Luận văn thạc sĩ VNU: Phân tích tự động phát hiện lỗ hổng SQL Injection và XSS

Luận văn thạc sĩ nghiên cứu vnu uet phân tích tự động các website để phát hiện các lỗ hổng tiêm nhiễm sql và xss, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện pháp hoàn

• Tác giả: Đặng Thị Ngọc Tuyết
• Người hướng dẫn: Ts. Nguyễn Đại Thọ
• Trường học: Trường Đại học Công nghệ - Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phân tích tự động các Website để phát hiện lỗ hổng tiêm nhiễm SQL và XSS
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG I: TỔNG QUAN VỀ LỖ HỔNG BẢO MẬT SQLI, XSS
• 1.1. Lỗ hổng an ninh ứng dụng web
• 1.2. Lỗ hổng an ninh SQLi. Giới thiệu lỗ hổng SQLi
• 1.3. Phương pháp phát hiện lỗ hổng SQLi
• 1.4. Phương pháp khai thác SQLi
• 1.5. Phương pháp phòng chống SQLi. Lỗ hổng an ninh XSS
• 1.6. Giới thiệu lỗ hổng an ninh XSS
• 1.7. Phân loại XSS
• 1.8. Quá trình phát hiện lỗ hổng XSS
• 1.9. Cách thức phòng chống lỗ hổng XSS
• 2. CHƯƠNG II: CÁC GIẢI PHÁP QUÉT LỖ HỔNG ỨNG DỤNG WEB
• 2.1. Tổng quan công cụ quét lỗ hổng ứng dụng Web
• 2.2. Giới thiệu công cụ quét lỗ hổng ứng dụng Web
• 2.3. Phương thức hoạt động của công cụ quét lỗ hổng an ninh
• 2.4. Giới thiệu một số công cụ quét phổ biến hiện nay
• 2.5. Acunetix Web Vulnerability Scanner
• 3. CHƯƠNG III: XÂY DỰNG PHẦN MỀM PHÂN TÍCH TỰ ĐỘNG WEBSITE PHÁT HIỆN VÀ KHAI THÁC LỖ HỔNG SQLI VÀ XSS
• 3.1. Mô hình kiến trúc hệ thống
• 3.2. Sơ đồ phân rã chức năng
• 3.3. Các thuật toán chính
• 3.3.1. Thuật toán dum URL
• 3.3.2. Thuật toán phát hiện lỗ hổng SQLi
• 3.3.3. Thuật toán phát hiện lỗ hổng XSS
• 3.3.4. Thuật toán khai thác lỗ hổng SQLi
• 3.3.5. Thuật toán khai thác Blind SQLi
• 3.3.6. Thuật toán khai thác lỗ hổng XSS
• 3.3.7. Thuật toán quét cổng
• 3.3.8. Thuật toán bruteforce tài khoản FTP
• 3.4. Xây dựng các mô-đun chức năng
• 3.4.1. Mô-đun dump URL
• 3.4.2. Mô-đun phát hiện lỗ hổng SQLi
• 3.4.3. Mô-đun khai thác lỗ hổng SQLi
• 3.4.4. Mô-đun phát hiện lỗ hổng XSS
• 3.4.5. Mô-đun khai thác lỗ hổng XSS
• 3.4.6. Mô-đun dò quét lỗ hổng nhiều website
• 3.4.7. Mô-đun dò quét lỗ hổng nhiều URL
• 3.4.8. Mô-đun phát hiện file nhạy cảm
• 3.4.9. Mô-đun quét cổng
• 3.4.10. Mô-đun brute force tài khoản đăng nhập dịch vụ FTP
• 3.4.11. Mô-đun brute force tài khoản đăng nhập dịch vụ RDP
• 3.4.12. Mô-đun thiết lập Proxy
• 3.4.13. Mô-đun lập lịch
• 4. CHƯƠNG IV: THỬ NGHIỆM VÀ ĐÁNH GIÁ KẾT QUẢ
• 4.1. Thử nghiệm phần mềm TH-Scanner
• 4.2. Thử nghiệm phát hiện và khai thác lỗ hổng SQLi
• 4.3. Thử nghiệm phát hiện và khai thác lỗ hổng XSS
• 4.4. Thử nghiệm khai thác các lỗ hổng an ninh khác
• 4.5. So sánh với các phần mềm quét khác
• 4.6. So sánh tính năng
• 4.7. So sánh hiệu quả
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về lỗ hổng bảo mật SQLi và XSS trong ứng dụng web

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc bảo mật ứng dụng web trở thành một vấn đề cấp thiết. Lỗ hổng SQL injection (SQLi) và Cross-site scripting (XSS) là hai trong số những lỗ hổng phổ biến nhất, gây ra nhiều thiệt hại cho người dùng và tổ chức. Theo thống kê, SQLi chiếm khoảng 15% các cuộc tấn công, trong khi XSS chiếm 18%. Việc phát hiện và khắc phục các lỗ hổng này là rất quan trọng để bảo vệ thông tin nhạy cảm của người dùng.

