Nghiên Cứu An Toàn Thông Tin Cho Ứng Dụng Website

Đồ án nghiên cứu chuyên ngành đề tài nghiên cứu an toàn thông tin cho ứng dụng website, áp dụng công nghệ tiên tiến, tối ưu giải pháp kỹ thuật cho bài toán .

• Đề tài: Nghiên Cứu An Toàn Thông Tin Cho Ứng Dụng Website: Bảo Mật và Công Cụ Quét Lỗ Hổng

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Lý do chọn đề tài
• 1.2. Đối tượng và phạm vi nghiên cứu
• 1.3. Phương pháp nghiên cứu
• 1.4. Bố cục
• 2. CHƯƠNG 2: Lý thuyết về bảo mật ứng dụng web
• 2.1. Giới thiệu về ứng dụng Web
• 2.1.1. Khái niệm về ứng dụng web
• 2.1.2. Mô tả hoạt động ứng dụng web
• 2.1.3. Một số chứng năng phổ biến của các ứng dụng web
• 2.1.4. Vấn đề bảo mật web
• 2.1.5. Các phương pháp kiểm tra an toàn ứng dụng web
• 2.2. Giới thiệu sơ lược về các kỹ thuật tấn công wed
• 2.2.1. Kỹ thuật tấn công XSS (Cross-Site Scripting)
• 2.2.1.1. Mô hình XSS
• 2.2.2. Kỹ thuật tấn công CSRF (Cross-site Request Forgery)
• 2.2.3. Kỹ thuật tấn công SQL injection
• 2.2.4. Để lộ thông tin (Informational)
• 2.3. Chiếm hữu phiên làm việc (Session Management)
• 2.3.1. Tổng quan về Session ID
• 2.3.2. Đánh cắp phiên làm việc
• 2.4. Bảo mật Website
• 2.4.1. Rủi ro bảo mật website
• 2.4.2. Một số phương pháp bảo mật website
• 2.4.3. Giới thiệu về 3 loại tường lửa
• 2.5. Tràn bộ đệm (Buffer Overflow)
• 2.5.1. Sơ đồ tổ chức của bộ nhớ
• 2.5.2. Một số cách gây tràn bộ đệm qua ứng dụng web
• 2.5.3. Nguyên nhân và cách phòng chống
• 2.5.4. Các kiểu lỗi Buffer Overflow thường gặp
• 3. CHƯƠNG 3: NHỮNG CÔNG CỤ QUÉT LỖ HỎNG CÓ LIÊN QUAN
• 3.1. Công cụ burpsuite
• 3.1.1. Các chức năng của phần mềm burpsuite
• 3.1.2. Lợi ích của Burp Suite
• 3.1.3. Tính đa dạng của Burp Suite
• 3.2. Công cụ Nmap
• 3.2.1. Khái niệm về nmap
• 3.2.2. Công dụng về nmap
• 3.2.3. Trạng thái các cổng trong Nmap
• 3.3. Công cụ Nuclie scan
• 3.3.1. Khái niệm về Nuclie scan
• 3.3.2. Cách hoạt động của Nuclie scan
• 3.3.3. Các đối tượng sử dụng
• 4. CHƯƠNG 4: XÂY DỰNG ỨNG DỤNG QUÉT LỖ HỎNG
• 4.1. Công cụ xây dựng ứng dụng
• 4.2. Các bước thực hiện
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Hướng phát triển

