Bài tập lớn môn an toàn mạng (69)

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG
KHOA CƠNG NGHỆ THƠNG TIN

Học phần: An tồn mạng
Bài cuối kỳ:
Tìm hiểu về công cụ hỗ trợ Burp Suite cho kiểm thử các dạng tấn cơng
Sniffing và Spoofing
Giảng viên: TS. Đặng Minh Tuấn
Nhóm lớp: 02
Sinh viên: Vũ Gia Long – B18DCAT154

Hà Nội 2021


MỤC LỤC
LỜI MỞ ĐẦU ...........................................................................................................4
Chương I: Tổng quan về Burp Suite và các dạng tấn công Sniffing và
Spoofing.....................................................................................................................5
1. Giới thiệu về công cụ Burp Suite........................................................................5
2. Tổng quan về Sniffing. .......................................................................................6
3. Tổng quan về Spoofing. ......................................................................................8
Chương II. Cài đặt và hướng dẫn sử dụng công cụ Burp Suite trong Kali
Linux..........................................................................................................................9
1. Cài đặt và cấu hình cơng cụ Burp Suite..............................................................9
2. Cách sử dụng công cụ Burp Suite.....................................................................14
2.1. Burp Proxy: .................................................................................................14
2.2 Burp Repeater. .............................................................................................18
2.4 Burp Intruder ...............................................................................................19
Chương III: Demo ..................................................................................................23
1. Lab 1: Sử dụng Burp Suite để vượt qua chặn IP bằng IP Spoofing. ................23
1.1. Các bước chuẩn bị cài đặt và cấu hình máy chủ web:................................23

1.2. Kịch bản tấn cơng .......................................................................................30
1.3. Các bước thực hiện tấn công. .....................................................................30
2. Lab 2: Sử dụng Burp Proxy để nghe lén và thu thập thông tin nhạy cảm. .......32
2.1. Kịch bản tấn công. ......................................................................................33
2.2 Các bước thực hiện. .....................................................................................33
Chương IV. So sánh, đánh giá và kết luận ..........................................................39
1. So sánh ..............................................................................................................39
2. Đánh giá ............................................................................................................39
3. Kết luận .............................................................................................................40
TÀI LIỆU THAM KHẢO .....................................................................................41

1


DANH MỤC CÁC HÌNH VẼ
Hình 1. Giao diện chính cơng cụ Burp Suite. ............................................................6
Hình 2. Trang web tải Burp Suite bản comminity. ....................................................9
Hình 3. Giao diện cài đặt Burp Suite trên máy Kali. ...............................................10
Hình 4. Cách Burp Suite hoạt động đối với trình duyệt và website đích. ...............11
Hình 5. Cấu hình Burp Proxy. .................................................................................11
Hình 6. Cấu hình proxy trên web browser. ..............................................................12
Hình 7. Trình duyệt sẽ đưa ra thơng báo Did Not Connect: Potential Security Issue.
..................................................................................................................................13
Hình 8. . Hộp Certificate Manager hiện ra sau khi bấm vào View Certificates. .....14
Hình 9. Cách bật tính năng Intercept trong Burp. ....................................................15
Hình 10. Gói tin bị chặn lại và hiển thị trong trình soạn thảo. ................................15
Hình 11. Cách thay đổi giữa bản gốc và bản đã chỉnh sửa của request đã sửa trong
tab HTTP Proxy. ......................................................................................................16
Hình 12. Các thơng điệp HTTP được đánh dấu bởi nhiều mầu sắc khác nhau. ......17
Hình 13. Tab Option để tùy chỉnh cách chặn các thông điệp HTTP. ......................17

