Nghiên Cứu An Toàn Thông Tin Cho Ứng Dụng Website

Đồ án nghiên cứu chuyên ngành đề tài nghiên cứu an toàn thông tin cho ứng dụng website, áp dụng công nghệ tiên tiến, tối ưu giải pháp kỹ thuật cho bài toán .

• Đề tài: Nghiên Cứu An Toàn Thông Tin Cho Ứng Dụng Website: Bảo Mật và Công Cụ Quét Lỗ Hổng

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Lý do chọn đề tài
• 1.2. Đối tượng và phạm vi nghiên cứu
• 1.3. Phương pháp nghiên cứu
• 1.4. Bố cục
• 2. CHƯƠNG 2: Lý thuyết về bảo mật ứng dụng web
• 2.1. Giới thiệu về ứng dụng Web
• 2.1.1. Khái niệm về ứng dụng web
• 2.1.2. Mô tả hoạt động ứng dụng web
• 2.1.3. Một số chứng năng phổ biến của các ứng dụng web
• 2.1.4. Vấn đề bảo mật web
• 2.1.5. Các phương pháp kiểm tra an toàn ứng dụng web
• 2.2. Giới thiệu sơ lược về các kỹ thuật tấn công wed
• 2.2.1. Kỹ thuật tấn công XSS (Cross-Site Scripting)
• 2.2.1.1. Mô hình XSS
• 2.2.2. Kỹ thuật tấn công CSRF (Cross-site Request Forgery)
• 2.2.3. Kỹ thuật tấn công SQL injection
• 2.2.4. Để lộ thông tin (Informational)
• 2.3. Chiếm hữu phiên làm việc (Session Management)
• 2.3.1. Tổng quan về Session ID
• 2.3.2. Đánh cắp phiên làm việc
• 2.4. Bảo mật Website
• 2.4.1. Rủi ro bảo mật website
• 2.4.2. Một số phương pháp bảo mật website
• 2.4.3. Giới thiệu về 3 loại tường lửa
• 2.5. Tràn bộ đệm (Buffer Overflow)
• 2.5.1. Sơ đồ tổ chức của bộ nhớ
• 2.5.2. Một số cách gây tràn bộ đệm qua ứng dụng web
• 2.5.3. Nguyên nhân và cách phòng chống
• 2.5.4. Các kiểu lỗi Buffer Overflow thường gặp
• 3. CHƯƠNG 3: NHỮNG CÔNG CỤ QUÉT LỖ HỎNG CÓ LIÊN QUAN
• 3.1. Công cụ burpsuite
• 3.1.1. Các chức năng của phần mềm burpsuite
• 3.1.2. Lợi ích của Burp Suite
• 3.1.3. Tính đa dạng của Burp Suite
• 3.2. Công cụ Nmap
• 3.2.1. Khái niệm về nmap
• 3.2.2. Công dụng về nmap
• 3.2.3. Trạng thái các cổng trong Nmap
• 3.3. Công cụ Nuclie scan
• 3.3.1. Khái niệm về Nuclie scan
• 3.3.2. Cách hoạt động của Nuclie scan
• 3.3.3. Các đối tượng sử dụng
• 4. CHƯƠNG 4: XÂY DỰNG ỨNG DỤNG QUÉT LỖ HỎNG
• 4.1. Công cụ xây dựng ứng dụng
• 4.2. Các bước thực hiện
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Hướng phát triển

Tóm tắt

I. Tổng quan nghiên cứu an toàn thông tin cho ứng dụng web

Trong bối cảnh chuyển đổi số, an toàn thông tin đã trở thành yếu tố sống còn đối với mọi tổ chức. Các ứng dụng website, vốn là cổng giao tiếp chính với khách hàng và là nơi lưu trữ dữ liệu kinh doanh nhạy cảm, đang là mục tiêu hàng đầu của các cuộc tấn công mạng. Theo thống kê từ Trung tâm Giám sát an toàn không gian mạng quốc gia, chỉ trong tháng 5/2023, đã có 695 cuộc tấn công mạng gây sự cố tại Việt Nam, tăng gần 40% so với tháng trước. Điều này cho thấy sự cấp thiết của việc nghiên cứu an toàn thông tin cho ứng dụng website. Việc không đảm bảo bảo mật website có thể dẫn đến những hậu quả nghiêm trọng: mất mát dữ liệu khách hàng, thiệt hại tài chính, suy giảm uy tín thương hiệu và thậm chí là vi phạm pháp luật. Đề tài này được thực hiện nhằm hệ thống hóa các kiến thức nền tảng về an ninh mạng, phân tích các lỗ hổng bảo mật web phổ biến và đánh giá các công cụ quét lỗ hổng hiệu quả. Mục tiêu chính là cung cấp một cái nhìn toàn diện, từ lý thuyết đến thực tiễn, giúp các nhà phát triển và quản trị viên hệ thống có thể xây dựng và vận hành các ứng dụng web một cách an toàn hơn. Việc phòng chống tấn công mạng không còn là một lựa chọn, mà là một yêu cầu bắt buộc. Nghiên cứu tập trung vào việc áp dụng các phương pháp đánh giá an ninh hiện đại, kết hợp sử dụng các công cụ chuyên dụng để tự động hóa quá trình rà soát và vá lỗ hổng, từ đó nâng cao khả năng phòng thủ của hệ thống trước các mối đe dọa ngày càng tinh vi. Quá trình này không chỉ dừng lại ở việc phát hiện, mà còn đề xuất các giải pháp khắc phục cụ thể, góp phần xây dựng một môi trường Internet an toàn và đáng tin cậy.

1.1. Tầm quan trọng của bảo mật website trong kỷ nguyên số

Sự phát triển của Internet đã biến website trở thành tài sản cốt lõi của doanh nghiệp. Tuy nhiên, điều này cũng đặt chúng vào tầm ngắm của tin tặc. Một hệ thống bảo mật website yếu kém có thể bị khai thác để đánh cắp thông tin thẻ tín dụng, dữ liệu cá nhân, bí mật kinh doanh hoặc cài cắm mã độc để tấn công người dùng khác. Do đó, đầu tư vào an toàn thông tin không chỉ là chi phí mà là một khoản đầu tư chiến lược, bảo vệ tài sản, duy trì hoạt động kinh doanh liên tục và xây dựng lòng tin với khách hàng. Như tài liệu nghiên cứu đã chỉ ra, các hacker luôn tìm cách đột nhập vào hệ thống nhằm đánh cắp dữ liệu và phá hoại, đòi hỏi các doanh nghiệp phải có biện pháp phòng thủ hiệu quả.

1.2. Mục tiêu và phạm vi của đề tài nghiên cứu an ninh mạng

Mục tiêu chính của nghiên cứu là tìm hiểu sâu về các kỹ thuật tấn công phổ biến và các phương pháp phòng thủ tương ứng. Phạm vi nghiên cứu tập trung vào các ứng dụng website, phân tích các lỗ hổng bảo mật web thường gặp và đi sâu vào việc sử dụng các công cụ kiểm thử xâm nhập như Burp Suite và Nmap. Đề tài không chỉ dừng lại ở lý thuyết mà còn tiến hành áp dụng thực tiễn, kiểm thử và thu thập số liệu để so sánh hiệu quả của các công cụ, từ đó xây dựng một quy trình đánh giá an ninh tối ưu, giúp người quản trị dễ dàng tìm ra và khắc phục các điểm yếu của hệ thống.