1.1. Lỗ hổng SQL injection Nguyên nhân và tác hại

SQL injection là một kỹ thuật tấn công mà kẻ tấn công chèn mã SQL độc hại vào các truy vấn của ứng dụng. Điều này có thể dẫn đến việc truy cập trái phép vào cơ sở dữ liệu, xóa dữ liệu hoặc thậm chí chiếm quyền điều khiển hệ thống. Các ứng dụng web sử dụng cơ sở dữ liệu như MySQL, SQL Server thường dễ bị tổn thương trước loại tấn công này.

1.2. Lỗ hổng XSS Cách thức hoạt động và ảnh hưởng

Cross-site scripting cho phép kẻ tấn công chèn mã JavaScript độc hại vào trang web, từ đó đánh cắp thông tin người dùng hoặc thực hiện các hành động không mong muốn. XSS có thể gây ra thiệt hại lớn cho cả người dùng và tổ chức, đặc biệt là trong các ứng dụng web thương mại điện tử.

II. Thách thức trong việc phát hiện lỗ hổng SQLi và XSS

Việc phát hiện lỗ hổng SQLi và XSS gặp nhiều thách thức do sự phát triển nhanh chóng của công nghệ web. Các phương pháp tấn công ngày càng tinh vi, khiến cho việc phát hiện trở nên khó khăn hơn. Nhiều công cụ hiện có không đủ khả năng phát hiện tất cả các lỗ hổng, đặc biệt là trong các ứng dụng phức tạp.

2.1. Sự phát triển của các phương pháp tấn công

Kẻ tấn công không ngừng cải tiến kỹ thuật của mình, từ việc sử dụng các mã độc đơn giản đến các kỹ thuật phức tạp hơn như mã hóa và mã hóa ngược. Điều này đòi hỏi các chuyên gia bảo mật phải liên tục cập nhật kiến thức và công cụ của mình.

2.2. Hạn chế của các công cụ phát hiện hiện tại

Nhiều công cụ phát hiện lỗ hổng hiện tại chỉ tập trung vào một loại lỗ hổng nhất định hoặc không thể phát hiện các lỗ hổng trong các ứng dụng phức tạp. Điều này dẫn đến việc nhiều lỗ hổng vẫn tồn tại mà không được phát hiện.

III. Phương pháp phát hiện lỗ hổng SQLi và XSS hiệu quả

Để phát hiện lỗ hổng SQLi và XSS, cần áp dụng các phương pháp và công cụ hiện đại. Việc sử dụng các thuật toán tự động hóa có thể giúp phát hiện nhanh chóng và chính xác hơn. Các công cụ như Acunetix, SQLMap, và Burp Suite là những ví dụ điển hình.

3.1. Sử dụng công cụ tự động hóa trong phát hiện lỗ hổng

Các công cụ tự động hóa giúp giảm thiểu thời gian và công sức trong việc phát hiện lỗ hổng. Chúng có khả năng quét hàng loạt URL và phát hiện các lỗ hổng một cách nhanh chóng và hiệu quả.

3.2. Kết hợp nhiều phương pháp phát hiện

Kết hợp nhiều phương pháp phát hiện khác nhau, bao gồm cả phân tích mã nguồn và kiểm tra hành vi, có thể giúp tăng cường khả năng phát hiện lỗ hổng. Điều này giúp đảm bảo rằng không có lỗ hổng nào bị bỏ sót.

IV. Ứng dụng thực tiễn và kết quả nghiên cứu về lỗ hổng SQLi và XSS

Nghiên cứu về lỗ hổng SQLi và XSS đã dẫn đến việc phát triển nhiều công cụ và phương pháp mới. Các thử nghiệm thực tế cho thấy rằng việc phát hiện và khai thác lỗ hổng có thể được thực hiện hiệu quả hơn với các công cụ tự động hóa.

4.1. Kết quả từ các thử nghiệm thực tế

Các thử nghiệm với hàng ngàn URL cho thấy rằng công cụ phát hiện mới có thể phát hiện lỗ hổng SQLi và XSS với tỷ lệ chính xác cao hơn so với các công cụ hiện có. Điều này chứng tỏ rằng việc đầu tư vào nghiên cứu và phát triển công cụ là cần thiết.

4.2. Ứng dụng trong các tổ chức và doanh nghiệp

Nhiều tổ chức đã áp dụng các công cụ phát hiện lỗ hổng mới để bảo vệ hệ thống của mình. Việc này không chỉ giúp bảo vệ thông tin nhạy cảm mà còn nâng cao uy tín và độ tin cậy của tổ chức trong mắt khách hàng.

V. Kết luận và tương lai của nghiên cứu về lỗ hổng SQLi và XSS

Nghiên cứu về lỗ hổng SQLi và XSS vẫn đang tiếp tục phát triển. Các công nghệ mới như trí tuệ nhân tạo và học máy có thể được áp dụng để cải thiện khả năng phát hiện lỗ hổng. Tương lai của bảo mật ứng dụng web sẽ phụ thuộc vào khả năng thích ứng với các phương pháp tấn công mới.

5.1. Xu hướng phát triển trong bảo mật ứng dụng web

Xu hướng hiện nay là tích hợp trí tuệ nhân tạo vào các công cụ bảo mật để tự động hóa quá trình phát hiện và khắc phục lỗ hổng. Điều này hứa hẹn sẽ mang lại nhiều lợi ích cho ngành bảo mật.