Hình 14. Thêm một tab mới trong chức năng Repeater. .........................................18
Hình 15. Các HTTP thơng điệp đến máy chủ đã chỉnh sửa và phản hồi của yêu cầu
đó trong tab Repeater. ..............................................................................................19
Hình 16. Tab Positions trong chức năng Intruder....................................................20
Hình 17. Tab Payloads. ............................................................................................21
Hình 18. Cài đặt nginx trên máy Ubuntu. ................................................................24
Hình 19. Nginx đã được cài đặt thành cơng. ...........................................................25
Hình 20. Mã nguồn file index.html..........................................................................26
Hình 21. Máy Kali truy cập thành cơng web. ..........................................................27
Hình 22. Cấu hình máy chủ chặn địa chỉ ip. ............................................................28
Hình 23. Máy Ubuntu truy cập trang web bình thường...........................................29
Hình 24. Máy Kali khơng thể truy cập vào trang web được nữa. ...........................29
Hình 25. Hộp Add match/replace hiện ra. ...............................................................30
Hình 26. Cấu hình chức năng Match and Replace. .................................................31
Hình 27. Trường X-Forwarded-For tự động điền vào thơng điệp HTTP. ...............32
Hình 28. Máy Kali đã có thể vào được trang web. ..................................................32
Hình 29. Cấu hình cổng cho máy chủ proxy. ..........................................................34
Hình 30. Máy Kali chạy lệnh sudo arpspoof -i eth0 -t 192.168.52.128
192.168.52.2. ............................................................................................................35
Hình 31. Tab HTTP History hiển thị các gói tin của nạn nhân. ..............................36
Hình 32. Trình duyệt web cảnh báo kết nối không riêng tư. ...................................37
2


Hình 33. Gói tin có chưa thơng tin nhạy cảm sau khi nạn nhân tiến hành đăng nhập
vào website weluck.vn .............................................................................................38

3

LỜI MỞ ĐẦU
Hiện nay với sự phát triển nhanh chóng của các công cụ phần mềm, hay các
ứng dụng dịch vụ thì nhu cầu về an tồn thơng tin trong các hệ thống phần mềm và
ứng dụng ngày càng được quan tâm và có ý nghĩa hết sức quan trọng. Vì thế các nhà
phát triển đã phát triển ra các công cụ mới nhằm hỗ trợ trong việc kiểm thử, kiểm
tra hay tìm kiếm các lỗ hổng bảo mật trên các ứng dụng, phần mềm đang phát triển.
Hiện nay các công cụ để kiểm thử, kiểm tra đang được phát triển và sử dụng
ngày càng phổ biến trong trong lĩnh vực An tồn thơng tin. Một trong những cơng
cụ đang rất nổi tiếng và được dùng rộng rãi hiện nay chính là cơng cụ Burp Suite.
Trong bài viết này chúng ta sẽ cùng tìm hiểu các chức năng và ứng dụng của công
cụ Burp Suite để hiểu rõ hơn về cách sử dụng công cụ này và tiến hành kịch bản
demo tấn công đối với các dạng tấn công Sniffing và Spoofing nhằm so sánh, đánh
giá với các công cụ hỗ trợ khác.

4


Chương I: Tổng quan về Burp Suite và các dạng tấn công Sniffing
và Spoofing
1. Giới thiệu về công cụ Burp Suite.
Burp Suite là một nền tảng tích hợp dễ sử dụng để bảo mật ứng dụng web. Burp
bao gồm nhiều cơng cụ được tích hợp liền mạch và cho phép bạn kiểm tra mọi thành
phần và khía cạnh của các ứng dụng web hiện đại. Cho dù bạn cần xác minh tính
mạnh mẽ của cơ chế xác thực, khả năng dự đốn của mã thơng báo phiên của bạn
hoặc các điểm kiểm tra xác thực đầu vào có trong ứng dụng của bạn. Nó khơng chỉ
cho phép đánh giá thủ cơng chun sâu mà cịn kết hợp các kỹ thuật tự động để liệt
kê và phân tích các tài nguyên ứng dụng web.
Burp Suite được phát triển bởi PortSwinger Ltd. và được phân phối ra thị trường ba
phiên bản:
- Burp Suite Community.