Tóm tắt

I. Tổng quan nghiên cứu an toàn thông tin cho ứng dụng web

Trong bối cảnh chuyển đổi số, an toàn thông tin đã trở thành yếu tố sống còn đối với mọi tổ chức. Các ứng dụng website, vốn là cổng giao tiếp chính với khách hàng và là nơi lưu trữ dữ liệu kinh doanh nhạy cảm, đang là mục tiêu hàng đầu của các cuộc tấn công mạng. Theo thống kê từ Trung tâm Giám sát an toàn không gian mạng quốc gia, chỉ trong tháng 5/2023, đã có 695 cuộc tấn công mạng gây sự cố tại Việt Nam, tăng gần 40% so với tháng trước. Điều này cho thấy sự cấp thiết của việc nghiên cứu an toàn thông tin cho ứng dụng website. Việc không đảm bảo bảo mật website có thể dẫn đến những hậu quả nghiêm trọng: mất mát dữ liệu khách hàng, thiệt hại tài chính, suy giảm uy tín thương hiệu và thậm chí là vi phạm pháp luật. Đề tài này được thực hiện nhằm hệ thống hóa các kiến thức nền tảng về an ninh mạng, phân tích các lỗ hổng bảo mật web phổ biến và đánh giá các công cụ quét lỗ hổng hiệu quả. Mục tiêu chính là cung cấp một cái nhìn toàn diện, từ lý thuyết đến thực tiễn, giúp các nhà phát triển và quản trị viên hệ thống có thể xây dựng và vận hành các ứng dụng web một cách an toàn hơn. Việc phòng chống tấn công mạng không còn là một lựa chọn, mà là một yêu cầu bắt buộc. Nghiên cứu tập trung vào việc áp dụng các phương pháp đánh giá an ninh hiện đại, kết hợp sử dụng các công cụ chuyên dụng để tự động hóa quá trình rà soát và vá lỗ hổng, từ đó nâng cao khả năng phòng thủ của hệ thống trước các mối đe dọa ngày càng tinh vi. Quá trình này không chỉ dừng lại ở việc phát hiện, mà còn đề xuất các giải pháp khắc phục cụ thể, góp phần xây dựng một môi trường Internet an toàn và đáng tin cậy.

1.1. Tầm quan trọng của bảo mật website trong kỷ nguyên số

Sự phát triển của Internet đã biến website trở thành tài sản cốt lõi của doanh nghiệp. Tuy nhiên, điều này cũng đặt chúng vào tầm ngắm của tin tặc. Một hệ thống bảo mật website yếu kém có thể bị khai thác để đánh cắp thông tin thẻ tín dụng, dữ liệu cá nhân, bí mật kinh doanh hoặc cài cắm mã độc để tấn công người dùng khác. Do đó, đầu tư vào an toàn thông tin không chỉ là chi phí mà là một khoản đầu tư chiến lược, bảo vệ tài sản, duy trì hoạt động kinh doanh liên tục và xây dựng lòng tin với khách hàng. Như tài liệu nghiên cứu đã chỉ ra, các hacker luôn tìm cách đột nhập vào hệ thống nhằm đánh cắp dữ liệu và phá hoại, đòi hỏi các doanh nghiệp phải có biện pháp phòng thủ hiệu quả.

1.2. Mục tiêu và phạm vi của đề tài nghiên cứu an ninh mạng

Mục tiêu chính của nghiên cứu là tìm hiểu sâu về các kỹ thuật tấn công phổ biến và các phương pháp phòng thủ tương ứng. Phạm vi nghiên cứu tập trung vào các ứng dụng website, phân tích các lỗ hổng bảo mật web thường gặp và đi sâu vào việc sử dụng các công cụ kiểm thử xâm nhập như Burp Suite và Nmap. Đề tài không chỉ dừng lại ở lý thuyết mà còn tiến hành áp dụng thực tiễn, kiểm thử và thu thập số liệu để so sánh hiệu quả của các công cụ, từ đó xây dựng một quy trình đánh giá an ninh tối ưu, giúp người quản trị dễ dàng tìm ra và khắc phục các điểm yếu của hệ thống.

II. Top các lỗ hổng bảo mật web phổ biến theo OWASP Top 10

Việc nghiên cứu an toàn thông tin cho ứng dụng website đòi hỏi một sự hiểu biết sâu sắc về các mối đe dọa hiện hữu. Tổ chức OWASP Top 10 là một tài liệu tham khảo tiêu chuẩn, liệt kê những rủi ro an ninh nghiêm trọng nhất đối với các ứng dụng web. Đây là kim chỉ nam cho các chuyên gia an ninh mạng trong việc xác định và ưu tiên xử lý các điểm yếu. Các lỗ hổng bảo mật web này không phải là lý thuyết suông, chúng là nguyên nhân gốc rễ của hàng ngàn vụ xâm nhập dữ liệu mỗi năm. Trong đó, SQL Injection và Cross-Site Scripting (XSS) vẫn luôn là hai trong số những kỹ thuật tấn công nguy hiểm và phổ biến nhất. Một cuộc tấn công SQL Injection thành công có thể cho phép kẻ tấn công truy cập và thao túng toàn bộ cơ sở dữ liệu. Trong khi đó, XSS lại nhắm vào người dùng cuối, đánh cắp thông tin phiên làm việc hoặc lừa họ thực hiện các hành động không mong muốn. Bên cạnh đó, các lỗ hổng liên quan đến quản lý phiên (Session Management) và tấn công CSRF (Cross-Site Request Forgery) cũng là những mối đe dọa nghiêm trọng, cho phép kẻ tấn công mạo danh người dùng hợp lệ để thực hiện các hành vi trái phép. Việc hiểu rõ cơ chế hoạt động, nguyên nhân và cách phòng chống từng loại lỗ hổng là bước đầu tiên và quan trọng nhất trong việc xây dựng một chiến lược bảo mật website toàn diện. Đây là nền tảng để triển khai các biện pháp phòng thủ như mã hóa dữ liệu và thiết lập tường lửa ứng dụng web (WAF) một cách hiệu quả.

