Một số phương thức tấn công ứng dụng web
M T S PH NG TH C T N CÔNG NG D NG WEB HAY Ộ Ố ƯƠ Ứ Ấ Ứ Ụ
G PẶ
Website hi n là kênh cung c p thông tin r t hi u qu , nhanh chóng và ệ ấ ấ ệ ả
b ích c a m i doanh nghi p và t ch c đ n v i ng i dùng. Trong ổ ủ ỗ ệ ổ ứ ế ớ ườ
th i đ i này website và tài kho n cá nhân là đích ng m c a tin t c ờ ạ ả ắ ủ ặ
nh m đánh c p thông tin liên quan bên trong d a vào n n t ng t các ằ ắ ự ề ả ừ
l h ng đang t n t i.ỗ ổ ồ ạ
Các l i b o m t ng d ng web là nguyên nhân ch y u gây ra các l i đ i ỗ ả ậ ứ ụ ủ ế ỗ ố
v i website đang v n hành. Sau khi xác đ nh các l i này, tin t c s s d ng ớ ậ ị ỗ ặ ẽ ử ụ
các k thu t khác nhau đ ti n hành khai thác h th ng đích. M t s k ỹ ậ ể ế ệ ố ộ ố ỹ
thu t th ng đ c s d ng: Buffer Overflows, SQL Injection, and Cross-ậ ườ ượ ử ụ
site Scripting…Vi c phân lo i các ki u t n công thành các nhóm khác nhau ệ ạ ể ấ
s giúp cho ng i qu n tr d dàng xác đ nh các nguy c cũng nh biên ẽ ườ ả ị ễ ị ơ ư
pháp đ i phó h n.ố ơ
Bài vi t d i đây li t kê 4 ph ng th c t n công ng d ng Web thông ế ướ ệ ươ ứ ấ ứ ụ
d ng nh t cùng bi n pháp đ i phó khi g p ph i.ụ ấ ệ ố ặ ả
L i ch ng th c y u (Insufficient Authentication)ỗ ứ ự ế
L i ch ng th c y u xu t hi n khi m t website cho phép truy c p các n i ỗ ứ ự ế ấ ệ ộ ậ ộ
dung, tài nguyên nh y c m mà không có đ quy n. Các trang qu n tr là ạ ả ủ ề ả ị
m t ví d d th y nh t. N u không có c ch phân quy n h p lý th m c ộ ụ ễ ấ ấ ế ơ ế ề ợ ư ụ
cũng nh tài kho n đăng nh p trang qu n tr này. Tin t c hoàn toàn có kh ư ả ậ ả ị ặ ả
năng v t qua đ c c ch đăng nh p đ chi m quy n đi u khi n trang ượ ượ ơ ế ậ ể ế ề ề ể
này.
Bi n pháp đ i phó:ệ ố
Thi t l p c ch đi u khi n truy c p thông quan .htaccess ho c t p tin c uế ậ ơ ế ề ể ậ ặ ậ ấ
hình httpd.conf
Ví d : Đi u khi n truy c p thông qua httpd.confụ ề ể ậ
<LocationMatch “^/admin/”>
SSLRequireSSL
AuthType Digest
AuthName “Admin Area”
AuthDigestfile /usr/local/apache/conf/passwd_digest
Require user admin
</LocationMatch>
T n công Bruteforceấ
Bruteforce là cách th c th t t c các kh năng có th có đ đoán các thôngứ ử ấ ả ả ể ể
tin cá nhân đăng nh p: tài kho n, m t kh u, s th tín d ng…Nhi u h ậ ả ậ ẩ ố ẻ ụ ề ệ
th ng cho phép s d ng m t kh u ho c thu t toán mã hóa y u s t o đi u ố ử ụ ậ ẩ ặ ậ ế ẽ ạ ề
ki n cho tin t c s d ng ph ng pháp t n công này đ đoán tài kho n và ệ ặ ử ụ ươ ấ ể ả
m t kh u đăng nh p. Sau đó s d ng các thông tin này đ đăng nh p truy ậ ẩ ậ ử ụ ể ậ
c p vào tài nguyên h th ng.ậ ệ ố
Bi n pháp đ i phó:ệ ố
Tăng c ng đ m nh cho m t kh u (Đ dài ít nh t 6 ký t , không ch a ườ ộ ạ ậ ẩ ộ ấ ự ứ
chu i username, ch a ít nh t 1 ký t s , ch a ít nh t 1 ký t đ c bi t, ỗ ứ ấ ự ố ứ ấ ự ặ ệ
không cho phép thay đ i m t kh u trùng l p đã s d ng, qu n lý, đi u ổ ậ ẩ ặ ử ụ ả ề
khi n thông báo l i)ể ỗ
S d ng c ch ch ng th c (Basic ho c Digest Authentication)ử ụ ơ ế ứ ự ặ
H n ch s l n đăng nh p ho c khóa tài kho n đăng nh p saiạ ế ố ầ ậ ặ ả ậ
S d ng module Mod_Dosevasive đ xác đ nh d u hi u c a ki u t n công ử ụ ể ị ấ ệ ủ ể ấ
này.