- Burp Suite Professional.
- Burp Suite Enterprise.
Cho dù phiên bản thương mại có tích hợp thêm chức năng qt lỗ hổng ứng dụng tự
động cùng 1 số chức năng nâng cao. Tuy nhiên với sự kết hợp hoàn hảo các tính
năng trong phiên bản miễn phí sẽ giúp người dùng tận dụng tối đa hiệu quả trong
quá trình đánh giá bảo mật ứng dụng web mà không cần phải đầu tư chi phí cho cơng
cụ.
Về bản chất, Burp là một proxy web cục bộ cho phép chặn, kiểm tra và sửa đổi các
yêu cầu và phản hồi HTTP / S giữa trình duyệt của người dùng và trang web mục
tiêu. Trong khi người dùng điều hướng qua ứng dụng web, công cụ thu thập thông
tin chi tiết về tất cả các trang, tập lệnh, tham số và các thành phần khác đã truy cập.
Lưu lượng truy cập giữa trình duyệt và máy chủ cuối cùng có thể được trực quan
hóa, phân tích, sửa đổi và lặp lại nhiều lần. Các cơng cụ khác nhau có trong Burp
Suite có thể dễ dàng phân biệt bằng các tab phía trên trong giao diện người dùng:
- Target: Công cụ này cho phép tổng hợp tất cả các tài nguyên ứng dụng web,
do đó hướng dẫn người dùng trong suốt q trình kiểm tra bảo mật.
- Proxy: Nó là thành phần cốt lõi của công cụ, cho phép chặn và sửa đổi tất
cả lưu lượng truy cập web.
5


- Spider: Đây là tính năng tự động duyệt web để xác định cấu trúc của một
website.
- Scanner: Một trình qt bảo mật ứng dụng web hồn chỉnh, chỉ có sẵn trong
phiên bản Professional.
- Intruder: Cho phép test ứng dụng web bằng cách gửi các payloads đã được
định nghĩa trước lên server, sau đó xem xét kết quả trả về.
- Sequencer: Burp Sequencer là cơng cụ hồn hảo để xác minh tính ngẫu
nhiên và khả năng dự đốn của mã thơng báo bảo mật, cookie, v.v.
- Decoder: Nó cho phép mã hóa và giải mã dữ liệu bằng cách sử dụng nhiều

hệ mật mã hóa hoặc sử dụng các hàm băm thơng thường (ví dụ: MD5).
- Comparer: Một cơng cụ khác biệt trực quan gồm tính năng so sánh các gói
tin khác nhau (theo phương thức word hoặc byte), tính năng này góp người
dùng đối chiếu các tài liệu tất cả dung lượng béo một cách dễ dàng.
Dưới đây là giao diện chính của cơng cụ Burp Suite:

Hình 1. Giao diện chính cơng cụ Burp Suite.
2. Tổng quan về Sniffing.

6


- Sniffing là một chương trình lắng nghe trên hệ thống mạng để truyền dữ liệu.
Sniffing cho phép các cá nhân nắm bắt dữ liệu khi nó truyền qua mạng. Kỹ thuật
này được sử dụng bởi các chuyên gia mạng để chuẩn đoán các sự cố mạng và bởi
những users có ý định xấu để thu thập dữ liệu khơng được mã hóa, như password
và username. Nếu thơng tin này được ghi lại trong q trình người dùng có thể truy
cập vào hệ thống hoặc mạng.
- Khởi đầu Sniffer là tên một sản phầm của Network Associates có tên là Sniffier
Analyzer.
- Những dữ liệu mà Sniffing chụp được là những dữ liệu ở dạng nhị phân (Binary).
Bởi vậy để nghe lén và hiểu được những dữ liệu ở dạng nhị phân này, các chương
trình Sniffing phải có tính năng được biết như là sự phân tích các giao thức
(Protocol Analysis), cũng như tính năng giải mã (Decode) các dữ liệu ở dạng nhị
phân sang dạng khác để hiểu được chúng.
Đối tượng Sniffing là:
+
+
+
+

+
+

Password (từ Email, Web, SMB, FTP, SQL hoặc Telnet)
Các thơng tin về thẻ tín dụng
Văn bản của Email
Các tập tin đang di động trên mạng (tập tin Email, FTP hoặc SMB)
Mục đích sử dụng
Sniffing thường được sử dụng vào 2 mục đích khác biệt nhau.