II. Top các lỗ hổng bảo mật web phổ biến theo OWASP Top 10

Việc nghiên cứu an toàn thông tin cho ứng dụng website đòi hỏi một sự hiểu biết sâu sắc về các mối đe dọa hiện hữu. Tổ chức OWASP Top 10 là một tài liệu tham khảo tiêu chuẩn, liệt kê những rủi ro an ninh nghiêm trọng nhất đối với các ứng dụng web. Đây là kim chỉ nam cho các chuyên gia an ninh mạng trong việc xác định và ưu tiên xử lý các điểm yếu. Các lỗ hổng bảo mật web này không phải là lý thuyết suông, chúng là nguyên nhân gốc rễ của hàng ngàn vụ xâm nhập dữ liệu mỗi năm. Trong đó, SQL Injection và Cross-Site Scripting (XSS) vẫn luôn là hai trong số những kỹ thuật tấn công nguy hiểm và phổ biến nhất. Một cuộc tấn công SQL Injection thành công có thể cho phép kẻ tấn công truy cập và thao túng toàn bộ cơ sở dữ liệu. Trong khi đó, XSS lại nhắm vào người dùng cuối, đánh cắp thông tin phiên làm việc hoặc lừa họ thực hiện các hành động không mong muốn. Bên cạnh đó, các lỗ hổng liên quan đến quản lý phiên (Session Management) và tấn công CSRF (Cross-Site Request Forgery) cũng là những mối đe dọa nghiêm trọng, cho phép kẻ tấn công mạo danh người dùng hợp lệ để thực hiện các hành vi trái phép. Việc hiểu rõ cơ chế hoạt động, nguyên nhân và cách phòng chống từng loại lỗ hổng là bước đầu tiên và quan trọng nhất trong việc xây dựng một chiến lược bảo mật website toàn diện. Đây là nền tảng để triển khai các biện pháp phòng thủ như mã hóa dữ liệu và thiết lập tường lửa ứng dụng web (WAF) một cách hiệu quả.

2.1. Phân tích kỹ thuật tấn công SQL Injection và XSS

SQL Injection là kỹ thuật chèn các câu lệnh SQL độc hại vào các truy vấn gửi đến cơ sở dữ liệu. Lỗ hổng này xảy ra khi ứng dụng không kiểm tra hoặc lọc kỹ dữ liệu đầu vào từ người dùng. Kẻ tấn công có thể lợi dụng nó để bypass cơ chế đăng nhập, đọc, sửa đổi hoặc xóa dữ liệu nhạy cảm. Ngược lại, Cross-Site Scripting (XSS) là kỹ thuật chèn các đoạn mã kịch bản (thường là JavaScript) vào các trang web được xem bởi người dùng khác. Mục tiêu của XSS là thực thi mã độc trên trình duyệt của nạn nhân để đánh cắp cookie, session token hoặc chiếm quyền điều khiển tài khoản của họ.

2.2. Hiểm họa từ tấn công CSRF và chiếm hữu phiên làm việc

Tấn công CSRF (Cross-Site Request Forgery) là một kỹ thuật tấn công buộc người dùng đã đăng nhập thực hiện một hành động không mong muốn trên một ứng dụng web. Kẻ tấn công tạo ra một yêu cầu giả mạo và lừa người dùng thực thi nó. Vì yêu cầu này được gửi từ trình duyệt của người dùng hợp lệ, máy chủ sẽ xử lý nó như một yêu cầu bình thường. Trong khi đó, lỗi chiếm hữu phiên làm việc (Session Hijacking) xảy ra khi kẻ tấn công đánh cắp được Session ID của người dùng, từ đó mạo danh và truy cập vào tài khoản của nạn nhân mà không cần mật khẩu.

2.3. Rủi ro từ lỗi tải tệp và tràn bộ đệm Buffer Overflow

Lỗi tải tệp không giới hạn (Unrestricted File Upload) cho phép kẻ tấn công tải lên các tệp tin chứa mã độc, chẳng hạn như webshell, lên máy chủ. Một khi webshell được thực thi, kẻ tấn công có thể chiếm toàn quyền kiểm soát máy chủ. Buffer Overflow là một lỗi kinh điển nhưng vẫn còn tồn tại, xảy ra khi một chương trình ghi dữ liệu vượt quá vùng bộ nhớ đệm được cấp phát. Kẻ tấn công có thể lợi dụng lỗi này để ghi đè lên các cấu trúc dữ liệu quan trọng và thực thi mã tùy ý, gây ra tình trạng từ chối dịch vụ hoặc chiếm quyền điều khiển hệ thống.

III. Hướng dẫn các phương pháp bảo mật website hiệu quả nhất

Để đối phó với các mối đe dọa đã nêu, việc triển khai một chiến lược phòng chống tấn công mạng đa tầng là vô cùng cần thiết. Bảo mật website không chỉ là việc cài đặt một phần mềm duy nhất, mà là một quy trình liên tục bao gồm nhiều biện pháp kỹ thuật và chính sách. Một trong những biện pháp nền tảng là sử dụng chứng chỉ SSL/TLS để mã hóa dữ liệu truyền tải giữa trình duyệt của người dùng và máy chủ. Điều này ngăn chặn các cuộc tấn công nghe lén (eavesdropping) và đảm bảo tính toàn vẹn, riêng tư của thông tin. Tiếp theo, việc triển khai một tường lửa ứng dụng web (WAF) là một lớp phòng thủ chủ động. WAF hoạt động ở tầng ứng dụng, có khả năng phân tích các yêu cầu HTTP và chặn các mẫu tấn công đã biết như SQL Injection và XSS trước khi chúng kịp tiếp cận ứng dụng. Bên cạnh các giải pháp công nghệ, các biện pháp quản trị cũng đóng vai trò quan trọng. Việc thường xuyên cập nhật phần mềm, bao gồm hệ điều hành, máy chủ web, và các thư viện mã nguồn, là yếu tố bắt buộc để vá lỗ hổng đã được các nhà cung cấp phát hiện và công bố. Ngoài ra, chính sách mật khẩu mạnh, yêu cầu mật khẩu phức tạp, thay đổi định kỳ và lưu trữ an toàn cũng góp phần giảm thiểu rủi ro bị tấn công brute force. Việc thực hiện một quy trình đánh giá an ninh định kỳ sẽ giúp xác định và khắc phục các điểm yếu mới phát sinh, đảm bảo hệ thống luôn được bảo vệ ở mức cao nhất.

3.1. Triển khai mã hóa dữ liệu với chứng chỉ SSL TLS

SSL (Secure Sockets Layer) và phiên bản kế nhiệm TLS (Transport Layer Security) là các giao thức mật mã thiết lập một kênh liên lạc được mã hóa. Khi một website sử dụng SSL/TLS, URL sẽ bắt đầu bằng https://. Quá trình này, được gọi là "SSL handshake", xác thực danh tính của máy chủ và mã hóa tất cả dữ liệu được truyền đi. Việc mã hóa dữ liệu này giúp ngăn chặn kẻ tấn công đọc hoặc sửa đổi thông tin nhạy cảm như mật khẩu, thông tin thanh toán khi chúng đang được gửi qua mạng.

3.2. Vai trò của tường lửa ứng dụng web WAF trong an ninh

Tường lửa ứng dụng web (WAF) là một lá chắn quan trọng, hoạt động như một bộ lọc giữa ứng dụng web và Internet. Không giống như tường lửa mạng truyền thống, WAF có khả năng hiểu và phân tích lưu lượng HTTP/HTTPS. Nó sử dụng một bộ quy tắc để phát hiện và ngăn chặn các cuộc tấn công khai thác lỗ hổng bảo mật web, giảm thiểu rủi ro và cho phép đội ngũ phát triển có thêm thời gian để thực hiện việc vá lỗ hổng trên mã nguồn gốc. WAF là một thành phần không thể thiếu trong hệ thống an ninh mạng hiện đại.