5.2. Tầm quan trọng của việc nâng cao nhận thức về bảo mật

Nâng cao nhận thức về bảo mật trong cộng đồng và các tổ chức là rất quan trọng. Việc đào tạo và cung cấp thông tin về các lỗ hổng bảo mật sẽ giúp giảm thiểu rủi ro và bảo vệ thông tin cá nhân của người dùng.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số toàn diện, an ninh ứng dụng web đang đối mặt với những thách thức chưa từng có khi các cuộc tấn công mạng ngày càng gia tăng về quy mô lẫn mức độ tinh vi. Số liệu thống kê từ hệ thống giám sát an ninh Zone-h ghi nhận trung bình mỗi ngày có hơn 1.000.000 website bị tấn công trên quy mô toàn cầu, trong đó có hàng trăm cổng thông tin và trang web tại Việt Nam bị xâm nhập. Đáng chú ý, hơn 90% ứng dụng web hiện nay tồn tại các lỗ hổng bảo mật và có tới 75% các vụ tấn công mạng nhắm trực tiếp vào tầng ứng dụng. Trong số các nguy cơ hàng đầu, lỗ hổng tiêm nhiễm mã lệnh SQL Injection chiếm khoảng 15% và lỗ hổng thực thi kịch bản chéo Cross-Site Scripting chiếm khoảng 18% tổng số các vụ khai thác an ninh web.

Vấn đề cốt lõi đặt ra là phần lớn các giải pháp dò quét hiện hành hoặc mang tính thương mại với chi phí rất cao, hoặc chỉ tập trung vào một kỹ thuật đơn lẻ mà thiếu khả năng phân tích tự động toàn diện. Đề tài luận văn tập trung nghiên cứu cơ chế tấn công, xây dựng mô hình phân tích tự động website nhằm phát hiện và kiểm thử khai thác hai lỗ hổng phổ biến nhất là SQL Injection và Cross-Site Scripting. Nghiên cứu được triển khai thực nghiệm tại Đại học Quốc gia Hà Nội vào năm 2017 với việc phát triển giải pháp phần mềm kiểm thử hộp đen mang tên TH-Scanner. Giải pháp này giúp các tổ chức tự động hóa quy trình kiểm tra bảo mật, rút ngắn thời gian phát hiện điểm yếu hệ thống và nâng cao năng lực bảo vệ dữ liệu nhạy cảm trước các cuộc tấn công từ bên ngoài.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên khung đánh giá an ninh ứng dụng web chuẩn hóa của Dự án Bảo mật Ứng dụng Web Mở OWASP, tập trung trọng tâm vào hai nhóm nguy cơ nghiêm trọng nhất là A1 - Nhúng mã độc và A3 - Thực thi mã kịch bản độc hại. Khung lý thuyết phân loại chi tiết các kỹ thuật khai thác SQL Injection bao gồm: kỹ thuật dựa trên mệnh đề hợp nhất Union Query, kỹ thuật khai thác thông qua thông báo lỗi cú pháp Error-based, kỹ thuật suy diễn nhị phân Boolean-based Blind và kỹ thuật tạo độ trễ thời gian Time-based Blind. Đối với lỗ hổng Cross-Site Scripting, mô hình nghiên cứu phân tích ba biến thể chính gồm: kịch bản độc hại lưu trữ Persistent XSS, kịch bản độc hại phản xạ Non-Persistent XSS và kịch bản thao túng mô hình đối tượng tài liệu DOM-based XSS.

Bên cạnh đó, nghiên cứu tích hợp lý thuyết kiểm thử hộp đen kết hợp cơ chế vượt tường lửa ứng dụng web thông qua kỹ thuật làm mờ cú pháp và mã hóa ký tự metadata. Về mặt phòng ngự, cơ sở lý thuyết nhấn mạnh các nguyên tắc cốt lõi gồm: cơ chế tham số hóa câu truy vấn, kiểm soát chặt chẽ dữ liệu đầu vào, mã hóa thực thể HTML ở đầu ra và áp dụng chính sách bảo mật nội dung Content Security Policy nhằm ngăn chặn việc thực thi mã JavaScript trái phép trên trình duyệt người dùng.

Phương pháp nghiên cứu

Quá trình nghiên cứu sử dụng phương pháp chọn mẫu mục tiêu có chủ đích với tổng cỡ mẫu là 3.289 địa chỉ URL thực tế có chứa các tham số động trên mạng Internet. Lý do lựa chọn bộ mẫu này nhằm đảm bảo tính đại diện cho các cấu trúc ứng dụng web đa dạng đang vận hành trên hai hệ quản trị cơ sở dữ liệu phổ biến nhất là MySQL và Microsoft SQL Server.