XSS – Cross-Site Scripting
XSS là m t trong nh ng kĩ thu t t n công ph bi n nh t hi n nay, đ ng ộ ữ ậ ấ ổ ế ấ ệ ồ
th i nó cũng là m t trong nh ng v n đ b o m t quan tr ng đ i v i các ờ ộ ữ ấ ề ả ậ ọ ố ớ
nhà phát tri n web và c nh ng ng i s d ng web. B t kì m t website ể ả ữ ườ ử ụ ấ ộ
nào cho phép ng i s d ng đăng thông tin mà không có s ki m tra ch t ườ ử ụ ự ể ặ
ch các đo n mã nguy hi m thì đ u có th ti m n các l i XSS.ẽ ạ ể ề ể ề ẩ ỗ
Tin t c t n công b ng cách chèn vào các website đ ng (ASP, PHP, CGI, JSPặ ấ ằ ộ
…) nh ng th HTML hay nh ng đo n mã script nguy hi m có th gây ữ ẻ ữ ạ ể ể
nguy h i cho nh ng ng i s d ng khác. Trong đó, nh ng đo n mã nguy ạ ữ ườ ử ụ ữ ạ
hi m đ c chèn vào h u h t đ c vi t b ng các Client-Site Script nh ể ựơ ầ ế ượ ế ằ ư
JavaScript, JScript, DHTML và cũng có th là c các th HTMLể ả ẻ
Ví d : S d ng XSS chèn mã java script tr c ti p trên URLụ ử ụ ự ế
http://www.demo.com/search.cgi?query=<script>alert(‘XSS was
found !’);</script>
Khi wesite http://www.demo.comb l i XSS trình duy t s hi n lên m t ị ỗ ệ ẽ ệ ộ
thông báo “XSS was found !”.
N u nh các kĩ thu t t n công khác có th làm thay đ i đ c d li u ế ư ậ ấ ể ổ ượ ữ ệ
ngu n c a web server (mã ngu n, c u trúc, c s d li u) thì XSS ch gây ồ ủ ồ ấ ơ ở ữ ệ ỉ
t n h i đ i v i website phía client mà n n nhân tr c ti p là nh ng ng i ổ ạ ố ớ ở ạ ự ế ữ ườ
khách duy t site đóệ
Bi n pháp đ i phó:ệ ố
Ch cho phép nh ng d li u h p l , t ch i nh n các d li u sai, th ng ỉ ữ ữ ệ ợ ệ ừ ố ậ ữ ệ ườ
xuyên ki m tra và l c d li u đ u vào.ể ọ ữ ệ ầ
S d ng Mod_Security đ l c m t s d li u t n công XSS.ử ụ ể ọ ộ ố ữ ệ ấ
SecFilterSelective THE_REQUEST “<[^>]*meta*\”?[^>]*>”
SecFilterSelective THE_REQUEST “<[^>]*style*\”?[^>]*>”
SecFilterSelective THE_REQUEST “<[^>]*script*\”?[^>]*>”
SecFilterSelective THE_REQUEST “<[^>]*iframe*\”?[^>]*>”
SecFilterSelective THE_REQUEST “<[^>]*object*\”?[^>]*>”
SecFilterSelective THE_REQUEST “<[^>]*img*\”?[^>]*>”
SecFilterSelective THE_REQUEST “<[^>]*applet*\”?[^>]*>”
SecFilterSelective THE_REQUEST “<[^>]*form*\”?[^>]*>”
D đoán, chèn phiên (Credentical/Session Prediction)ự
D đoán, chèn phiênlà m t ph ng th c chi m phiên (hijacking). Thông ự ộ ươ ứ ế
th ng, khi m t tài kho n th c hi n quá trình ch ng th c đ i v i server ườ ộ ả ự ệ ứ ự ố ớ
(tài kho n/m t kh u). D a vào các thông tin này, server s t o m t giá tr ả ậ ẩ ự ẽ ạ ộ ị