IV. Đánh giá top công cụ quét lỗ hổng Burp Suite và Nmap

Quá trình nghiên cứu an toàn thông tin cho ứng dụng website không thể thiếu sự hỗ trợ của các công cụ bảo mật tự động. Chúng giúp các chuyên gia an ninh mạng nhanh chóng xác định các điểm yếu tiềm tàng trên một quy mô lớn. Hai trong số những công cụ phổ biến và mạnh mẽ nhất trong lĩnh vực này là Burp Suite và Nmap. Burp Suite là một bộ công cụ kiểm thử xâm nhập (pentest) toàn diện, hoạt động như một proxy chặn và cho phép người dùng kiểm tra, sửa đổi lưu lượng truy cập giữa trình duyệt và máy chủ. Nó tích hợp nhiều module mạnh mẽ cho việc rà quét tự động, tấn công brute-force, và phân tích sâu các yêu cầu, phản hồi. Burp Suite là công cụ không thể thiếu cho việc thực hiện phân tích ứng dụng động (DAST). Trong khi đó, Nmap (Network Mapper) là một công cụ mã nguồn mở chuyên về khám phá mạng và kiểm tra an ninh. Mặc dù chức năng chính là lập bản đồ mạng, phát hiện các máy chủ, dịch vụ và cổng đang mở, Nmap cũng có một hệ thống kịch bản mạnh mẽ (Nmap Scripting Engine - NSE) cho phép nó thực hiện các tác vụ quét lỗ hổng cụ thể. Việc kết hợp hai công cụ này mang lại một cách tiếp cận toàn diện: Nmap được dùng để rà soát bề mặt tấn công ở tầng mạng, trong khi Burp Suite được dùng để đi sâu vào phân tích các logic và lỗ hổng bảo mật web ở tầng ứng dụng. Sự kết hợp này tạo nên một quy trình pentest web hiệu quả, giúp phát hiện đa dạng các loại hình lỗ hổng.

4.1. Burp Suite Công cụ kiểm thử xâm nhập toàn diện

Burp Suite là một nền tảng tích hợp cho việc thực hiện kiểm thử xâm nhập ứng dụng web. Các chức năng chính của nó bao gồm Proxy để chặn và sửa đổi traffic, Spider để lập bản đồ ứng dụng, Scanner để tự động tìm lỗ hổng, và Repeater để gửi lại và thao tác trên các yêu cầu riêng lẻ. Với khả năng mở rộng thông qua các BApps, Burp Suite cung cấp một bộ công cụ linh hoạt, cho phép các chuyên gia thực hiện cả kiểm thử thủ công và tự động, giúp phát hiện các lỗ hổng logic phức tạp mà các công cụ quét hoàn toàn tự động có thể bỏ sót.

4.2. Nmap Sức mạnh của việc rà quét và lập bản đồ mạng

Nmap là công cụ hàng đầu để thực hiện giai đoạn thu thập thông tin trong một cuộc đánh giá an ninh. Nó có thể nhanh chóng xác định các máy chủ đang hoạt động, các cổng dịch vụ đang mở (open ports), và phiên bản hệ điều hành cũng như dịch vụ đang chạy. Thông qua các kịch bản NSE, Nmap có thể kiểm tra các cấu hình sai mặc định và các lỗ hổng đã biết, cung cấp cho người kiểm thử một cái nhìn tổng quan về bề mặt tấn công của mục tiêu trước khi tiến hành các bước khai thác sâu hơn.

4.3. So sánh phương pháp SAST và DAST trong kiểm thử

Các công cụ bảo mật thường tuân theo hai phương pháp chính: Phân tích mã nguồn tĩnh (SAST) và Phân tích ứng dụng động (DAST). SAST (hộp trắng) hoạt động bằng cách phân tích mã nguồn của ứng dụng mà không cần chạy nó, giúp tìm lỗi sớm trong chu trình phát triển. Ngược lại, DAST (hộp đen), phương pháp mà Burp Suite và Acunetix sử dụng, kiểm tra ứng dụng khi nó đang chạy bằng cách gửi các yêu cầu tấn công và phân tích phản hồi. DAST rất hiệu quả trong việc tìm kiếm các lỗ hổng môi trường và runtime, mô phỏng chính xác cách một hacker sẽ tấn công hệ thống.

V. Ứng dụng thực tiễn Quét lỗ hổng website với Burp Suite

Lý thuyết về an toàn thông tin chỉ thực sự có giá trị khi được áp dụng vào thực tiễn. Tài liệu nghiên cứu đã mô tả chi tiết một quy trình pentest web sử dụng Burp Suite để kiểm tra một ứng dụng web mẫu. Quá trình này minh họa rõ ràng cách một công cụ quét lỗ hổng có thể được sử dụng để phát hiện và khai thác các điểm yếu nghiêm trọng. Giai đoạn đầu tiên là cấu hình Burp Proxy để bắt tất cả lưu lượng truy cập từ trình duyệt. Điều này cho phép nhà nghiên cứu quan sát mọi yêu cầu và phản hồi, hiểu rõ cách ứng dụng hoạt động. Sau đó, tính năng Intruder của Burp Suite được sử dụng để thực hiện một cuộc tấn công brute-force vào chức năng đăng nhập, thử hàng trăm mật khẩu phổ biến và thành công tìm ra thông tin đăng nhập của tài khoản quản trị. Đây là một ví dụ điển hình của lỗ hổng Broken Authentication. Tiếp theo, nghiên cứu tập trung vào chức năng tải tệp. Bằng cách thử tải lên một tệp tin chứa mã PHP (webshell), nhà nghiên cứu đã phát hiện ra lỗ hổng Unrestricted File Upload. Kết hợp với một lỗ hổng Path Traversal khác, họ đã có thể xác định đường dẫn của tệp tin vừa tải lên và thực thi nó, từ đó chiếm được quyền thực thi lệnh trên máy chủ. Quá trình này cho thấy sự nguy hiểm khi các lỗ hổng bảo mật web kết hợp lại với nhau, tạo ra một chuỗi tấn công có sức tàn phá lớn. Kết quả thực tiễn này khẳng định tầm quan trọng của việc đánh giá an ninh toàn diện, không chỉ tìm các lỗi riêng lẻ mà còn xem xét cách chúng có thể bị lợi dụng cùng nhau.

5.1. Quy trình pentest web từ phát hiện đến khai thác lỗi

Một quy trình pentest web điển hình bắt đầu bằng việc thu thập thông tin và lập bản đồ ứng dụng (mapping). Sau đó, các chức năng của ứng dụng được phân tích để tìm kiếm các điểm yếu. Như trong demo, chức năng đăng nhập và upload file là hai mục tiêu chính. Khi một lỗ hổng tiềm năng được xác định, người kiểm thử sẽ tiến hành khai thác thử để xác nhận mức độ nghiêm trọng. Cuối cùng, tất cả các phát hiện sẽ được tổng hợp trong một báo cáo chi tiết, kèm theo bằng chứng và đề xuất vá lỗ hổng.

5.2. Kết quả phát hiện lỗi Authentication và File Upload

Trong quá trình thực nghiệm, lỗi xác thực (Authentication) đã bị khai thác thành công thông qua tấn công brute-force và cả SQL Injection bypass. Điều này cho thấy cơ chế xác thực của ứng dụng rất yếu. Lỗi tải tệp không hạn chế (File Upload) còn nguy hiểm hơn khi cho phép tải lên một webshell, dẫn đến việc thực thi lệnh từ xa (Remote Command Execution). Những kết quả này nhấn mạnh sự cần thiết của việc xác thực đầu vào nghiêm ngặt và kiểm soát chặt chẽ các loại tệp được phép tải lên hệ thống.

VI. Kết luận và hướng phát triển an toàn thông tin website

Đề tài nghiên cứu an toàn thông tin cho ứng dụng website đã hoàn thành các mục tiêu đề ra, cung cấp một cái nhìn tổng quan về các mối đe dọa, phương pháp phòng thủ và các công cụ hỗ trợ. Nghiên cứu đã hệ thống hóa được các lỗ hổng bảo mật web phổ biến, phân tích cơ chế hoạt động và đề xuất các giải pháp ngăn chặn hiệu quả. Việc ứng dụng thực tiễn các công cụ quét lỗ hổng như Burp Suite và Nmap đã chứng minh tính hiệu quả của chúng trong việc phát hiện các điểm yếu từ tầng mạng đến tầng ứng dụng. Tuy nhiên, lĩnh vực an ninh mạng luôn thay đổi không ngừng. Các kỹ thuật tấn công mới liên tục xuất hiện, đòi hỏi các phương pháp phòng thủ cũng phải phát triển tương ứng. Hướng phát triển trong tương lai cần tập trung vào việc tự động hóa sâu hơn nữa quy trình đánh giá an ninh. Thay vì chỉ thực hiện kiểm thử định kỳ, các hoạt động bảo mật website cần được tích hợp trực tiếp vào vòng đời phát triển phần mềm theo mô hình DevSecOps. Điều này có nghĩa là việc phân tích mã nguồn tĩnh (SAST) và phân tích ứng dụng động (DAST) sẽ được thực hiện liên tục trong suốt quá trình phát triển, giúp phát hiện và vá lỗ hổng từ sớm. Việc xây dựng một quy trình SDLC an toàn (Secure Software Development Lifecycle) sẽ giúp giảm thiểu đáng kể các lỗi bảo mật trước khi sản phẩm được triển khai, tiết kiệm chi phí và nâng cao chất lượng bảo mật tổng thể.