2.1. Phân tích kỹ thuật tấn công SQL Injection và XSS

SQL Injection là kỹ thuật chèn các câu lệnh SQL độc hại vào các truy vấn gửi đến cơ sở dữ liệu. Lỗ hổng này xảy ra khi ứng dụng không kiểm tra hoặc lọc kỹ dữ liệu đầu vào từ người dùng. Kẻ tấn công có thể lợi dụng nó để bypass cơ chế đăng nhập, đọc, sửa đổi hoặc xóa dữ liệu nhạy cảm. Ngược lại, Cross-Site Scripting (XSS) là kỹ thuật chèn các đoạn mã kịch bản (thường là JavaScript) vào các trang web được xem bởi người dùng khác. Mục tiêu của XSS là thực thi mã độc trên trình duyệt của nạn nhân để đánh cắp cookie, session token hoặc chiếm quyền điều khiển tài khoản của họ.

2.2. Hiểm họa từ tấn công CSRF và chiếm hữu phiên làm việc

Tấn công CSRF (Cross-Site Request Forgery) là một kỹ thuật tấn công buộc người dùng đã đăng nhập thực hiện một hành động không mong muốn trên một ứng dụng web. Kẻ tấn công tạo ra một yêu cầu giả mạo và lừa người dùng thực thi nó. Vì yêu cầu này được gửi từ trình duyệt của người dùng hợp lệ, máy chủ sẽ xử lý nó như một yêu cầu bình thường. Trong khi đó, lỗi chiếm hữu phiên làm việc (Session Hijacking) xảy ra khi kẻ tấn công đánh cắp được Session ID của người dùng, từ đó mạo danh và truy cập vào tài khoản của nạn nhân mà không cần mật khẩu.

2.3. Rủi ro từ lỗi tải tệp và tràn bộ đệm Buffer Overflow

Lỗi tải tệp không giới hạn (Unrestricted File Upload) cho phép kẻ tấn công tải lên các tệp tin chứa mã độc, chẳng hạn như webshell, lên máy chủ. Một khi webshell được thực thi, kẻ tấn công có thể chiếm toàn quyền kiểm soát máy chủ. Buffer Overflow là một lỗi kinh điển nhưng vẫn còn tồn tại, xảy ra khi một chương trình ghi dữ liệu vượt quá vùng bộ nhớ đệm được cấp phát. Kẻ tấn công có thể lợi dụng lỗi này để ghi đè lên các cấu trúc dữ liệu quan trọng và thực thi mã tùy ý, gây ra tình trạng từ chối dịch vụ hoặc chiếm quyền điều khiển hệ thống.

III. Hướng dẫn các phương pháp bảo mật website hiệu quả nhất

Để đối phó với các mối đe dọa đã nêu, việc triển khai một chiến lược phòng chống tấn công mạng đa tầng là vô cùng cần thiết. Bảo mật website không chỉ là việc cài đặt một phần mềm duy nhất, mà là một quy trình liên tục bao gồm nhiều biện pháp kỹ thuật và chính sách. Một trong những biện pháp nền tảng là sử dụng chứng chỉ SSL/TLS để mã hóa dữ liệu truyền tải giữa trình duyệt của người dùng và máy chủ. Điều này ngăn chặn các cuộc tấn công nghe lén (eavesdropping) và đảm bảo tính toàn vẹn, riêng tư của thông tin. Tiếp theo, việc triển khai một tường lửa ứng dụng web (WAF) là một lớp phòng thủ chủ động. WAF hoạt động ở tầng ứng dụng, có khả năng phân tích các yêu cầu HTTP và chặn các mẫu tấn công đã biết như SQL Injection và XSS trước khi chúng kịp tiếp cận ứng dụng. Bên cạnh các giải pháp công nghệ, các biện pháp quản trị cũng đóng vai trò quan trọng. Việc thường xuyên cập nhật phần mềm, bao gồm hệ điều hành, máy chủ web, và các thư viện mã nguồn, là yếu tố bắt buộc để vá lỗ hổng đã được các nhà cung cấp phát hiện và công bố. Ngoài ra, chính sách mật khẩu mạnh, yêu cầu mật khẩu phức tạp, thay đổi định kỳ và lưu trữ an toàn cũng góp phần giảm thiểu rủi ro bị tấn công brute force. Việc thực hiện một quy trình đánh giá an ninh định kỳ sẽ giúp xác định và khắc phục các điểm yếu mới phát sinh, đảm bảo hệ thống luôn được bảo vệ ở mức cao nhất.