Tích cực:
+ Chuyển đổi dữ liệu trên đường truyền để quản trị viên có thể đọc và hiểu ý
nghĩa của những dữ liệu đó.
+ Bằng cách nhìn vào lưu lượng của hệ thống cho phép quản trị viên có thể
phân tích lỗi đang mắc phải trên hệ thống lưu lượng của mạng.
+ Một số Sniffing tân tiến có thêm tính năng tự động phát hiện và cảnh báo
các cuộc tấn công đang được thực hiện vào hệ thống mạng mà nó đang hoạt
động. (Intrusion Detecte Service)
+ Ghi lại thơng tin về các gói dữ liệu, các phiên truyền...Giúp các quản trị viên
có thể xem lại thơng tin về các gói dữ liệu, các phiên truyền sau sự cố...Phục
vụ cho cơng việc phân tích, khắc phục các sự cố trên hệ thống mạng.
Tiêu cực:
+ Nghe lén thông tin trên mạng để lấy các thông tin quan trọng.
7


+
+
+
+

Các giao thức có thể sử dụng Sniffing
Telnet và Rlogin: ghi lại các thông tin như password, usernames
HTTP (HyperText Transfer Protocol): Các dữ liệu gửi đi khơng mã hóa
SMTP, NNTP, POP, FTP, IMAP: Password và dữ liệu gửi đi không mã hóa.

3. Tổng quan về Spoofing.
- Spoofing là một loại lừa đảo mà bọn tội phạm cố gắng lấy thông tin cá nhân của
ai đó bằng cách giả vờ là một doanh nghiệp hợp pháp, hàng xóm hoặc một bên
khác có liên quan với nạn nhân.
- Các dạng lừa đảo trong spoofing: Có một số loại spoofing, bao gồm giả mạo
email, giả mạo tin nhắn, giả mạo ID người gọi, giả mạo URL và giả mạo IP.
Giả mạo email: Đôi khi được gọi là phishing, chiến thuật này được sử dụng bởi cả
nhà quảng cáo không trung thực và kẻ lừa đảo. Kẻ lừa đảo gửi email với giả mạo
với địa chỉ sai lệch, cố gắng lừa nạn nhân tin rằng tin nhắn là từ một người bạn,
người thân hoặc ngân hàng của anh ta, hoặc một số nguồn hợp pháp khác. Bất kì
email nào hỏi mật khẩu, số chứng minh nhân dân hoặc bất kì thơng tin cá nhân nào
khác đều có thể là một trị lừa đảo.
Giả mạo tin nhắn: Đôi khi được gọi là smishing, thủ thuật này tương tự như giả
mạo email. Tin nhắn văn bản có thể đến từ một nguồn hợp pháp, chẳng hạn như
ngân hàng của bạn, yêu cầu bạn gọi một số điện thoại nhất định hoặc nhấp vào một
liên kết trong tin nhắn, với mục tiêu lừa bạn tiết lộ thông tin cá nhân.
Giả mạo ID người gọi: Tội phạm làm sai lệch số điện thoại chúng dùng để nạn
nhân, để anh ta hoặc cô ta sẽ nghe cuộc gọi của chúng. Điện thoại của nạn nhân sẽ
hiển thị ID người gọi đến có vẻ là từ một doanh nghiệp hợp pháp hoặc cơ quan
chính phủ, chẳng hạn như Sở Thuế.
Giả mạo URL: Giả mạo URL là khi những kẻ lừa đảo thiết lập một trang web lừa
đảo để lấy thông tin từ nạn nhân hoặc cài đặt phần mềm độc hại lên máy tính của
họ. Chẳng hạn, nạn nhân có thể được chuyển đến một trang web trông giống như
trang web ngân hàng quản lí thẻ tín dụng của họ, và được yêu cầu đăng nhập bằng

ID và mật khẩu người dùng. Nếu nạn nhân bị lừa, kẻ lừa đảo có thể sử dụng thơng
tin mà nạn nhân đã nhập để đăng nhập vào trang web thực và truy cập vào tài
khoản của họ.