6.1. Tổng kết các kết quả nghiên cứu đã đạt được

Nghiên cứu đã thành công trong việc mô tả mô hình hoạt động của ứng dụng web, phân loại các kỹ thuật tấn công, và trình bày các biện pháp ngăn chặn. Quan trọng hơn, nghiên cứu đã chứng minh qua thực nghiệm khả năng phát hiện các lỗi bảo mật nghiêm trọng bằng cách kết hợp các công cụ chuyên dụng. Kết quả này cung cấp một bộ tài liệu tham khảo hữu ích cho các nhà phát triển và quản trị viên trong công tác đảm bảo an toàn thông tin.

6.2. Đề xuất hướng phát triển cho quy trình SDLC an toàn

Hướng phát triển tương lai nên tập trung vào việc xây dựng một quy trình SDLC an toàn. Điều này bao gồm việc đào tạo nhận thức bảo mật cho lập trình viên, áp dụng các tiêu chuẩn mã hóa an toàn (secure coding standards), tích hợp các công cụ SAST/DAST vào quy trình CI/CD, và thực hiện kiểm thử xâm nhập định kỳ trước mỗi lần phát hành phiên bản mới. Cách tiếp cận chủ động này sẽ giúp xây dựng bảo mật website ngay từ gốc, thay vì chỉ phản ứng lại sau khi sự cố xảy ra.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong kỷ nguyên số hóa, an ninh mạng và an toàn thông tin đã trở thành yếu tố sống còn đối với mọi lĩnh vực công nghiệp trọng yếu như tài chính, ngân hàng, năng lượng, quân sự và các hệ thống tự động hóa. Các máy chủ (server) và hệ thống ứng dụng web đóng vai trò là hạ tầng trung tâm lưu trữ, xử lý các dữ liệu kinh doanh và thông tin người dùng có độ nhạy cảm cao. Việc kết nối máy chủ với môi trường Internet công cộng mở ra cơ hội kinh doanh nhưng đồng thời cũng làm gia tăng rủi ro bị tin tặc (hacker) thăm dò, khai thác lỗ hổng nhằm đánh cắp dữ liệu, làm tê liệt dịch vụ hoặc phá hoại hệ thống.

Vấn đề an toàn thông tin trên không gian mạng tại Việt Nam được tác giả minh chứng qua số liệu thống kê thực tế: trong tháng 5/2023, Trung tâm Giám sát an toàn không gian mạng quốc gia thuộc Cục An toàn thông tin (Bộ Thông tin và Truyền thông) đã ghi nhận và cảnh báo 695 cuộc tấn công mạng gây ra sự cố vào các hệ thống thông tin tại Việt Nam (tăng 39,6% so với tháng 4/2023 và giảm 17,9% so với cùng kỳ năm 2022). Các hình thức tấn công phổ biến gồm dò quét điểm yếu dịch vụ UPnP, tấn công từ chối dịch vụ phân giải tên miền DNS, dò quét mật khẩu dịch vụ FTP bằng phương pháp vét cạn (brute force). Thực trạng này đòi hỏi các nhà quản trị hệ thống và lập trình viên phải chủ động rà quét, phát hiện và khắc phục các lỗ hổng trên ứng dụng web trước khi bị kẻ xấu khai thác.

Đề tài "Nghiên Cứu An Toàn Thông Tin Cho Ứng Dụng Website" được sinh viên Tăng Nghiệp Thuận (MSSV: 2011061886, Lớp: 20DTHB1), dưới sự hướng dẫn của giảng viên Văn Thiên Hoàng tại Trường Đại học Công nghệ TP. HCM (HUTECH), thực hiện nhằm giải quyết các nhiệm vụ nghiên cứu sau:

1. Hệ thống hóa cơ sở lý thuyết về kiến trúc ứng dụng web, các cơ chế bảo mật nền tảng và nguyên lý của các kỹ thuật tấn công phổ biến (XSS, CSRF, SQL Injection, Chiếm quyền phiên làm việc, Tràn bộ đệm).
2. Khảo sát, phân tích các công cụ và phương pháp dò quét lỗ hổng bảo mật tiên tiến hiện nay (Burp Suite, Nmap, Nuclei Scan).
3. Triển khai thực nghiệm kiểm thử bảo mật trên ứng dụng web mô phỏng, phân tích các kịch bản khai thác lỗi xác thực, tải tệp tin không an toàn, duyệt đường dẫn trái phép và thực thi mã từ xa, từ đó rút ra các biện pháp phòng chống hiệu quả.

Đối tượng và phạm vi nghiên cứu của đồ án:

• Đối tượng nghiên cứu: Lý thuyết an toàn bảo mật ứng dụng web và các công cụ quét lỗ hổng bảo mật tiêu biểu (Burp Suite, Nmap, Nuclei).
• Phạm vi nghiên cứu: Đề tài tập trung vào việc mô tả cách kiểm tra, dò tìm lỗ hổng của ứng dụng web thông qua việc sử dụng kết hợp các công cụ chạy trên nền tảng hệ điều hành Windows và Linux, tiến hành thực nghiệm kiểm thử trên mô hình ứng dụng web chạy trên nền máy chủ cục bộ (XAMPP).

---

Cơ sở lý thuyết và phương pháp

Cơ sở lý thuyết

Đồ án xây dựng nền tảng lý luận dựa trên cấu trúc 3 lớp tiêu chuẩn của một ứng dụng web:

• Lớp trình bày (Presentation Layer): Giao diện tương tác hiển thị dữ liệu cho người dùng thông qua trình duyệt web (sử dụng HTML, CSS, JavaScript, DHTML, Flash...).
• Lớp ứng dụng (Application Layer): Nơi xử lý logic nghiệp vụ, tiếp nhận các yêu cầu (HTTP GET, POST), xử lý và điều phối dữ liệu từ máy chủ web (Web Server chạy PHP, ASP, JSP, Perl, C/C++...).
• Lớp dữ liệu (Data Layer): Hệ thống quản trị cơ sở dữ liệu (DBMS) chịu trách nhiệm lưu trữ, truy xuất và phân quyền dữ liệu.

Cơ chế trao đổi thông tin giữa trình duyệt khách (Client) và máy chủ (Server) diễn ra qua giao thức HTTP/HTTPS. Mặc dù nhiều hệ thống sử dụng giao thức mã hóa SSL/TLS (với quy trình bắt tay SSL Handshake 3 bước) và đạt chứng chỉ thanh toán PCI, nguy cơ bảo mật vẫn tồn tại nghiêm trọng do mã nguồn (source code) được phát triển không đúng quy chuẩn bảo mật hoặc thiếu cơ chế kiểm tra tính hợp lệ của dữ liệu đầu vào.

