File Include (LFI), tuy nhiên kẻ tấn cơng có thể dễ dàng tải tệp tin mã nguồn bất kì
từ trang web thay vì đọc trực tiếp trên trang thông qua hàm include như LFI. Lỗ hổng được phát hiện tại tệp plugins_player.php

 


Nguyễn Thế Tuấn

Bước 4: Phân tích kiểm sốt
Lỗ hổng

Các biện pháp hiện có ngăn ngừa các lỗ hổng

Cookie Injection

hầu hết các trình duyệt hiện nay đều chấp nhận cookie thơng qua https thậm chí khơng thẩm định nguồn https cookie(cookie forcing). Điều
này cho phép tin có thể lây nhiễm khai thác cookie giả mạo website khác để ghi đè vào https thực mà người dùng không nhận biết được.
https cookie độc hại được kiểm soát bởi tin tặc, cho phép can thiệp và thu thập thông tin phiên làm việc song vẫn có biện pháp ngăn ngừa.

CSRF(Crooss Site Request Forgery)

-kẻ tấn công tạo ra 1 tập tin HTML và chèn ifarme (ẩn) dẫn tới URL truy vấn với tham số nội dung chính và liên kết dẫn tới tập tin HTML
này.
-kẻ tấn công tải tập tin HTML lên một máy chủ sau đó sao chép liên kết và gửi lên chatbox tại trang chủ RapperVN.net
-các thành viên khác nếu nhấn vào liên kết sẽ đăng lại liên kết trên tràn cá nhân của các thành viên khác c ó biện pháp ngăn ngừa

GKPlugin

với việc sử dụng hàm header đi kèm “Content-Type: application/octet-stream” và dùng hàm readfile để đọc nội dung tệp thì trình duyệt sẽ hiển thị hộp
thoại cho phép người dùng tải về bất kỳ tệp tin nào nằm trên máy chủ. Việc người dùng có thể tải xuống tệp tin mã nguồn là rất nguy hiểm khi có thể để lộ
những thơng tin nhạy cảm như tài khoản đăng nhập Cơ sở dữ liệu hay tài khoản đăng nhập vào trang quản trị viên. chưa có biện pháp ngăn ngừa

Bước 5: Xác định mức độ chắc chắn

Nguyễn Thế Tuấn

Lỗ hổng

Mức độ chắc chắn

Cookie Injection

Vừa.
https cookie injection có thế kiểm sốt phiên làm việc của người khác nhưng vẫn có thê có các biện pháp kiểm sốt
hiện thời có thể ngăn cản việc khai thác thành công

CSRF(Crooss Site Request Forgery)

Vừa
CSRF có thể giả mạo được người dùng song vẫn có thể kiểm soát được bằng các biện pháp như:otp/challengerepose kiểm tra lại mật khẫu mỗi lần thao tác quan trọng.

GKPlugin

Cao
- GKPlugin có thể giả mạo được người dùng và ăn cắp các file trên máy chủ song vẫn chưa có biện pháp khắc phục.


Bước 6: Xác định mức độ tác động

Nguyễn Thế Tuấn

Lỗ hổng

Mức độ tác động

Cookie Injection

Cao
-ảnh hưởng đến tài nguyên của hệ thống.
-thông tin tài sản của người dùng.

CSRF(Crooss Site Request Forgery)

Cao
-ảnh hưởng đến dữ liệu
-thông tin cá nhân
-ảnh hưởng danh tiếng

GKPlugin

Cao
-Ảnh hưởng mặt thông tin, mất dữ liệu thông tin cá nhân.
-Danh tiếng
-Tin tăc có thế sử dụng thơng tin nhận dạng và quyền truy nhập của nạn nhân để thực hiện
các thap tác không mong muốn


Bước 7: Xác định rủi ro

Nguyễn Thế Tuấn

Lỗ hổng

Mức độ rủi ro

Cookie Injection

Vừa(100x0.5)

CSRF(Crooss Site Request Forgery)

Vừa(100x0.5)

GKPlugin

Cao(100x1)


Bước 8: Khuyến nghỉ các biện pháp kiểm soát

Nguyễn Thế Tuấn

Biện pháp kiểm sốt

Lỗ hổng

Cookie Injection

Các nhà cung cấp trình duyệt đã sửa chữa lỗ hổng. Người dùng được khuyến cáo nâng cấp phiên bản
mới nhất trình duyệt nên triển khai HSTS(HTTP Strict Transport Security) trên tên miền của mình.

CSRF(Crooss Site Request Forgery)

Sửa dụng chuẩn đề phòng chống CSRF như:

-

OWASP CSRF Guard
PHP CSRF Guard

-.Net CSRF Guard

GKPlugin

Hiện tại nhiều trang website xem phim trực tuyến đang sử dụng GKPlugin tuy nhiên GKPlugin hiện tại
chưa có bản cập nhật vá lỗi nào vì vậy Security khuyến cáo tới các quản trị viên các trang web xem
phim trực tuyến nên cập nhật trình phát video mới để đảm bảo an toàn cho website