8


Chương II. Cài đặt và hướng dẫn sử dụng công cụ Burp Suite trong
Kali Linux
1. Cài đặt và cấu hình công cụ Burp Suite.
Bước 1: Yêu cầu hệ thống:
- Dung lượng máy tính: Cịn trống ít nhất 100MB.
- Bộ nhớ ram: Tối thiểu 2 GB.
- Hệ điều hành: Windows, Mac OS và Linux.
- u cầu mơi trường: Cần có mơi trường chạy Oracle Java (v1.6 trở lên) được cập
nhật để chạy Burp Suite. Ngồi ra OpenJDK cũng có thể được sử dụng. Cài đặt các
trình duyệt web phiên bản mới nhất (Firefox, Chrome, Safari hoặc Opera).
Bước 2: Tải và cài đặt Burp Suite.
Truy cập trang link: để tải bản community.

Hình 2. Trang web tải Burp Suite bản comminity.
Đối với hệ điều hành Windows:
1. Chọn Window(64bit) để tải bản cài đặt cho Windows.
9


2. Chạy file vừa tải về và cài đặt.
Đối với hệ điều hành Linux:
1. Chọn Linux (64bit) để tải bản cài đặt cho Linux.
2. Sau khi tải xong file burpsuite_community_linux_v2021_10_3.sh thì mở

terminal lên chạy câu lệnh sudo sh burpsuite_community_linux_v2021_10_3.sh để
excuted file.
3. Nhập mật khẩu máy kali để tiếp tục.
4. Sau khi chạy câu lệnh trên giao diện cài đặt Burp Suite bản community hiện
ra, tiếp theo cài đặt như các công cụ thông thường khác chỉ cần click vào Next
và chạy Burp.

Hình 3. Giao diện cài đặt Burp Suite trên máy Kali.
Bước 3: Cấu hình Burp Proxy.
Burp Proxy đóng vai trị trung gian cho các u cầu từ trình duyệt đến các ứng dụng
web kết nối. Do đó cần phải xác minh lại cấu hình của Burp Proxy với trình duyệt
để cho nó hoạt động theo mong muốn.
10


Hình 4. Cách Burp Suite hoạt động đối với trình duyệt và website đích.
Mặc định thì Burp Proxy được cấu hình để nghe trên cổng 8080/TCP. Để kiểm tra
rằng khơng có một phần mềm nào đang sử dụng cổng đấy thì ta có thể vào tab option
ở trong tab Proxy. Nếu hộp checkbox running đã được tích có nghĩa là Burp Proxy
đã sẵn sàng để nhận các yêu cầu từ trình duyệt. Trong một số trường hợp, Burp Proxy
yêu cầu thay đổi cổng và chạy lại bằng cách bấm vào hộp checkbox running.

Hình 5. Cấu hình Burp Proxy.
Ta cũng có thể chạy proxy server trên interface hoặc cổng khác khác bằng cách sử
dụng nút edit hoặc add để thay đổi hay thêm interface chạy proxy server.
Bước 4: Cấu hình proxy trên web browser.
Sau khi chạy proxy server, ta cần cấu hình địa chỉ ip của proxy trên trình duyệt.
Đối với firefox: vào General -> Network Settings -> Settings… . Sau khi chọn dòn
Settings… Một hộp thoại Connection Settings xuất hiện, chọn Manual proxy
configuration sau đó điền địa chỉ ip và port vừa cấu hình trên burp suite. Ngồi ra

bạn có thể sử dụng burp suite làm proxy cho một số giao thức khác như FTP, các
11


giao thức mã hóa bằng SSL (HTTPS, FTPS) bằng cách điền địa chỉ ip và port vào
các dòng SSL proxy hay FTP proxy. Sau khi cài đặt xong click vào OK

Hình 6. Cấu hình proxy trên web browser.
Bước 6: Cài đặt Burp CA certificate.
Khi sử dụng burp suite để chặn bắt các dữ liệu được truyền qua SSL (HTTPS) trình
duyệt sẽ đưa ra thông báo Did Not Connect: Potential Security Issue và sẽ không
cho dữ liệu được truyền qua kết nối này.