Về mặt phòng thủ mạng và hệ thống, đồ án phân loại 3 công nghệ tường lửa cơ bản:

• Packet Filtering: Lọc gói tin dựa trên địa chỉ IP và cổng dịch vụ theo 2 chính sách mặc định (Allow by Default hoặc Deny by Default).
• Application Layer Gateways (Application Filtering): Kiểm soát luồng dữ liệu ở tầng ứng dụng, phân tích sâu nội dung gói tin, hoạt động như một máy chủ ủy quyền (Proxy Server).
• Stateful Packet Filtering (Stateful Inspection): Kết hợp kiểm tra trạng thái kết nối thông qua bảng trạng thái (state table), giúp quản lý phiên truy cập an toàn và linh hoạt.
• Web Application Firewall (WAF): Thiết bị hoặc phần mềm chuyên dụng giám sát luồng HTTP/HTTPS, phát hiện mã độc, ngăn chặn các cuộc tấn công khai thác lỗ hổng web và giảm thiểu tấn công DDoS.

Về mặt kỹ thuật tấn công, đồ án phân tích chi tiết nguyên lý của các lỗ hổng:

• XSS (Cross-Site Scripting): Chèn các đoạn mã độc hại phía máy khách (Client-side script như JavaScript, HTML) nhằm đánh cắp Session ID, Cookie hoặc token của người dùng.
• CSRF (Cross-Site Request Forgery): Lợi dụng phiên làm việc đã được xác thực của người dùng hợp lệ để ép trình duyệt gửi các yêu cầu giả mạo tới máy chủ.
• SQL Injection (SQLi): Chèn các ký tự đặc biệt hoặc mệnh đề truy vấn SQL bất hợp pháp vào tham số đầu vào để vượt qua cơ chế xác thực, đọc, sửa đổi hoặc xóa dữ liệu trong cơ sở dữ liệu.
• Session Hijacking: Chiếm quyền điều khiển phiên làm việc bằng cách dự đoán hoặc đánh cắp Session ID lưu trong Cookie/URL.
• Tràn bộ đệm (Buffer Overflow): Khai thác không gian bộ nhớ tiến trình (gồm 3 vùng: Vùng Text chứa mã thực thi, Vùng Data chứa biến toàn cục/tĩnh, và Vùng Stack hoạt động theo cơ chế LIFO). Lỗ hổng xảy ra khi dữ liệu đầu vào vượt quá kích thước bộ đệm được cấp phát, ghi đè lên địa chỉ trả về (RET) để thực thi Shellcode (thường xuất hiện trong các hàm xử lý chuỗi không an toàn của ngôn ngữ C như strcpy, strcat, sprintf, gets, scanf).

Phân loại kiểm thử	Bản chất kỹ thuật	Ưu điểm & Đặc trưng
Hộp đen (Black-box)	Kiểm thử ứng dụng từ bên ngoài, chỉ quan sát dữ liệu đầu vào và kết quả trả về mà không cần truy cập mã nguồn.	Thực hiện thủ công hoặc tự động; đánh giá sát với góc nhìn của kẻ tấn công thực tế.
Hộp trắng (White-box)	Kiểm tra, phân tích trực tiếp mã nguồn của ứng dụng web.	Phát hiện chính xác các dòng lệnh lỗi logic, lỗ hổng tiềm ẩn trong mã lập trình.
Fuzzing Test	Một nhánh của kiểm thử hộp đen, gửi liên tục dữ liệu ngẫu nhiên hoặc bất thường vào ứng dụng.	Tốc độ quét nhanh trên quy mô lớn, phù hợp khi đã biết rõ phiên bản và cấu trúc ứng dụng.

Phương pháp nghiên cứu

Tác giả kết hợp hai phương pháp chính:

1. Phương pháp nghiên cứu lý luận: Tổng hợp các tài liệu học thuật, tiêu chuẩn an toàn thông tin, mô hình ứng dụng web và cơ chế hoạt động của các công cụ rà quét bảo mật.
2. Phương pháp thực nghiệm: Thiết lập môi trường thử nghiệm ứng dụng web trên nền tảng XAMPP (hệ điều hành Windows), sử dụng các công cụ chuyên dụng (Burp Suite, Nmap, kho mã nguồn Kali Linux) để thực hiện các kịch bản tấn công thực tế, đo lường phản hồi hệ thống (mã HTTP, độ dài gói tin, khả năng thực thi lệnh) và đề xuất phương án vá lỗi.

---

Nội dung chính theo từng chương

CHƯƠNG 1: TỔNG QUAN

Chương 1 thiết lập tính cấp thiết của an toàn thông tin mạng trong bối cảnh các cuộc tấn công nhắm vào máy chủ web ngày càng gia tăng. Tác giả trình bày đối tượng nghiên cứu (lý thuyết bảo mật web, công cụ Burp Suite và Nmap), phạm vi nghiên cứu (mô tả cách thức dò tìm lỗ hổng kết hợp các công cụ trên hệ điều hành Windows), xác định phương pháp tiếp cận và phác thảo bố cục tổng thể của đồ án gồm 5 chương.

CHƯƠNG 2: Lý thuyết về bảo mật ứng dụng web

Chương 2 trình bày toàn diện bức tranh lý thuyết về web security:

• Giới thiệu khái niệm, cấu trúc 3 lớp và mô hình hoạt động của ứng dụng web qua giao thức HTTP/HTTPS.
• Phân tích chi tiết các kỹ thuật tấn công trọng yếu: XSS (mô hình 5 bước đánh cắp cookie), CSRF, SQL Injection, lộ thông tin cấu hình/mã nguồn, tấn công quản lý phiên (Session Management).
• Khảo sát các giải pháp bảo mật website: quy trình thiết lập mã hóa SSL (3 bước bắt tay SSL Handshake), tường lửa ứng dụng web (WAF), chính sách cập nhật phiên bản phần mềm, quản lý mật khẩu phức tạp và 3 mô hình tường lửa mạng (Packet Filtering, Application Filtering, Stateful Packet Filtering).
• Trình bày chuyên sâu về lỗi tràn bộ đệm (Buffer Overflow): cấu trúc không gian nhớ (Text, Data, Stack), nguyên lý hoạt động LIFO với các lệnh PUSH/POP, các hàm C không kiểm tra biên an toàn và các kiểu lỗi điển hình (Stack Overflow, Format String).

CHƯƠNG 3: NHỮNG CÔNG CỤ QUÉT LỖ HỎNG CÓ LIÊN QUAN

Chương này đánh giá các công cụ phục vụ kiểm thử an toàn thông tin:

• Burp Suite: Bộ công cụ nền Java do PortSwigger phát triển. Phân tích các mô-đun chức năng chính: Proxy Server (bắt chặn và chỉnh sửa yêu cầu), Repeater (gửi lại yêu cầu tùy biến), Intruder (tự động hóa tấn công thử payload/brute force), Decoder (mã hóa/giải mã định dạng dữ liệu), Comparer (so sánh sự khác biệt giữa các gói tin), và Web Spider (thu thập thông tin cấu trúc website).
• Nmap (Network Mapper): Công cụ quét mạng đa nền tảng (Linux, Windows) hỗ trợ lập bản đồ mạng (Network mapping), nhận dạng hệ điều hành (OS detection/fingerprinting), dò tìm dịch vụ (Service discovery) và kiểm tra an ninh mạng (Security auditing). Định nghĩa 6 trạng thái cổng mạng trong Nmap: Open, Closed, Filtered, Unfiltered, Open/Filtered, Closed/Filtered.
• Nuclei Scan: Công cụ quét lỗ hổng dựa trên các tệp mẫu cấu hình định dạng YAML (YAML templates), cho phép kiểm thử nhanh qua nhiều giao thức (TCP, DNS, HTTP, File). Phân tích mô hình áp dụng cho 3 nhóm đối tượng: Bug Bounty Hunter (tự động hóa săn lỗi), Pentester (tối ưu hóa quy trình đánh giá định kỳ) và DevSecOps (tích hợp vào quy trình CI/CD).

