BO GIAO DUC VA DAO TAO TRUONG DAL HOC BACH KHOA HA NỘI Đỗ Hoành Bách NGIIÊN CỨU CÁC LÓHÖNG _ ỨNG DỤNG WEB VẢ CÁCTHI PIÒNG CHÓNG LUẬN VĂN THẠC SĨ KỸ THUẬT CHUYÊN NGÀNH CÔNG NGIT THONG TIN NGƯỜI HƯỚNG DẪN KHOA HỌC: 'TB. Trần Đức Khánh IIa Nội — Năm 2014 .@i cam doan Tôi xin cam đoan đây là công trình nghiên cứu của riêng tôi. Các số liệu, kết quả néu trong luân vẫn là trung thực và chưa từng dược ai công bố trong bất kỳ công trinh nào khác. Tôi xin cam đoan rằng mọi sự giúp đỡ cho việc thực hiện lận văn này đã được cảm ơn và các thông tin trích dẫn trong luận văn dã dược chỉ rõ nguồn gốc.
Tiọc viên Ti Iloảnh Bách. Léi cam on Trước tiên, tôi xia được gửi lời cảm ơn đến tất cả quý thầy cô đã giảng day trong chương trình Cao học Công nghề thông tia khóa CH2012B — Viện Công nghệ thông, tim va Truyén thông Dai hoc Bach Khoa [1a Nội. Cáo thầy cô để truyền đạt cho tôi những kiên thức hữu ich làm cơ sở đề tỏi hoàn thành juan van này. Tôi xin chân thành cảm ơn T8.
Trần Đức Khánh đã tận tình hưởng dẫn cho tôi trong, thời gian thực hiệu luận văn. Những kiến thức Thầy hướng dẫn, chí báo đã cho tôi xrhiểu kinh nghiêm trong thời gian thực hiện luận văn. Sau cùng tôi xin gửi lời biết ơn sâu sắc đến gia định đã luôn tạo điều kiện tốt nhất. cho tôi trong suốt quá trình học cũng như thực hiện luận vẫn.
To thời gian có hạn và kinh nghiệm nghiên cứu khoa học chưa nhiề Tiển hiện van không tránh khỏi những thiếu sét, rất mong nhận được ý kiến đóng góp của các thây/cô và các anh chí học viên. Hà Nội ngày tháng năm 2014 Học viên Đỗ Iloảnh Bách. Danh muc cac bang Bang 1, Fscape Characters Bang 2. Html Entities Bang 3.
Phép toán XOR. Ste dung ScripfResouree dé hign thi mét file tài nguyên trên máy chủ. Hinh 42, Cau hinh Custom Errors trong web. Gửi truy vấn tới Webserver dé phat hiện khó năng tỏn tại lỗ hỏng Tình 44.
Mã hóa các byte của chuỗi ký lự đường dẫn tới file web. Kết quả mã héa cuối cùng xâu đường dẫn tới web. Nội đụng ñle web.coulg với nhiều thông tín nhạy câm Ilinh 417. Sửa lại cdu hinh file web.config 14 Remote Only.
Khéng khai thác dược lỗ hỗng Padding Oracle sau khi dã khắc phục. CHUONG t: TONG QUAN 1.1 Téng yuan vé an ninh théng tin mang may tính Mạng Internet cùng với những ứng dụng của nó được coi là một trong những phát xinh vĩ đại của văn mình nhân loại. Với sự kết nối rộng lớn của Triemel, websile xuất hiện và ngay lập tức nổi bật lên như một kênh thông tin hữu dụng trong mọi hoạt động. Có thé dé dang nhận thầy sự hiện điện của website trong hầu hết các lĩnh.
vực: các công ly giới thiệu, quảng cáo va ra mal cdc sản phẩm dịch vụ của mình trên website, các tổ chức y tế sử dụng website để tư vẫn và mang thông tin sức khóe đến mọi người; các trường học tiên hành tuy én sinh, thậm chỉ đảo tạo ngay trên website. Các cơ quan chính phủ cũng sử dụng website ru mội. kênh Iruy én thang, nhằm tuy ên truyền những chủ trương, quy định mới bay tiếp xúc với người dân, Đặc biệt trong những năm gắn đây, trào hm mạng xã hội đá đưa những Facebook, Twitter hay Tánkedin trở thánh một phần không thể thiếu trong đời sống của nhiền người. Những điêu tuyệt vời mà web rnang lại cho xã hội là không thể phủ nhận.