12


Hình 7. Trình duyệt sẽ đưa ra thơng báo Did Not Connect: Potential Security
Issue.
Để bắt được dữ liệu gửi qua SSL ta cần thêm CA (certificate authority) của burp
suite vào trình duyệt.
-Đầu tiên mở trình duyệt vào http://127.0.0.1:8080/ (sử dụng IP và port tương
ứng với cấu hình của burp suite). Sau đó click vào CA Certificate để tải và
lưu CA của burp suite. Sau khi có CA của burp ta cần cài vào trình duyệt.
-Đối với firefox: Mở trình duyệt vào Prefercences -> Private and Security ->
Certificates -> View certificates, chọn tab Authorities, click Import chọn file
CA của burp suite tải về từ trước, đánh dấu vào ô Trust this CA to identify
websites sau đó chọn OK.

13

Hình 8. . Hộp Certificate Manager hiện ra sau khi bấm vào View Certificates.
Như vậy thế là đã xong quá trình cài đặt và cấu hình phần mềm Burp Site, phần tiếp
theo đây sẽ là phần hướng dẫn sơ qua về cách sử dụng phần mềm Burp Site.
2. Cách sử dụng cơng cụ Burp Suite.
2.1. Burp Proxy:
- Burp proxy có thể chặn lưu lượng truy cập giữa trình duyệt và ứng dụng đích. Tùy
chọn này hoạt động tương tự với vector tấn công người trung gian. Các Forward tùy
chọn cho phép bạn gửi các gói tin từ IP nguồn đến IP đích. Các Drop tùy chọn cho
phép bạn thả các gói tin nếu bạn cảm thấy nó khơng cần phân tích.
- Trong Burp chọn tab Proxy -> Intercept click vào nút intercept is off để bật tính
năng chặn.

14


Hình 9. Cách bật tính năng Intercept trong Burp.
- Trong trình duyệt web vào bất kỳ đường dẫn nào để tiến hành chặn request. Trình
duyệt web sẽ gửi request nhưng sẽ bị đứng để đợi respone.
- Sau đó tab Intercept sẽ hiển thị các yêu cầu và phản hồi HTTP riêng lẻ đã được
Burp Proxy chặn để xem xét và sửa đổi.
- Các yêu cầu và phản hồi bị chặn được hiển thị trong trình soạn thảo tin nhắn HTTP,
chứa nhiều tính năng được thiết kế để giúp bạn nhanh chóng phân tích và thao tác
các tin nhắn.

Hình 10. Gói tin bị chặn lại và hiển thị trong trình soạn thảo.
- Nút Forward tùy chọn cho phép bạn gửi các gói tin từ IP nguồn đến IP đích. Nút
Drop tùy chọn cho phép bạn thả các gói tin nếu bạn cảm thấy nó khơng cần phân
tích. Sau khi gửi hết các gói tin đi thì trình duyệt web đã tải xong URL mà đã yêu
cầu trước đó.

15


- Tiếp theo, tab HTTP history sẽ hiển thị tất cả các request đã đi qua proxy. Chọn 1
trong những request trong bảng, HTTP response sẽ hiển thị trong trình sửa HTTP
request. Nếu chọn request đã sửa thì có thể xem lại bản gốc và bản đã sửa bằng
cách click vào drop-down menu và chọn Edited request

Hình 11. Cách thay đổi giữa bản gốc và bản đã chỉnh sửa của request đã sửa
trong tab HTTP Proxy.
- Click chuột phải vào 1 trong request ở trong bản history sẽ hiện các tùy chọn mà
người dùng muốn trong quá trình thử nghiệm ví dụ như là gửi request đến chức
năng Repeater để sử dụng.
- Khơng những thế ta cịn có thể sắp xếp các request, đánh dấu, tơ mầu, thêm bình
luận, lọc các gói tin nữa.

16


Hình 12. Các thơng điệp HTTP được đánh dấu bởi nhiều mầu sắc khác nhau.
- Tiếp đến là tab Option để điều chỉnh các cách chặn request. Theo mặc định, Burp
Proxy chỉ chặn các thông báo yêu cầu và không chặn các yêu cầu đối với các URL
có phần mở rộng tệp phổ biến thường không thú vị trực tiếp khi thử nghiệm (hình
ảnh, CSS và JavaScript tĩnh). Bạn có thể thay đổi hành vi mặc định này trong các
tùy chọn đánh chặn. Ví dụ: bạn có thể định cấu hình Burp để chỉ chặn các yêu cầu
trong phạm vi có chứa tham số hoặc chặn tất cả các phản hồi có chứa HTML.