Phương pháp phân tích dựa trên sự kết hợp giữa kỹ thuật thu thập liên kết tự động đa tầng với kỹ thuật phân tích phản hồi động của máy chủ web. Cụ thể, thuật toán thu thập dữ liệu tự động bóc tách cấu trúc trang web theo độ sâu cấu hình trước, sau đó trích xuất các tham số khả nghi để tiến hành kiểm thử tự động. Đặc biệt, đối với kỹ thuật khai thác Blind SQLi, nghiên cứu áp dụng thuật toán dịch bit nhị phân để xác định mã ký tự. Thay vì phải thực hiện tối đa 128 truy vấn tuần tự theo phương pháp vét cạn thông thường, thuật toán dịch bit chỉ yêu cầu 7 truy vấn độc lập và có thể gửi song song đến máy chủ, giúp tối ưu hóa đáng kể tốc độ kiểm thử. Toàn bộ quy trình nghiên cứu, thiết kế kiến trúc và thử nghiệm thực nghiệm được hoàn thành vào tháng 4 năm 2017.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Thực nghiệm trên hệ thống phần mềm TH-Scanner đã mang lại nhiều kết quả định lượng rõ rệt:

Thứ nhất, trong tổng số 3.289 URL được đưa vào khảo sát, hệ thống đã phát hiện thành công 767 URL tồn tại lỗ hổng SQL Injection, đạt tỷ lệ phát hiện 23,32%. Đồng thời, công cụ cũng định danh chính xác 100 URL dính lỗ hổng Cross-Site Scripting, chiếm tỷ lệ 3,04%.

Thứ hai, việc áp dụng thuật toán tối ưu hóa dịch bit trong kỹ thuật Blind SQLi đã chứng minh hiệu suất vượt trội. Số lượng yêu cầu HTTP gửi đến máy chủ để giải mã một ký tự giảm từ 128 yêu cầu xuống đúng 7 yêu cầu, tiết kiệm tới 94,53% lưu lượng đường truyền và thời gian xử lý so với thuật toán tìm kiếm tuần tự.

Thứ ba, nghiên cứu đã xây dựng thành công bộ cơ sở dữ liệu gồm 433 vector tấn công Cross-Site Scripting chuyên sâu, cho phép phát hiện hiệu quả cả các lỗ hổng bị che giấu bởi bộ lọc ký tự cơ bản.

Thứ tư, phần mềm đã tích hợp thành công 6 phân hệ chức năng độc lập, cho phép vận hành quét song song đồng thời nhiều website, tự động rà soát các cổng dịch vụ mở như cổng 20, 21 của dịch vụ truyền tệp FTP và cổng 3389 của dịch vụ điều khiển máy tính từ xa RDP, kết hợp phát hiện các tệp tin cấu hình nhạy cảm bị rò rỉ.

Thảo luận kết quả

Các kết quả thực nghiệm cho thấy nguyên nhân chủ yếu khiến tỷ lệ website dính lỗi SQL Injection lên tới hơn 23% bắt nguồn từ việc lập trình viên ghép nối chuỗi trực tiếp trong câu lệnh truy vấn thay vì sử dụng cơ chế tham số hóa an toàn. Đối với lỗ hổng Cross-Site Scripting, việc thiếu cơ chế làm sạch dữ liệu đầu vào và không mã hóa ký tự đặc biệt trước khi hiển thị cho người dùng là lỗ hổng phổ biến nhất.

Dữ liệu so sánh hiệu quả giữa các công cụ có thể được trình bày rõ nét thông qua biểu đồ cột thể hiện số lượng lỗ hổng phát hiện và bảng đối chiếu tính năng kỹ thuật. So với các giải pháp thương mại như Acunetix có chi phí bản quyền dao động từ 13 triệu đồng đến 133 triệu đồng mỗi năm nhưng bị hạn chế về khả năng tùy biến, TH-Scanner cung cấp giải pháp miễn phí với khả năng can thiệp sâu. So với các công cụ chuyên biệt như Havij hay SQLMap vốn chỉ mạnh về SQL Injection và thiếu tính năng thu thập liên kết hoặc dò quét Cross-Site Scripting, TH-Scanner thể hiện sự vượt trội khi tích hợp toàn diện quy trình từ bóc tách URL, phát hiện đa lỗ hổng đến kiểm tra an ninh cổng mạng trong một giao diện hợp nhất.

Đề xuất và khuyến nghị

Dựa trên các kết quả nghiên cứu thực nghiệm, luận văn đưa ra bốn nhóm khuyến nghị hành động cụ thể nhằm nâng cao mức độ an toàn thông tin cho hệ thống web:

Một là, chuẩn hóa quy trình phát triển phần mềm an toàn bằng cách tích hợp công cụ kiểm thử tự động vào quy trình kiểm thử định kỳ. Đội ngũ phát triển phần mềm cần thực hiện kiểm tra an ninh tự động cho 100% các phiên bản cập nhật trước khi triển khai thực tế, hoàn thành việc xây dựng quy trình trong thời hạn 3 tháng.

Hai là, áp dụng triệt để kỹ thuật tham số hóa câu truy vấn và sử dụng giao diện lập trình hướng đối tượng an toàn trên tầng cơ sở dữ liệu. Nhóm kỹ sư phát triển mã nguồn cần rà soát và chuyển đổi toàn bộ các câu lệnh ghép chuỗi sang cấu trúc tham số hóa, đặt mục tiêu triệt tiêu 100% nguy cơ tấn công SQL Injection cơ bản trong vòng 30 ngày làm việc.