CHƯƠNG 4: XÂY DỰNG ỨNG DỤNG QUÉT LỖ HỎNG

Chương 4 mô tả toàn bộ quá trình thực nghiệm kiểm thử bảo mật trên ứng dụng web thử nghiệm (chạy mã nguồn PHP trên máy chủ XAMPP môi trường Windows), sử dụng Burp Suite làm công cụ chủ đạo nhằm mục tiêu dò quét các lỗ hổng và truy xuất tệp cờ (flag) lưu tại thư mục quản trị viên:

• BUG 01 - Xác thực & Quản lý danh tính (Authentication & Identity Management):
  • Kịch bản 1 (Brute Force): Bắt gói tin đăng nhập bằng Burp Suite Proxy, sử dụng tính năng Intruder chèn tham số $$ vào trường mật khẩu với danh sách 100 mật khẩu thông dụng. Phát hiện phản hồi HTTP mã 302 chuyển hướng với mật khẩu admin.
  • Kịch bản 2 (SQL Injection): Khai thác ô nhập tài khoản có truy vấn cơ sở dữ liệu (lộ đường dẫn C:\xampp\htdocs\login.php). Thử nghiệm danh sách payload bypass từ kho HackTricks qua Intruder; phát hiện chuỗi admin"/* cho độ dài phản hồi 2722 (khác biệt so với độ dài lỗi trên 3000), cho phép đăng nhập thành công mà không cần mật khẩu.
• BUG 02 - Tải tệp tin không hạn chế (Unrestricted File Upload): Tải lên tệp PHP chứa mã kiểm tra môi trường:

  <?php phpinfo(); ?>
  

  Hệ thống lưu tệp vào đường dẫn C:\xampp\htdocs\upload/. Truy cập trực tiếp đường dẫn thực thi thành công mã PHP và hiển thị toàn bộ thông tin phiên bản, cấu hình máy chủ.
• BUG 03 - Truyền tải đường dẫn (Path Traversal): Khai thác tham số view_file_content tại tính năng xem tệp để đọc trực tiếp các tệp mã nguồn nội bộ trên máy chủ như C:\xampp\htdocs\login.php.
• BUG 04 - Tải tệp kết hợp thực thi lệnh hệ điều hành (File Upload + OS Command): Tải lên mã nguồn backdoor webshell (từ thư mục /usr/share/webshell của Kali Linux), sau đó gọi tham số ?cmd= để thực thi các lệnh hệ điều hành Windows (dir, type). Kết quả trích xuất thành công tệp mật khẩu MySQL và đọc được nội dung tệp flag nằm trên Desktop của tài khoản Admin.
• BUG 05 - Cross-Site Scripting (XSS): Chèn chuỗi mã script độc hại aaa"><script>alert(123)</script> vào ô nhập username tại trang đăng nhập. Trình duyệt phản hồi và kích hoạt hộp thoại thông báo thành công.

CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN

Tổng kết các kết quả đạt được về mặt lý luận và thực nghiệm; chỉ ra các hạn chế còn tồn tại của nghiên cứu và đề xuất các định hướng mở rộng trong tương lai.

---

Thiết kế và triển khai thực nghiệm

Quá trình thực nghiệm được triển khai theo mô hình kiểm thử an toàn ứng dụng web cục bộ với các thành phần kỹ thuật cụ thể:

[Máy tính kiểm thử / Hacker] 
[Giao thức HTTP / HTTPS]

Quá trình kiểm thử và kết quả ghi nhận qua từng giai đoạn được tổng hợp trong bảng sau:

STT	Lỗ hổng kiểm thử	Công cụ / Kỹ thuật sử dụng	Dấu hiệu nhận biết / Payload thực nghiệm	Kết quả ghi nhận
1	Xác thực (Authentication)	Burp Suite Intruder	Vét cạn danh sách 100 mật khẩu phổ biến	Phát hiện mật khẩu admin qua mã phản hồi HTTP 302 Found.
2	SQL Injection	Burp Suite Intruder / HackTricks	Payload bypass: admin"/*	Phản hồi độ dài 2722 (bình thường > 3000), bypass đăng nhập thành công.
3	Tải tệp không giới hạn	Tải tệp mã nguồn PHP	Tệp chứa mã <?php phpinfo(); ?>	Máy chủ lưu tại C:\xampp\htdocs\upload/ và thực thi mã nguồn.
4	Path Traversal	Trình duyệt / Xem mã nguồn	Tham số view_file_content	Đọc toàn bộ nội dung tệp mã nguồn C:\xampp\htdocs\login.php.
5	OS Command Injection	Backdoor Webshell (Kali Linux)	Tham số thực thi: ?cmd=dir, ?cmd=type	Thực thi lệnh hệ thống Windows, đọc tệp cấu hình MySQL và tệp flag trên Desktop Admin.
6	Reflected XSS	Chèn mã Client-side	Chuỗi payload: aaa"><script>alert(123)</script>	Kích hoạt hộp thoại cảnh báo alert(123) trên trình duyệt.

---

Kết quả và đóng góp

1. Về mặt lý luận:

   • Đồ án đã tổng hợp có hệ thống các kiến thức nền tảng về an toàn thông tin web, phân loại rõ ràng cấu trúc ứng dụng web 3 lớp, 3 công nghệ tường lửa mạng (Packet Filtering, Application Gateway, Stateful Inspection) và vai trò của WAF.
   • Làm rõ cơ chế phát sinh và phương thức phòng chống các lỗ hổng kinh điển: XSS, CSRF, SQL Injection, lộ lọt thông tin, quản lý phiên và lỗi tràn bộ đệm trên bộ nhớ Stack.

2. Về mặt thực nghiệm:

   • Khảo sát chi tiết tính năng và cơ chế hoạt động của 3 công cụ rà quét tiêu biểu: Burp Suite (các mô-đun Proxy, Intruder, Repeater, Decoder, Comparer), Nmap (4 công dụng chính và 6 trạng thái cổng) và Nuclei Scan (mẫu quét YAML DSL cho DevSecOps và Pentester).
   • Thực hiện thành công chuỗi kiểm thử xâm nhập trên hệ thống web mô phỏng, chứng minh mức độ nguy hiểm khi ứng dụng web không kiểm soát dữ liệu đầu vào: từ việc bypass xác thực bằng SQLi, leo thang qua lỗ hổng Unrestricted File Upload kết hợp Path Traversal, đến thực thi lệnh hệ điều hành (OS Command) chiếm quyền điều khiển và đọc tệp dữ liệu nhạy cảm (flag).

---

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đề tài

• Chưa xây dựng được một công cụ phần mềm độc lập hoàn chỉnh phục vụ tự động hóa toàn diện quy trình quét và cảnh báo lỗ hổng.
• Phạm vi kiểm thử thực nghiệm chủ yếu dừng lại ở các dạng lỗ hổng cơ bản trên môi trường web thử nghiệm nội bộ (XAMPP/Windows), chưa mở rộng trên các hệ thống phân tán phức tạp.
• Chưa tích hợp được đầy đủ tính năng xuất báo cáo tổng hợp và tự động đánh giá mức độ rủi ro của kết quả quét.

Hướng phát triển trong tương lai

• Nâng cao kiến thức chuyên sâu về an ninh mạng để đánh giá chính xác hơn hiệu năng của các chương trình quét lỗ hổng tiên tiến.
• Tích hợp thêm nhiều công cụ quét đa dạng nhằm đánh giá toàn diện hạ tầng mạng và ứng dụng web của các cơ quan, doanh nghiệp.
• Xây dựng hệ thống từ điển lỗ hổng bảo mật trực quan, cung cấp tài liệu tra cứu và hướng dẫn chi tiết các bước khắc phục lỗi cụ thể cho người quản trị website.

---

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho:

• Sinh viên ngành Công nghệ thông tin, An toàn thông tin, Mạng máy tính: Cung cấp tài liệu tổng quan dễ hiểu về các lỗ hổng web cơ bản, kiến trúc bộ nhớ và nguyên lý tràn bộ đệm.
• Người mới bắt đầu nghiên cứu kiểm thử bảo mật (Web Pentest / Bug Bounty): Cung cấp hướng dẫn thực hành từng bước rõ ràng về cách sử dụng Burp Suite (bắt gói tin, cấu hình Intruder, khai thác SQLi, khai thác File Upload và sử dụng Webshell để thực thi lệnh).
• Lập trình viên web: Giúp nhận thức rõ các sai lầm phổ biến khi viết mã (thiếu kiểm tra dữ liệu đầu vào, không lọc định dạng tệp tải lên, lộ đường dẫn tệp nội bộ) để chủ động lập trình an toàn.