session ID duy nh t đ cho phép và duy trì k t n i. N u đoán đ c session ấ ể ế ố ế ượ
ID k ti p thì tin t c có kh năng chi m phiên đăng nh p c a ng i dùng ế ế ặ ả ế ậ ủ ườ
h p l khác.ợ ệ
Bi n pháp đ i phó:ệ ố
S d ng SSL (mod_ssl) trong quá trình ch ng th c đ ch ng l i vi c nghe ử ụ ứ ự ể ố ạ ệ
lén d li u quan tr ng.ữ ệ ọ
S d ng c ch t o session ID ng u nhiên, thu t toán mã hóa m nh.ử ụ ơ ế ạ ẫ ậ ạ
Session ID ph i đ l n đ làm khó quá trình t n công brute-fore.ả ủ ớ ể ấ
Gi i h n th i gian t n t i c a session ID.ớ ạ ờ ồ ạ ủ
có thể bạn quan tâm
Khóa luận tốt nghiệp: Công tác Tuyển dụng, Đào tạo và phát triển nguồn...
95
5.203
1.224
Kinh tế quản lý
95
(New)
Đề xuất phương pháp đánh giá hiệu quả tài chính, kinh tế xã hội của dự...
76
1.021
248
Kinh tế quản lý
76
(New)
Hoạt động và công tác quản lý vốn và một số phương hướng và biện pháp...
87
514
257
Kinh tế quản lý
87
(New)
Thực trạng vận dụng phương thức thanh toán tín dụng chứng từ tại SGD-...
41
1.021
288
Kỹ thuật
41
(New)
HIỆU QUẢ CÔNG TÁC THANH TOÁN XUẤT NHẬP KHẨU THEO PHƯƠNG THỨC TÍN DỤNG...
91
773
328
Kinh tế quản lý
91
(New)
Môi trường tại phường Quang Trung, Thái Nguyên- Đối tượng, nội dun...
60
719
269
Kinh tế quản lý
60
(New)
Tìm hiểu những ứng dụng của họ vi điều khiển PIC 16F877A, ngôn ngữ lập...
34
879
402
Kỹ thuật
34
(New)
Những giải pháp nhằm phát triển hoạt động thanh toán quốc tế bằng phươ...
93
1.001
266
Kinh tế quản lý
93
(New)
thông tin tài liệu
Website hiện là kênh cung cấp thông tin rất hiệu quả, nhanh chóng và bổ ích của mỗi doanh nghiệp và tổ chức đến với người dùng. Trong thời đại này website và tài khoản cá nhân là đích ngắm của tin tặc nhằm đánh cắp thông tin liên quan bên trong dựa vào nền tảng từ các lỗ hổng đang tồn tại.
Mở rộng để xem thêm
từ khóa liên quan
tài liệu mới trong mục này
tài liệu hot trong mục này
tài liệu giúp tôi
Nếu bạn không tìm thấy tài liệu mình cần có thể gửi yêu cầu ở đây để chúng tôi tìm giúp bạn!
xem nhiều trong tuần
Giáo trình Quản trị học của Đại học kinh tế quốc dân
4 đề thi học sinh giỏi Toán lớp 2, có đáp án kèm theo
BIỂU MẪU ĐỀ NGHỊ NHẬP KHẨU THUỐC CHƯA CÓ GIẤY ĐĂNG KÝ LƯU HÀNH THUỐC TẠI VIỆT NAM KHÔNG VÌ MỤC ĐÍCH THƯƠNG MẠI
Hướng dẫn tự học Access
Sinh học 11 mạch gỗ và mạch rây của cây
IELTS Writing task 2 - chủ đề chủ đề Imported food
yêu cầu tài liệu
Giúp bạn tìm tài liệu chưa có
×