Hình 13. Tab Option để tùy chỉnh cách chặn các thông điệp HTTP.

17

- Với tab Option có thể thay đổi hành vi lắng nghe của trình proxy, có thể thêm các
quy tắc vào để xác định các request và response nào bị chặn bởi proxy.
- Muốn tắt hồn tồn tính năng chặn của Burp để tất cả thông điệp HTTP được
chuyển tiếp tự động. Đơn giản là vào sử dụng công tắc Intercept trong tab Intercept.
2.2 Burp Repeater.
- Burp Repeater là công cụ đơn giản để thao tác và gửi lại các request HTTP và
WebSocket riêng lẻ theo cách thủ công, đồng thời có thể nhận được các response từ
ứng dụng để phân tính. Có thể sử dụng cơng cụ Repeater cho tất cả các mục đích, ví
dụ như thay đổi tham số đầu vào, đưa ra các request theo một trình tự cụ thể.
- Để sử dụng Burp Repeater với các thơng điệp HTTP, thì đầu tiên phải gửi các thơng
điệp HTTP từ bất kỳ đâu trong Burp và chọn Send to Repeater. Sau khi chọn xong
trong tab Repeater sẽ tự tạo 1 tab request mới, và tự động điền đầy đủ các chi tiết
liên quan trong trình soạn thảo. Ngồi ra cịn có thể tạo 1 tab mới ở trong tab Repeater
bằng cách click vào nút 3 chấm và chọn HTTP.

Hình 14. Thêm một tab mới trong chức năng Repeater.
- Đối với thông điệp HTTP, mỗi tab Repeater chưa các mục sau:
+ Điều khiển các yêu cầu và điều hướng lịch sử yêu cầu.
+ Server đích mà định gửi đi sẽ được hiện ra, có thể nhấp vào target để thay
đổi.
+ Trình chỉnh sửa thơng điệp HTTP chứa các request được đưa ra. Ta có thể
sử dụng những request này lặp lại nhiều lần.
+ Trình chỉnh sửa thơng điệp HTTP cũng sẽ hiển thị phản hổi từ những request
mà đã gửi trước đó.
18


- Sau khi đã chỉnh sửa các request HTTP thì ta có thể gửi đi bằng cách ấn vào nút

Send ở phí trên để gửi đi. Các phản hồi sẽ hiển thị ngay bên phải ở trong trình chỉnh
sửa. Từ đó ta có thể bắt đầu phân tích, đánh giá các vấn đề bảo mật.
- Cách gửi đi các thông điệp Websocket cũng tương tự giống với các thông điệp
HTTP.
- Hình ảnh dưới đây là ví dụ gửi đi HTTP thông điệp đến máy chủ đã chỉnh sửa và
phản hồi của u cầu đó trong tab Repeater.

Hình 15. Các HTTP thông điệp đến máy chủ đã chỉnh sửa và phản hồi của yêu cầu
đó trong tab Repeater.
2.4 Burp Intruder
- Burp Intruder là một cơng cụ để tự động hóa các cuộc tấn công tùy chỉnh chống lại
các ứng dụng web. Nó cực kỳ mạnh mẽ và có thể cấu hình, và có thể được sử dụng
để thực hiện một loạt các tác vụ, từ việc đoán các thư mục web đơn giản cho đến
khai thác tích cực các lỗ hổng SQL injection phức tạp.

19


- Burp Suite Intruder hoạt động bằng cách sửa đổi request HTTP ban đầu theo ý
mình và tự động gửi các payloads tới target. Các payloads có thể tự custom theo ý
muốn và chúng ta có thể filter những response từ Website.
- Đối với mỗi cuộc tấn công, bạn phải thêm vào đó 1 hoặc nhiều bộ Payloads vào
các vị trí đánh dấu trong Positions. Có nhiều các cách để tạo nhiều bộ Payloads.
Burp Intruder cũng có nhiều tùy chọn để giúp phân tích kết quả và xác định các mục
tiêu để điều tra thêm.
- UI Intruder chính cho phép bạn cấu hình đồng thời nhiều cuộc tấn cơng, mỗi 1 cuộc
tấn công là 1 tab riêng. Khi bạn gửi u cầu đến Intruder thì nó sẽ tự động mở tab
và đánh số riêng. Mỗi tab cấu hình thì chứa một số tab phụ khác, phục vụ cho
việc config cuộc tấn cơng đó.