---

Câu hỏi thường gặp

1. Theo số liệu thống kê trong đồ án, tình hình an toàn thông tin tại Việt Nam trong tháng 5/2023 diễn biến ra sao?
Trong tháng 5/2023, Cục An toàn thông tin ghi nhận và cảnh báo 695 cuộc tấn công mạng gây ra sự cố vào các hệ thống thông tin tại Việt Nam. Con số này tăng 39,6% so với tháng 4/2023 và giảm 17,9% so với cùng kỳ năm 2022.

2. Đồ án phân loại không gian bộ nhớ của một tiến trình thành những vùng nào khi phân tích lỗi Buffer Overflow?
Không gian nhớ của tiến trình được chia thành 3 vùng:

• Vùng Text: Chứa các mã lệnh thực thi và dữ liệu chỉ đọc.
• Vùng Data: Chứa các biến toàn cục và biến tĩnh (đã hoặc chưa khởi tạo).
• Vùng Stack: Chứa các biến cục bộ, tham số gọi hàm và địa chỉ trả về, hoạt động theo cơ chế LIFO với hai lệnh cơ bản là PUSH và POP.

3. Tác giả đã sử dụng payload cụ thể nào để bypass cơ chế đăng nhập bằng lỗ hổng SQL Injection trong chương 4?
Tác giả đã sử dụng chuỗi payload admin"/* chèn vào ô tài khoản. Khi kiểm thử bằng Burp Suite Intruder, payload này trả về phản hồi có độ dài 2722 (khác với các phản hồi lỗi có độ dài trên 3000), cho phép đăng nhập thành công vào giao diện web mà không cần nhập mật khẩu.

4. Chuỗi khai thác nào đã giúp tác giả thực thi lệnh hệ thống và chiếm được tệp flag của quản trị viên?
Tác giả đã kết hợp lỗ hổng Tải tệp không hạn chế (tải backdoor webshell từ thư mục /usr/share/webshell của Kali Linux lên máy chủ XAMPP) với lỗ hổng thực thi lệnh thông qua tham số ?cmd=. Sử dụng các lệnh Windows (dir và type), tác giả đã đọc được tệp mật khẩu MySQL và tệp flag lưu trên Desktop của tài khoản Admin.

5. Công cụ Nuclei Scan được đồ án giới thiệu hỗ trợ những nhóm đối tượng người dùng nào?
Nuclei Scan hỗ trợ 3 nhóm đối tượng chính:

• Bug Bounty Hunter: Tự động hóa phương pháp kiểm tra tùy chỉnh bằng mẫu YAML DSL trên quy mô hàng nghìn máy chủ.
• Pentester: Tăng tốc đánh giá bảo mật, tự động hóa kiểm tra hồi quy và xác minh bản vá lỗi.
• DevSecOps: Tích hợp vào quy trình CI/CD để quét liên tục trên máy chủ và ngăn ngừa lỗ hổng tái diễn.

---

Kết luận

Đồ án chuyên ngành "Nghiên Cứu An Toàn Thông Tin Cho Ứng Dụng Website" của sinh viên Tăng Nghiệp Thuận đã hệ thống hóa đầy đủ cơ sở lý thuyết về an toàn web, các kỹ thuật tấn công phổ biến và các cơ chế phòng thủ đa tầng. Thông qua việc phân tích các công cụ Burp Suite, Nmap, Nuclei và thực nghiệm khai thác 5 nhóm lỗ hổng thực tế trên môi trường mô phỏng, nghiên cứu đã chứng minh rõ nét các rủi ro bảo mật tiềm ẩn trên ứng dụng web do lỗi lập trình. Công trình là tài liệu học tập và thực hành cơ bản, có giá trị định hướng tốt cho sinh viên và người làm kỹ thuật an ninh mạng trong việc rà soát, phát hiện và khắc phục các điểm yếu bảo mật website.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan Chương này giới thiệu tổng quan về đề tài và sự cần thiết của việc nghiên cứu đề tài và áp dụng vào trong các webite. Nói đến các đối tượng nghiên cứu và phạm vi. Chương 2: Lý thuyết về bảo mật ứng dụng web. Trình bày các khái niệm chính trong đề tài như: ứng dụng web, mô hình hoạt động ứng dụng webite, cách quét lỗ hổng, ngăn chặn và bảo mật webite.

Chương 3: Những công cụ quét lỗ hổng bảo mật có liên quan. Giới thiệu sơ lược lịch sử các nghiên cứu có liên quan đến đề tài, công cụ quét burpsuite và nmap và một số công cụ khác để so sánh. Chương 4: Xây dựng ứng dụng quét lỗ hổng bảo mật. kết hợp các công cụ quét lỗ hổng cho webite và khắc phục sự cố.

mô ta demo đã làm của nghiên cứu này. Chương 5: Kết luận và hướng phát triển. Kết luận lại những gì đã nghiên cứu và đưa ra hướng phát triển cho nghiên cứu này. 8 CHƯƠNG 2: Lý thuyết về bảo mật ứng dụng web Trong những năm gần đây, các vụ tấn công mạng gia tăng mạnh về mặt số lượng, hình thức vi phạm ngày càng tinh vi và có tính tổ chức.

Có nhiều hình thức tấn công với những kỹ thuật khác nhau, phổ biến nhất là các kỹ thuật: Tấn công dò quét điểm yếu dịch vụ UPNP, tấn công gây từ chối dịch vụ phân giải tên miền DNS, tấn công dò mật khẩu dịch vụ FTP bằng phương pháp vét cạn (brute force login attempt)… Trong tháng 5/2023, Trung tâm Giám sát an toàn không gian mạng quốc gia thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông ghi nhận, cảnh báo 695 cuộc tấn công mạng gây ra sự cố vào các hệ thống thông tin tại Việt Nam, tăng 39,6% so với tháng 4 và giảm 17,9% so với cùng kỳ năm 2022.1 Thông số kỹ thuật tấn công web. Thống kê trên cho thấy các kỹ thuật tấn công phổ biến vào hệ thống thông tin của nước ta là rất đa dạng và thay đổi liên tục. Do đó, các cơ quan, tổ chức liên quan cần đề cao cảnh giác, nâng cao năng lực để đối phó với những tội phạm mạng ngày càng phức tạp và phát triển. Để bảo đảm an toàn thông tin mạng, Cục An toàn thông tin (Bộ Thông tin và Truyền thông) sẽ tiếp tục tăng cường giám sát an toàn hê ¡ thống thông tin, chủ động rà quét trên không gian mạng Viêt¡ Nam, đánh giá, thống kê và tiếp tục đẩy mạnh 9 tuyên truyền, cảnh báo trên các phương tiên¡ thông tin đại chúng để người dùng biết, phòng tránh.

Đồ án chuyên ngành được thực hiện nhằm tìm hiểu về các kỹ thuật tấn công trang web và đề ra cách phòng chống và ngăn chặn các cuộc tấn công. Các cách tấn công cũng như phòng tránh sẽ được giới thiệu một số khái niệm cơ bản để xây dựng nội dung cho những phần sau.1 Giới thiệu về ứng dụng Web.1 Khái niệm về ứng dụng web. Website (còn gọi là trang web) là một tập hợp các trang thông tin được liên kết với nhau, có khả năng truy cập cộng đồng và dùng chung một tên miền. Thông thường, website sẽ được phát triển và duy trì bởi một cá nhân, tổ chức hoặc doanh nghiệp đáp ứng mục đích sử dụng khác nhau tùy theo nhu cầu của người dùng.

Tất cả các website có thể truy cập công khai hình thành nên cộng đồng World Wide Web. Website không bị giới hạn bởi số lượng vì chúng gần như là vô tận. Có vô số trang web phục vụ các mục đích khác nhau như: website bán hàng, website thương mại điện tử, website giáo dục, website dịch vụ… Tốc độ phát triển các kỹ thuật xây dựng ứng dụng web cũng phát triển rất nhanh. Trước đây những ứng dụng web thường được xây dựng bằng CGI (Common Getaway Interface) được chạy trên các máy chủ web và kết nối với với các cơ sở dữ liệu đơn giản trên cùng một máy chủ.