Tuy nhiên, mặt trải của những lợi ích đó là những hậu quả võ củng nghiêm trong andi khi website mắc các lỗ hẳng am nình, Những lễ hồng só thể bị hacker lợi dụng, để gây hại bới chính tài nguyên của website hoặc tới những người truy cập, sử dụng, nó. Ngày nay, khỉ rá các địch vụ như TniemeL Banking, ví điện Lữ hay giao dịch chứng khoản trực tuyến dang phat trién rất nhanh theo xu thể chung của thương mại điện tử thì tổn thất về tiễn bạc sẽ chẳng thể đong đếm khi những hệ thông website xây bị lấn công, Không chú gây ra những lỗn thất về kinh lễ, website là bô mặt của các tổ chức, cả nhân, chính vị ẽ là một tốn thất cực kỳ lớn về uy tín mỗi khi những website này bị tấn cổng. Gần đây, sự việc báo điện tử Vietnamnet bi tan công đã gây xôn xao dư luận và để lại những hậu quả vô cùng nghiêm trọng cho đơn vị nảy. Hàng tháng có rất nhiều các website của Việt Nam bi tin công, chiếm quyên điêu khiển.
Dang chi ý trang số này có không it các website của các ngân hang, cong ty chúng khoản, các tỗ chức chính phủ và giáo dục cũng rnắc những lỗ héng rat nghiém trong 10 Hinh 41. Ste dung ScripfResouree dé hign thi mét file tài nguyên trên máy chủ. Hinh 42, Cau hinh Custom Errors trong web. Gửi truy vấn tới Webserver dé phat hiện khó năng tỏn tại lỗ hỏng Tình 44.
Mã hóa các byte của chuỗi ký lự đường dẫn tới file web. Kết quả mã héa cuối cùng xâu đường dẫn tới web. Nội đụng ñle web.coulg với nhiều thông tín nhạy câm Ilinh 417. Sửa lại cdu hinh file web.config 14 Remote Only.
Khéng khai thác dược lỗ hỗng Padding Oracle sau khi dã khắc phục. Danh muc cac bang Bang 1, Fscape Characters Bang 2. Html Entities Bang 3. Phép toán XOR.
Tình mục các kí hiệu, các chữ viết Lắt Từ viết tắt Y nghĩa SQI. Structured Query Language — ngén ngif truy van mang tink cau tric X58 _ Cross-Site Seriping — một lỗ hồng bảo mật CSRF Cross-Site RequestIorgery — một lễ hổng bảo mat URL Uniform Resource Locator — dia chi tham chiêu tài nguyên trên Emternet CBC Cipher Block Chaining một mỏ bìmh mã hỏa khối IV Initialization Vector Vector khỡi tao trong thuậttoản CBC CBC-R CBC Reverse kĩ thuật mã hóa xâu ký tự tất kỉ trong Padding Oracle PHP HypertextPreprocessor một ngôn ngữ lập trinh web OS — Intemmet Information Server — phan mém may chủ web của Microsol\ CMS Content Management System —hé théng quan ti noi dung Danh muc các hình vẽ, đỗ thị Hình 1. Các mô hình mã hóa - - Hình 2. Hệ thông Oracle trong mat ma hoc.
Padding thea chuin PRCS? Linh 6. Xau ma hoa Tình 7. Quả trình mã hóa Hình 8. Quá trình giải mã Hình 9.
Padding sai Tình 16. Thay đốik - Tĩnh 11. Cho đến khi padđing đúng,. Gidi ma byte tiếp theo - - linh 13.
Cho đến khi padding đủng,. Giải mã loàn bộ khối Tĩinh 15. Minh họa lỗi Paddina trên ASP. Trang web điện thoại di động Minh 18.
Thay 44i nội dụng biến id. Lây được các thông tin tai khoản. đăng nhập Linh 20, Biên ¡d không được xử lý lực cảng. Tình 23, Form nhập đữ liệu và hiển thị.