Ba là, cấu hình chính sách bảo mật nội dung Content Security Policy trên máy chủ web và thực hiện mã hóa toàn bộ dữ liệu phát sinh động trước khi trả về trình duyệt. Quản trị viên hệ thống cần thiết lập các tiêu đề HTTP bảo mật nhằm vô hiệu hóa khả năng thực thi kịch bản độc hại, hoàn thành cấu hình cho toàn bộ hệ thống trong vòng 45 ngày.

Bốn là, tiếp tục nâng cấp hệ thống phần mềm phân tích tự động bằng cách mở rộng kho mẫu kiểm thử lên trên 1.000 vector tấn công mới, đồng thời tích hợp thêm các mô-đun phát hiện lỗ hổng giả mạo yêu cầu chéo CSRF và lỗ hổng cấu hình máy chủ. Nhóm nghiên cứu an ninh mạng cần duy trì lộ trình cập nhật cơ sở dữ liệu lỗi định kỳ 6 tháng một lần.

Đối tượng nên tham khảo luận văn

Tài liệu nghiên cứu này mang lại giá trị thực tiễn và học thuật cho bốn nhóm đối tượng chuyên môn:

Nhóm thứ nhất là các kỹ sư phát triển ứng dụng web. Luận văn cung cấp cho lập trình viên góc nhìn chi tiết về các phương thức mà tin tặc sử dụng để vượt qua bộ lọc dữ liệu, từ đó giúp họ chủ động áp dụng các phương pháp lập trình an toàn ngay từ giai đoạn thiết kế mã nguồn.

Nhóm thứ hai là các chuyên viên đánh giá an toàn thông tin và kiểm thử xâm nhập. Tài liệu cung cấp cơ sở phương pháp luận về việc xây dựng công cụ quét tự động, cấu trúc bóc tách liên kết và thuật toán dịch bit nhị phân tối ưu hóa thời gian trích xuất dữ liệu trong các đợt đánh giá an ninh thực tế.

Nhóm thứ ba là đội ngũ quản trị viên hệ thống và an ninh mạng. Thông qua các phân hệ quét cổng dịch vụ và phát hiện tệp tin nhạy cảm, quản trị viên có thể tự kiểm tra cấu hình máy chủ, rà soát các cổng quản trị như FTP hay RDP nhằm đóng kịp thời các điểm yếu bị lộ lọt.

Nhóm thứ tư là các giảng viên, học viên cao học và sinh viên chuyên ngành Công nghệ thông tin và An toàn thông tin. Luận văn đóng vai trò như một tài liệu tham khảo hoàn chỉnh về quy trình nghiên cứu, từ mô hình hóa lý thuyết đến hiện thực hóa một công cụ bảo mật có tính ứng dụng cao.

Câu hỏi thường gặp

Nghiên cứu giải quyết vấn đề gì trong bối cảnh các công cụ quét an ninh mạng đã có sẵn trên thị trường? Luận văn giải quyết bài toán tích hợp đa chức năng và tối ưu hóa chi phí. Các phần mềm thương mại thường có giá thành lên tới hàng trăm triệu đồng, trong khi các công cụ mã nguồn mở lại phân tán chức năng. Giải pháp TH-Scanner tích hợp đồng thời khả năng thu thập liên kết, quét lỗi SQLi, XSS và rà soát dịch vụ máy chủ trên cùng một nền tảng.

Thuật toán dịch bit mang lại lợi ích kỹ thuật vượt trội như thế nào trong khai thác Blind SQL Injection? Phương pháp vét cạn thông thường cần thực hiện tuần tự tới 128 yêu cầu HTTP cho mỗi ký tự theo bảng mã ASCII. Kỹ thuật dịch bit chuyển đổi giá trị ký tự sang 7 bit nhị phân độc lập, cho phép gửi 7 yêu cầu song song cùng lúc, giúp tiết kiệm hơn 94% số lượng truy vấn và tăng tốc độ xử lý dữ liệu lên nhiều lần.

Mô hình kiểm thử hộp đen áp dụng trong phần mềm có ưu điểm gì so với kiểm thử hộp trắng? Phương pháp hộp đen cho phép đánh giá hệ thống hoàn toàn từ góc độ bên ngoài mà không cần quyền truy cập vào mã nguồn hay cấu trúc nội bộ của máy chủ. Điều này giúp mô phỏng chính xác hành vi của kẻ tấn công thực tế và giúp các chuyên gia an ninh dễ dàng đánh giá bất kỳ website nào mà không bị ràng buộc bởi quyền sở hữu mã nguồn.

Cơ sở dữ liệu 433 mẫu thử nghiệm XSS được xây dựng dựa trên nguyên lý nào? Bộ mẫu thử nghiệm được tổng hợp và phân loại theo các kỹ thuật vượt bộ lọc tiên tiến, bao gồm việc mã hóa ký tự metadata, thay đổi bảng mã ký tự sang hệ thập lục phân, làm mờ cú pháp JavaScript và tận dụng các thuộc tính thẻ HTML đặc thù nhằm kích hoạt mã kịch bản mà không bị các bộ lọc đơn giản ngăn chặn.