Ứng dụng web là một ứng dụng chủ/khách sử dụng giao thức HTTP để tương tác với người dùng hay hệ thống khác. Trình khách dành cho người sử dụng thường là một trình duyệt web như: Internet Explorer hay FireFox. Giao diện web thông qua Thông qua Java, JavaScript, DHTML, Flash và những công nghệ khác, những phương pháp chỉ ứng dụng mới có như vẽ trên màn hình, chơi nhạc, và dùng được bàn phím và chuột tất cả đều có thể thực hiện được. Những kỹ thuật thông thường như kéo thả cũng được hỗ trợ bởi những công nghệ trên.

việc xây dựng ứng dụng Web để hỗ trợ những tính năng chuẩn của trình duyệt đó là chúng sẽ hoạt động như mong muốn bất kể hệ điều hành hay phiên bản hệ điều hành nào được cài trên máy khách cho trước. Thay vì tạo ra những chương trình 10 khách cho MS Windows, Mac OS X, GNU/Linux, và những hệ điều hành khác, ứng dụng có thể được viết chỉ một lần và triển khai mọi nơi. Cấu trúc của một ứng dụng web Một cấu trúc của ứng dụng wed có tất cả 3 lớp:  Lớp trình bày: : Lớp này có nhiệm vụ hiển thị dữ liệu cho người dùng, ngoài ra còn có thể có thêm các ứng dụng tạo bố cục cho trang web.  Lớp ứng dụng: Là nơi xử lý của ứng dụng web.

Nó sẽ xử lý thông tin người dùng yêu cầu, đưa ra quyết định, gửi kết quả đến “lớp trình bày”.  Lớp dữ liệu: Thường là các hệ quản trị dữ liệu (DBMS) chịu tránh nhiệm quản lý các file dữ liệu và quyền sử dụng. Mô hình hoạt động của web. Bên cạnh đó, một giải pháp dùng để bảo vệ hệ thống mạng thường được sử dụng là bức tường lửa (firewall), nó có vai trò như lớp rào chắn bên ngoài một hệ thống mạng, vì chức năng chính của firewall là kiểm soát luồng thông tin giữa các máy tính.2 Mô tả hoạt động ứng dụng web.

Đầu tiên trình duyệt sẽ gửi một yêu cầu (request) đến máy chủ Web thông qua các lệnh cơ bản GET, POST… của giao thức HTTP, máy chủ lúc này có thể cho 8 thực thi một chương trình được xây dựng từ nhiều ngôn ngữ như Perl, C/C++… hoặc máy chủ yêu cầu bộ biên dịch thực thi các trang ASP, JSP… theo yêu cầu của máy khách. Một hệ thống web thông thường bao gồm 3 loại chương trình chạy khác nhau:  trình duyệt – loại chương trình chạy trên máy tính của người dùng;  chương trình máy chủ web (web server) – loại chương trình chạy trên một máy tính riêng rất mạnh.  trình duyệt và chương trình máy chủ web tương tác với nhau qua một mạng truyền thông (thường là mạng tcp/ip), sử dụng giao thức HTTP (Hypertext Transfer Protocol).3 Một số chứng năng phổ biến của các ứng dụng web Ứng dụng web đã được phát triển nhằm thực hiện tất cả các chức năng hữu ích có thể sử dụng được trong môi trường trực tuyến (Internet). Dưới đây là một số chức năng của ứng dụng web đã được phát triển và sử dụng rất nhiều trong những năm gần đây.

 Mua bán trực tuyến: Amazon, Ebay, 5giay.com,…\  Mạng xã hội: Facebook, zalo  Ngân hàng trực tuyến: TP.BANK, Vietinbank…  Tìm kiếm: Google, Safari,….  Webmail (quản lý Email bằng trình duyệt Web): Gmail, Facebook, Zalo Hiện nay, với sự phát triển mạnh mẽ của Internet và các thiết bị di động cầm tay như: Laptop, Smarphone, Tablet,… thì các ứng dụng phải đáp ứng khả năng kết nối di động bằng cách sử dụng trình duyệt web hoặc các ứng dụng riêng trên di động (Android, IOS, Windows phone,…) sử dụng cơ chế kết nối đến Server dựa trên HTTP/HTTPS thông các hàm APIs.4 Vấn đề bảo mật web. Khi các công nghệ mới được phát triển và ứng dụng mạnh mẽ như các ứng dụng web hiện nay, thì theo khách quan đi cùng với điều này sẽ là hàng loạt các lỗ hổng bảo mật mới ra đời. Đa số các cuộc tấn công nghiêm trọng vào các ứng dụng web là làm lộ thông tin, đánh cắp tiền và các dữ liệu nhậy cảm.

Đối với nhiều tổ chức một cuộc tấn công gây ngừng hoạt động hệ thống là một vấn đề nghiêm trọng. Các tấn công từ chối dịch vụ ở cấp độ ứng dụng có thể được sử dụng để đạt được mục tiêu gây cạn kiệt nguồn tài nguyên tương tự như cuộc tấn công đối với cơ sở hạ tầng. Tuy nhiên, một nhận thức sai lầm phổ biến cho rằng vấn đề bảo mật cho các ứng dụng web là an toàn. Chỉ cần chúng ta duyệt qua một số trang web mua bán hàng trực tuyến, vào trang “những câu hỏi thường gặp” (FAQ), chúng ta sẽ rất yên tâm 13 rằng trang web này an toàn.

Vì hầu hết các ứng dụng web này công bố an toàn bởi vì họ sử dụng SSL Trong thực tế, phần lớn các ứng dụng web là không an toàn, mặc dù đã sử dụng rộng rãi công nghệ bảo mật SSL và tuân thủ quy trình, tiêu chuẩn PCI (Payment Card Industry - chuẩn công nghiệp của thẻ thanh toán). Các điểm yếu hay lỗ hổng nghiêm trọng của các ứng dụng web thường bắt nguồn từ việc viết mã (coding) không đúng phương pháp hay quy trình phát triển ứng dụng không an toàn sẽ cho phép tin tặc (hacker) truy cập trực tiếp và khai thác cơ sở dữ liệu để lấy dữ liệu. Các vấn đề trong bảo mật ứng dụng wed được mô tả cụ thể qua các trường hợp sau:  Người dùng có thể can thiệp vào bất kỳ phần dữ liệu được truyền giữa client và server, bao gồm các thông số gởi đi, cookies, và HTTP Header.  Người dùng có thể gửi yêu cầu theo thứ tự bất kỳ và có thể gửi các thông số tại một giai đoạn nhiều hơn một lần, hoặc không gì cả khác với những gì dự kiến theo trật tự, quy luật của ứng dụng web.

 Người sử dụng không bị giới hạn chỉ sử dụng một trình duyệt web để truy cập ứng dụng.5 Các phương pháp kiểm tra an toàn ứng dụng web. Phương pháp kiểm tra hộp đen các lỗi bảo mật trên ứng dụng web đề cập đến việc kiểm tra các ứng dụng từ bên ngoài, tức là quan sát các dữ liệu được đệ trình đến ứng dụng và các dữ liệu từ ứng dụng xuất ra mà không cần hiểu đến hoạt động bên trong của nó. Quá trình đệ trình dữ liệu từ bên ngoài đến ứng dụng có thể thực hiện bằng thủ công hoặc sử dụng công cụ tự động gửi đến ứng dụng. Phương pháp kiểm tra hộp trắng các lỗi bảo mật trên ứng dụng web là quá trình kiểm tra trực tiếp mã nguồn của ứng dụng web để tìm ra các lỗi bảo mật.

Quá trình quan sát và kiểm tra mã nguồn có thể thực hiện thủ công hoặc thực hiện bằng công cụ.