Đồ Án HCMUTE: Tấn Công và Giải Pháp Bảo Mật Web

• Tác giả: Trần Công Hậu
• Người hướng dẫn: Ths. Nguyễn Thị Thanh Vân
• Trường học: Trường Đại Học Sư Phạm Kỹ Thuật TP.HCM
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Các Tấn Công và Giải Pháp Bảo Mật Web
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2019
• Địa điểm: Tp. Hồ Chí Minh

• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN CÁC KỸ THUẬT TẤN CÔNG WEBSITE VÀ NGĂN CHẶN
• 1.1. Cross Site Scripting (XSS)
• 1.2. Cách thức tấn công
• 1.3. Các loại tấn công XSS
• 1.3.1. DOM Based XSS
• 1.4. Cách thức phòng chống
• 1.5. Cross-site Request Forgery (CSRF)
• 1.5.1. Cách thức tấn công
• 1.5.2. Cách thức phòng chống
• 1.6. Phía người dùng
• 1.7. SQL Injection là gì?
• 1.7.1. Cách thức tấn công
• 1.7.2. Cách thức phòng chống
• 1.8. Denial Of Service – Tấn công từ chối dịch vụ
• 1.8.1. Cách thức tấn công
• 1.8.2. Cách thức phòng chống
• 1.9. Kiến trúc tổng quan của DDOS
• 1.9.1. Phân loại tấn công DDOS
• 1.9.2. Cách thức phòng chống
• 1.10. Dựa trên vị trí triển khai
• 1.10.1. Dựa trên giao thức mạng
• 1.10.2. Dựa trên thời điểm hành động
• 2. CHƯƠNG 2: XÂY DỰNG HỆ THỐNG WEBSITE VÀ NHỮNG LỖ HỔNG BẢO MẬT TRÊN WEBSITE
• 2.1. Cơ sở lý thuyết
• 2.1.1. Giới thiệu về Golang
• 2.1.2. Ưu, nhược điểm của ngôn ngữ Golang
• 2.1.3. Cơ sở dữ liệu MySQL trong Golang
• 2.1.3.1. Giới thiệu MySQL
• 2.1.3.2. Kết nối MySQL tới Golang
• 2.1.4. Cài đặt Golang trên các môi trường
• 2.1.4.1. Cài đặt trên môi trường Windows
• 2.1.4.2. Cài đặt trên môi trường Linux/MacOS
• 2.2. Xác định yêu cầu
• 2.2.1. Yêu cầu chức năng
• 2.2.2. Yêu cầu phi chức năng
• 2.2.3. Lược đồ Use Case
• 2.2.3.1. Use Case người dùng
• 2.2.3.2. Use Case quản trị viên
• 2.3. Thiết kế website
• 2.3.1. Thiết kế cơ sở dữ liệu
• 2.3.2. Danh sách models
• 2.4. Các lỗi bảo mật trong website
• 2.4.1. Lỗi brute-force
• 2.4.2. Lỗi SQL Injection
• 2.4.3. Lỗi Session Hijacking
• 3. CHƯƠNG 3: XÂY DỰNG, THỰC HIỆN CÁC TẤN CÔNG WEBSITE VÀ NGĂN CHẶN
• 3.1. Tấn công vét cạn
• 3.1.1. Xây dựng Modul tấn công
• 3.1.2. Quá trình thực thi modul tấn công
• 3.1.3. Xây dựng modul ngăn chặn
• 3.2. Tấn công XSS
• 3.2.1. Xây dụng modul tấn công
• 3.2.2. Quá trình tấn công
• 3.2.3. Xây dựng modul ngăn chặn
• 3.3. Tấn công CRSF
• 3.3.1. Xây dựng modul tấn công
• 3.3.2. Quá trình tấn công
• 3.3.3. Xây dựng modul ngăn chặn
• 3.4. Tấn công Ddos
• 3.4.1. Công cụ tấn công
• 3.4.2. Quá trình tấn công
• 3.4.3. Thực thi modul ngăn chặn
• 3.5. Tấn công Sql Injection
• 3.5.1. Công cụ tấn công
• 3.5.2. Quá trình tấn công
• 3.5.3. Xây dựng model ngăn chặn
• 3.6. Tấn công Session Hijacking
• 3.6.1. Thực hiện công cụ tấn công
• 3.6.2. Quá trình tấn công
• 3.6.3. Xây dựng modul ngăn chặn
• 4. CHƯƠNG 4: KẾT LUẬN
• 4.1. Kết quả đạt được
• 4.2. Hướng phát triển
• DANH MỤC TÀI LIỆU THAM KHẢO

I. Tổng quan về các tấn công mạng

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, các tấn công mạng trở thành một vấn đề nghiêm trọng đối với bảo mật web. Các hình thức tấn công như Cross Site Scripting (XSS), SQL Injection, và Denial of Service (DoS) đã được phát hiện và ngày càng tinh vi hơn. Những tấn công này không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của tổ chức. Việc hiểu rõ về các hình thức tấn công này là cần thiết để có thể triển khai các giải pháp bảo mật hiệu quả.

1.1. Cross Site Scripting XSS

XSS là một trong những hình thức tấn công phổ biến nhất. Tấn công này cho phép kẻ tấn công chèn mã độc vào trang web, từ đó đánh cắp thông tin nhạy cảm của người dùng. Các loại XSS bao gồm Reflected XSS, Stored XSS, và DOM Based XSS. Mỗi loại có cách thức tấn công và mức độ nguy hiểm khác nhau. Đặc biệt, Stored XSS được coi là nguy hiểm nhất vì mã độc được lưu trữ trên máy chủ và có thể tấn công nhiều người dùng cùng lúc.

II. Các giải pháp bảo mật web

Để bảo vệ hệ thống khỏi các tấn công mạng, việc triển khai các giải pháp bảo mật là rất quan trọng. Các biện pháp này bao gồm việc sử dụng mã hóa dữ liệu, kiểm tra bảo mật thường xuyên, và giám sát hoạt động trên hệ thống. Việc áp dụng các tiêu chuẩn bảo mật như OWASP Top Ten cũng giúp giảm thiểu rủi ro. Ngoài ra, việc đào tạo người dùng về an toàn thông tin cũng là một phần không thể thiếu trong chiến lược bảo mật.

2.1. Mã hóa dữ liệu

Mã hóa dữ liệu là một trong những phương pháp hiệu quả nhất để bảo vệ thông tin nhạy cảm. Sử dụng các thuật toán mã hóa mạnh mẽ giúp đảm bảo rằng ngay cả khi dữ liệu bị đánh cắp, kẻ tấn công cũng không thể truy cập vào nội dung của nó. Việc mã hóa không chỉ áp dụng cho dữ liệu lưu trữ mà còn cho dữ liệu truyền tải qua mạng.

III. Đánh giá và phân tích các tấn công

Việc đánh giá các tấn công mạng và phân tích nguyên nhân gây ra là rất quan trọng để cải thiện an ninh mạng. Các công cụ như kiểm tra bảo mật và giám sát hệ thống giúp phát hiện sớm các lỗ hổng và tấn công. Phân tích các sự cố bảo mật cũng giúp tổ chức rút ra bài học và cải thiện quy trình bảo mật trong tương lai.

3.1. Kiểm tra bảo mật

Kiểm tra bảo mật định kỳ giúp phát hiện các lỗ hổng trong hệ thống. Các phương pháp như penetration testing và vulnerability scanning là những công cụ hữu ích trong việc này. Việc phát hiện sớm các lỗ hổng giúp tổ chức có thể khắc phục kịp thời trước khi kẻ tấn công lợi dụng.