Hình 16. Tab Positions trong chức năng Intruder.
- Chi tiết từng tab
+ Target: Sử dụng để cấu hình chi tiết của target server cho cuộc tấn công.
+ Positions: Ở đây sẽ được định cấu hình mẫu cho cuộc tấn cơng hàng loạt, cùng
với vị trí của payloads và kiểu tấn cơng.
+ Payloads: Sử dụng để cấu hình 1 hoặc nhiều bộ payloads, sẽ được đặt vào các
positions trong cuộc tấn cơng.
+ Options: Sử dụng để cấu hình nhiều tùy chọn khác với cuộc tấn cơng đó.
- Target:
Tab này được sử dụng để cấu hình chi tiết của target server cho cuộc tấn công.
20


+ Host: Đây là địa chỉ IP hoặc tên máy chủ của target server.
+ Port: Đây là số cổng của dịch vụ HTTP/S.
+ Use HTTPS: Sử dụng HTTPS hay là khơng. Cách dễ nhất để cấu hình các chi
tiết này là sử dụng HTTP history nằm trong tab Proxy hoặc bất cứ nơi nào
trong Burp rồi gửi đến Burp Intruder. Điều này sẽ gửi yêu cầu để Burp Intruder
mở 1 tab mới trong Intruder và sẽ được tự động điền vào Target và Positions.
- Tab Payloads:

Hình 17. Tab Payloads.
- Ở đây ta sẽ sử dụng để cấu hình một hoặc nhiều bộ payloads. Số lượng payloads
thì tùy vào loại tấn công được xác định trong Positions.

21


+ Payload Sets: Ở đây mình sẽ được cấu hình từng bộ payloads và kiểu
payloads. Có rất nhiều kiểu tùy theo mục đích tấn cơng là gì.

+ Payload Options: Tại đây mình sẽ nạp các payloads cần thiết để nạp vào
chỗ đã đánh dấu tại Positions. Có nhiều danh sách cho bạn lựa chọn tại Add
from list ...
+ Payload processing: Tại đây là nơi mà mình xử lý các payload với các quy
tắc như thêm tiền tố phía trước payloads hay thêm hậu tố phía sau payloads,
...
+ Payload Encoding: Bạn có thể định cấu hình các ký tự trong payloads phải
được mã hóa URL để truyền trong HTTP. Việc này sẽ được áp dụng sau
cùng sau khi bất kỳ Payload Processing Rule được thực thi.

22


Chương III: Demo
1. Lab 1: Sử dụng Burp Suite để vượt qua chặn IP bằng IP Spoofing.
- Hiện nay một số trang web đang triển khai các bảo mật web dựa trên các quy tắc
bảo vệ trên IP để hạn chế người dùng truy cập vào các trang không mong muốn,
chẳng hạn như trang quản trị dành cho admin. Cụ thể thì các trang web chỉ cho truy
cập khi địa chỉ ip yêu cầu đến nằm trong danh sách được truy cập, nếu khơng có
trong danh sách thì sẽ bị chặn truy cập.
- Chuẩn bị:
+ Máy kali có cài Burp Suite để giả mạo địa chỉ ip.
+ Máy Ubuntu để cài đặt cấu hình máy chủ của ứng dụng web.
+ Sử dụng Nginx để cấu hình máy chủ web.
1.1. Các bước chuẩn bị cài đặt và cấu hình máy chủ web:
Bước 1: Cài đặt Nginx trên máy Ubuntu.
Bật terminal và chạy lệnh sudo apt-get install nginx.

23

Hình 18. Cài đặt nginx trên máy Ubuntu.
Sau khi cài đặt xong mở trình duyệt lên và vào truy cập địa chỉ của localhost để kiểm
tra xem Nginx đã được cài chính xác chưa.

24