Các quản trị viên hệ thống cần thực hiện ngay bước nào để phòng ngừa rò rỉ dữ liệu qua các cổng dịch vụ? Quản trị viên cần tiến hành rà soát các cổng dịch vụ mở như cổng 20, 21 và 3389, vô hiệu hóa các tài khoản mặc định, áp dụng chính sách mật khẩu phức tạp để chống tấn công đoán thử, đồng thời xóa bỏ các tệp tin cấu hình và thư mục sao lưu nhạy cảm còn tồn tại trên thư mục gốc của máy chủ web.

Kết luận

Luận văn đã hoàn thành xuất sắc các mục tiêu nghiên cứu đặt ra thông qua năm đóng góp trọng tâm:

• Hệ thống hóa toàn diện cơ sở lý thuyết và các kỹ thuật tấn công, phòng thủ đối với hai nhóm lỗ hổng phổ biến nhất là SQL Injection và Cross-Site Scripting.
• Thiết kế và phát triển thành công phần mềm TH-Scanner với kiến trúc 6 phân hệ hoạt động độc lập, hỗ trợ kiểm thử tự động đa mục tiêu theo mô hình hộp đen.
• Cải tiến hiệu năng trích xuất dữ liệu trong kỹ thuật Blind SQLi bằng thuật toán dịch bit song song 7-bit, giảm thiểu tối đa độ trễ và lưu lượng mạng.
• Đánh giá thực nghiệm thành công trên 3.289 URL, định danh chính xác 767 điểm yếu SQL Injection và 100 điểm yếu Cross-Site Scripting trong môi trường thực tế.
• Đề xuất hệ thống giải pháp phòng ngừa chuẩn hóa giúp các cơ quan, tổ chức gia cố tính bảo mật cho hệ thống thông tin.

Trong giai đoạn tiếp theo, nhóm nghiên cứu định hướng tiếp tục hoàn thiện công cụ bằng việc tích hợp trí tuệ nhân tạo nhằm nâng cao độ chính xác trong phân tích phản hồi HTTP và mở rộng phạm vi kiểm thử sang các nền tảng giao diện lập trình ứng dụng API hiện đại. Các nhà phát triển và quản trị viên hệ thống được khuyến nghị tải và áp dụng ngay các quy trình kiểm thử tự động này vào hạ tầng công nghệ thông tin của đơn vị để chủ động bảo vệ tài nguyên số.

Trích đoạn nội dung tài liệu

Đặt vấn đề: Hiện nay cùng với sự phát triển nhanh chóng của công nghệ và ứng dụng web, vấn đề an ninh web đang trở nên cấp thiết nhằm đảm bảo an toàn thông tin cho tất cả ngƣời dùng. Ứng dụng web đã trở thành mục tiêu tấn công phổ biến của tin tặc với các hình thức tấn công ngày càng tinh vi và phức tạp. Theo thống kê trên Zone-h.org, trung bình mỗi ngày có hơn một triệu website bị tấn công, trong đó có hàng trăm website của Việt Nam. Thời gian gần đây liên tục xảy ra nhiều vụ tấn công mạng vào cơ quan chính phủ, cơ sở hạ tầng trọng yếu, tổ chức tài chính gây tổn thất về tài chính, bất ổn chính trị và làm ảnh hƣởng cuộc sống của ngƣời dân.

Trong các cuộc tấn công đó, lỗ hổng bị khai thác nhiều nhất là tiêm nhiễm SQL (SQLi, chiếm 15% các cuộc tấn công lỗ hổng an ninh web) và Cross-site scripting (XSS, chiếm 18%) [19]. Với các lỗ hổng này, tin tặc có thể dễ dàng tấn công, chiếm quyền điều khiển, truy cập vào các nguồn thông tin nhạy cảm, gồm cả thông tin cá nhân ngƣời dùng. Trên thế giới, nhiều tổ chức, cá nhân đã phát triển các phần mềm để phát hiện và khai thác lỗ hổng an ninh web nhƣ: Acunetix, SQLMap, Havij, BurpSuite, ZAP, XSSer, Nmap… Tuy nhiên, đa số các phần mềm này là sản phẩm thƣơng mại, nếu là phiên bản miễn phí sẽ bị giới hạn nhiều tính năng, khó nâng cấp, bảo trì. Ngoài ra, các phần mềm chỉ thực hiện khai thác một lỗ hổng an ninh chuyên biệt hoặc chỉ chú trọng phát hiện lỗ hổng an ninh, chƣa tập trung phần khai thác.