Lễ hồng XS. - Chân một trang web Khic vio ink để lừa người dũng. Rứ đụng hảm hn]entities để mã hóa biến đầu vào. Không khai thác được lỗ hỗng X88 sau khi đã xử lý biển đầu vào, THỉnh 29.
Website thử nghiệm Directory Traversal Hinh 30. Hién thi file boot.ini cita bé diéu hah. Bién file khéng được xủ lý kỹ cảng, Hinh 32. Loe cdc ky tu nguy biém.
Không khai thác được lỗ hằng Directory Traversal sau khi khác pine Hình 34. rang web thứ nghiệm CSRF Tỉnh 35. Quản trị website có thể thên , xa gác 11 dụng thông tin. Duéng link hacker lừa gửi cho quấn trị viên Hình 37.
Nội đung ẩn bên trong file html Hình 38. Các nội đừng ban đầu của website đã bị vô tình bị xóa. 1rang web ngàn hảng thứ nghiệm Padding Oracle. WebResource va ScriptResource CHUONG t: TONG QUAN 1.1 Téng yuan vé an ninh théng tin mang may tính Mạng Internet cùng với những ứng dụng của nó được coi là một trong những phát xinh vĩ đại của văn mình nhân loại.
Với sự kết nối rộng lớn của Triemel, websile xuất hiện và ngay lập tức nổi bật lên như một kênh thông tin hữu dụng trong mọi hoạt động. Có thé dé dang nhận thầy sự hiện điện của website trong hầu hết các lĩnh. vực: các công ly giới thiệu, quảng cáo va ra mal cdc sản phẩm dịch vụ của mình trên website, các tổ chức y tế sử dụng website để tư vẫn và mang thông tin sức khóe đến mọi người; các trường học tiên hành tuy én sinh, thậm chỉ đảo tạo ngay trên website. Các cơ quan chính phủ cũng sử dụng website ru mội.
kênh Iruy én thang, nhằm tuy ên truyền những chủ trương, quy định mới bay tiếp xúc với người dân, Đặc biệt trong những năm gắn đây, trào hm mạng xã hội đá đưa những Facebook, Twitter hay Tánkedin trở thánh một phần không thể thiếu trong đời sống của nhiền người. Những điêu tuyệt vời mà web rnang lại cho xã hội là không thể phủ nhận. Tuy nhiên, mặt trải của những lợi ích đó là những hậu quả võ củng nghiêm trong andi khi website mắc các lỗ hẳng am nình, Những lễ hồng só thể bị hacker lợi dụng, để gây hại bới chính tài nguyên của website hoặc tới những người truy cập, sử dụng, nó. Ngày nay, khỉ rá các địch vụ như TniemeL Banking, ví điện Lữ hay giao dịch chứng khoản trực tuyến dang phat trién rất nhanh theo xu thể chung của thương mại điện tử thì tổn thất về tiễn bạc sẽ chẳng thể đong đếm khi những hệ thông website xây bị lấn công, Không chú gây ra những lỗn thất về kinh lễ, website là bô mặt của các tổ chức, cả nhân, chính vị ẽ là một tốn thất cực kỳ lớn về uy tín mỗi khi những website này bị tấn cổng.
Gần đây, sự việc báo điện tử Vietnamnet bi tan công đã gây xôn xao dư luận và để lại những hậu quả vô cùng nghiêm trọng cho đơn vị nảy. Hàng tháng có rất nhiều các website của Việt Nam bi tin công, chiếm quyên điêu khiển. Dang chi ý trang số này có không it các website của các ngân hang, cong ty chúng khoản, các tỗ chức chính phủ và giáo dục cũng rnắc những lỗ héng rat nghiém trong 10 3. Kich ban thd nghiém "- 321 SQL, Injeetion.
AD Directory Traversal CSRE.3 Kết quả thử nghiệm. Directory Traversal CSRF 343. KẾT LUẬN 41 Những kết quả đạt được.2 Đmh hướng phải triển TẢI LIEU THAM KHẢO Tình mục các kí hiệu, các chữ viết Lắt Từ viết tắt Y nghĩa SQI.