Ví dụ, Acunetix là phần mềm thƣơng mại dùng để dò quét lỗ hổng tầng ứng dụng web nhƣ SQLi và XSS, nhƣng việc thực hiện phân tích XSS không hiệu quả nhƣ các công cụ khác; SQL Map và Havij có khả năng phát hiện và khai thác SQLi tốt nhƣng không dò quét lỗ hổng XSS, không thu thập (crawl) dữ liệu; BurpSuit và ZAP tích hợp nhiều tính năng nhƣng chủ yếu tập trung phần LUAN VAN CHAT LUONG download : add [e-mail] 12 phát hiện lỗ hổng an ninh là chính, chƣa tập trung khai thác lỗ hổng; NMap và Xprobe dùng để xác định host sẵn có hoặc các dịch vụ có thể truy cập nhƣng chƣa có khả năng phân tích lỗ hổng an ninh tầng ứng dụng; XSSer, Scott và Sharp chỉ tập trung vào lỗ hổng XSS nhƣng chủ yếu để đề xuất triển khai tƣờng lửa mức ứng dụng, xây dựng chính sách để bảo vệ ứng dụng web. Mục tiêu nghiên cứu: Với sự phổ biến và mức độ nguy hiểm của hai lỗ hổng an ninh website là SQLi và XSS, luận văn lựa chọn đề tài nghiên cứu “Phân tích tự động các Website để phát hiện lỗ hổng tiêm nhiễm SQL và XSS” với mong muốn nghiên cứu cách thức khai thác lỗ hổng an ninh web, đồng thời xây dựng một phần mềm hỗ trợ đắc lực trong quá trình kiểm tra lỗ hổng an ninh, đặc biệt có khả năng phát hiện và khai thác tốt lỗ hổng SQLi và XSS. Ngoài ra, phần mềm này bổ sung thêm một số tính năng nhƣ kiểm tra host tầng mạng, quét cổng, brute force tài khoản đăng nhập FTP và RDP, dò quét các file nhạy cảm, đƣờng dẫn trang đăng nhập của website. Phần mềm đƣợc xây dựng mới từ đầu nhằm mục đích có thể dễ dàng tùy biến chức năng, giao diện theo nhu cầu ngƣời sử dụng, có thể nâng cấp khi cần thiết, đồng thời khắc phục một số nhƣợc điểm của các phần mềm quét hiện có.

Phần mềm kiểm tra lỗ hổng an ninh theo hình thức hộp đen (kiểm tra ứng dụng từ bên ngoài, các dữ liệu đầu vào và các dữ liệu xuất ra mà không cần quan tâm đến hoạt động bên trong cũng nhƣ mã nguồn của ứng dụng), do đó có thể dễ dàng sử dụng với cả những ngƣời không có kiến thức về an ninh mạng. LUAN VAN CHAT LUONG download : add [e-mail] 13 Nội dung nghiên cứu: - Nghiên cứu tổng quan lỗ hổng an ninh ứng dụng web. - Nghiên cứu nguyên lý, cách thức hoạt động một số công cụ dò quét lỗ hổng an ninh web phổ biến hiện nay (SQL Map, Havij, Acunetix, Burp Suite. - Nghiên cứu phƣơng pháp thu thập, trích xuất cấu trúc một website.

- Nghiên cứu phƣơng pháp phát hiện lỗ hổng an ninh SQLi, XSS. - Nghiên cứu phƣơng pháp khai thác lỗ hổng an ninh SQLi, XSS. - Nghiên cứu xử lý song song quá trình phát hiện và khai thác lỗ hổng SQLi và XSS đồng thời nhiều mục tiêu. - Nghiên cứu phƣơng pháp brute force tài khoản FTP, RDP.

Kết quả nghiên cứu: Luận văn đã xây dựng thành công phần mềm phân tích tự động website, có thể phát hiện và khai thác tốt các lỗ hổng SQLi với Cơ sở dữ liệu (CSDL) MySQL, SQL Server, kỹ thuật Error based, Blind và lỗ hổng XSS; có khả năng phát hiện và khai thác lỗ hổng SQLi và XSS với một số website mà một số phần mềm quét hiện tại không làm đƣợc. Thử nghiệm với 3289 URL có khả năng có lỗi SQLi và XSS, công cụ này có thể phát hiện 767 URL có lỗi SQLi và 100 URL có lỗi XSS, thực hiện trong thời gian nhanh hơn một số phần mềm quét hiện tại. Ngoài ra, phần mềm bổ sung thêm nhiều tính năng hỗ trợ tối đa quá trình dò quét lỗ hổng an ninh web nhƣ: kiểm tra lỗ hổng bảo mật cùng lúc nhiều website; khai thác đồng thời cả lỗi SQLi và XSS; lập lịch kiểm tra lỗ hổng website; Brute Force tài khoản FTP, RDP; tìm đƣờng dẫn thƣ mục nhạy cảm. LUAN VAN CHAT LUONG download : add [e-mail] 14 Bố cục luận văn: Chƣơng I: Tổng quan về lỗ hổng an ninh ứng dụng web, giới thiệu lỗ hổng SQLi và XSS Giới thiệu tổng quan về các lỗ hổng an ninh ứng dựng web, các hình thức tấn công lỗ hổng SQLi, XSS và các phƣơng pháp khai thác của từng loại tấn công, cách thức ngƣời quản trị, lập trình viên thực hiện để tránh bị tin tặc khai thác các lỗ hổng an ninh trên.

Chƣơng II: Các giải pháp quét lỗ hổng ứng dụng web Giới thiệu về giải pháp quét lỗ hổng và một số công cụ dò quét lỗ hổng an ninh ứng dụng web phổ biến hiện nay, ƣu nhƣợc điểm từng công cụ. Chƣơng III: Xây dựng phần mềm phân tích tự động website phát hiện và khai thác lỗ hổng an ninh SQLi và XSS Trình bày cách thức xây dựng phần mềm phát hiện và khai thác lỗ hổng SQLi và XSS. Xây dựng sơ đồ phân rã chức năng, thuật toán, mô-đun chức năng, thực hiện khai thác các trƣờng hợp cụ thể để khai thác những website có lỗ hổng SQLi và XSS mà những công cụ hiện tại không làm đƣợc, đồng thời tích hợp nhiều tính năng mới. Chƣơng IV: Trình bày kết quả thực nghiệm Thử nghiệm các chức năng của phần mềm và đánh giá hiệu quả hoạt động, so sánh kết quả với một số phần mềm khác.

LUAN VAN CHAT LUONG download : add [e-mail] 15 CHƢƠNG I: TỔNG QUAN VỀ LỖ HỔNG BẢO MẬT ỨNG DỤNG WEB, GIỚI THIỆU LỖ HỔNG SQLI, XSS 1. Lỗ hổng an ninh ứng dụng web Ngày nay, với sự phát triển không ngừng của các ứng dụng web thì các cuộc tấn công ứng dụng web cũng phát triển hết sức phức tạp. Điều này đã đặt ra vấn đề cấp thiết là cần làm thế nào để đảm bảo an toàn thông tin cho ứng dụng web, thông tin của ngƣời sử dụng. Hiện tại có khá nhiều phần mềm hỗ trợ lập trình viên, chuyên viên quản trị mạng tìm kiếm lỗ hổng của ứng dụng web.

Tuy nhiên, các phần mềm này không theo kịp sự phát triển nhanh chóng của các ứng dụng web, không thể ngăn chặn hoàn toàn các cuộc tấn công với phƣơng thức đa dạng, nguy hiểm trong bối cảnh lỗ hổng ứng dụng web bị phát hiện ngày càng nhiều. Thống kê cho thấy, hơn 90% các ứng dụng web tồn tại các lỗ hổng an ninh và 75% cuộc tấn công mạng tập trung vào các ứng dụng web [18]. Dự án mở về an ninh ứng dụng web OWASP đã phân loại 10 lỗ hổng ứng dụng web phổ biến và nguy hiểm nhất hiện nay gồm [17]: A1- Nhúng mã (Injection); A2- Xác thực hay quản lý phiên thiếu chính xác; A3- Thực thi mã Script xấu (XSS); A4- Đối tƣợng tham chiếu không an toàn; A5- Sai sót trong cấu hình an ninh; A6- Lộ dữ liệu nhạy cảm; A7- Điều khiển truy cập mức chức năng không an toàn; A8- Tấn công giả mạo (CSRF); A9- Sử dụng thành phần chứa lỗ hổng đã công khai; A10- Chuyển hƣớng và chuyển tiếp không an toàn. Lỗ hổng an ninh SQLi 1.

Giới thiệu lỗ hổng SQLi SQLi là lỗ hổng trong việc kiểm tra dữ liệu đầu vào của các ứng dụng web và các thông báo lỗi của hệ quản trị CSDL trả về, đƣợc tin tặc khai thác bằng cách tiêm các mã SQL để thực thi câu lệnh bất hợp pháp, đăng nhập mà không cần tên tài khoản và mật khẩu, thực hiện truy cập từ xa, xóa dữ liệu, lấy quyền quản trị của máy chủ…. Khai thác lỗ hổng SQLi là một trong những hình thức LUAN VAN CHAT LUONG download : add [e-mail] 16 tấn công website phổ biến hiện nay. Đa số ứng dụng web sử dụng hệ quản trị CSDL MySQL, SQL Máy chủ, Oracle, DB2, Sysbase đều có khả năng dính lỗ hổng SQLi. Sơ đồ minh họa việc tấn công SQLi đƣợc mô tả trên Hình 1.

Mỗi khi ngƣời dùng tiến hành đăng nhập vào tài khoản trực tuyến, họ sẽ phải cung cấp thông tin về Username và Password. Trong quy trình kiểm tra và xác nhận tính hợp pháp của tài khoản đó, hệ thống hoặc ứng dụng web tƣơng ứng sẽ chạy 1 câu lệnh truy vấn có dạng nhƣ sau: SELECT * FROM Users WHERE User_id='srinivas' AND Password='mypassword'; Nếu kẻ tấn công chèn đoạn mã ' OR 1=1;/* vào giá trị User-Id và */-- vào giá trị Password, câu lệnh truy vấn sẽ có dạng: SELECT * FROM Users WHERE User_id='' OR 1=1;/*' and password='*/--' Đây là câu lệnh có điều kiện luôn đúng, do đó kẻ tấn công có thể lấy toàn bộ dữ liệu của bảng Users. Hình 1: Sơ đồ minh họa tấn công SQLi 1. Phƣơng pháp phát hiện lỗ hổng SQLi Các toán tử để tự động phát hiện lỗ hổng SQLi chia làm 03 dạng [3, 4, 5]: LUAN VAN CHAT LUONG download : add [e-mail] 17 - Toán tử thay đổi hành vi: or '1'='1, and '1'='1, ;DROP ALL TABLES;-- - Toán tử thay đổi cú pháp câu lệnh SQL: ', ", ) , -- , *, -, #.