3.1. Triển khai mã hóa dữ liệu với chứng chỉ SSL TLS

SSL (Secure Sockets Layer) và phiên bản kế nhiệm TLS (Transport Layer Security) là các giao thức mật mã thiết lập một kênh liên lạc được mã hóa. Khi một website sử dụng SSL/TLS, URL sẽ bắt đầu bằng https://. Quá trình này, được gọi là "SSL handshake", xác thực danh tính của máy chủ và mã hóa tất cả dữ liệu được truyền đi. Việc mã hóa dữ liệu này giúp ngăn chặn kẻ tấn công đọc hoặc sửa đổi thông tin nhạy cảm như mật khẩu, thông tin thanh toán khi chúng đang được gửi qua mạng.

3.2. Vai trò của tường lửa ứng dụng web WAF trong an ninh

Tường lửa ứng dụng web (WAF) là một lá chắn quan trọng, hoạt động như một bộ lọc giữa ứng dụng web và Internet. Không giống như tường lửa mạng truyền thống, WAF có khả năng hiểu và phân tích lưu lượng HTTP/HTTPS. Nó sử dụng một bộ quy tắc để phát hiện và ngăn chặn các cuộc tấn công khai thác lỗ hổng bảo mật web, giảm thiểu rủi ro và cho phép đội ngũ phát triển có thêm thời gian để thực hiện việc vá lỗ hổng trên mã nguồn gốc. WAF là một thành phần không thể thiếu trong hệ thống an ninh mạng hiện đại.

IV. Đánh giá top công cụ quét lỗ hổng Burp Suite và Nmap

Quá trình nghiên cứu an toàn thông tin cho ứng dụng website không thể thiếu sự hỗ trợ của các công cụ bảo mật tự động. Chúng giúp các chuyên gia an ninh mạng nhanh chóng xác định các điểm yếu tiềm tàng trên một quy mô lớn. Hai trong số những công cụ phổ biến và mạnh mẽ nhất trong lĩnh vực này là Burp Suite và Nmap. Burp Suite là một bộ công cụ kiểm thử xâm nhập (pentest) toàn diện, hoạt động như một proxy chặn và cho phép người dùng kiểm tra, sửa đổi lưu lượng truy cập giữa trình duyệt và máy chủ. Nó tích hợp nhiều module mạnh mẽ cho việc rà quét tự động, tấn công brute-force, và phân tích sâu các yêu cầu, phản hồi. Burp Suite là công cụ không thể thiếu cho việc thực hiện phân tích ứng dụng động (DAST). Trong khi đó, Nmap (Network Mapper) là một công cụ mã nguồn mở chuyên về khám phá mạng và kiểm tra an ninh. Mặc dù chức năng chính là lập bản đồ mạng, phát hiện các máy chủ, dịch vụ và cổng đang mở, Nmap cũng có một hệ thống kịch bản mạnh mẽ (Nmap Scripting Engine - NSE) cho phép nó thực hiện các tác vụ quét lỗ hổng cụ thể. Việc kết hợp hai công cụ này mang lại một cách tiếp cận toàn diện: Nmap được dùng để rà soát bề mặt tấn công ở tầng mạng, trong khi Burp Suite được dùng để đi sâu vào phân tích các logic và lỗ hổng bảo mật web ở tầng ứng dụng. Sự kết hợp này tạo nên một quy trình pentest web hiệu quả, giúp phát hiện đa dạng các loại hình lỗ hổng.

4.1. Burp Suite Công cụ kiểm thử xâm nhập toàn diện

Burp Suite là một nền tảng tích hợp cho việc thực hiện kiểm thử xâm nhập ứng dụng web. Các chức năng chính của nó bao gồm Proxy để chặn và sửa đổi traffic, Spider để lập bản đồ ứng dụng, Scanner để tự động tìm lỗ hổng, và Repeater để gửi lại và thao tác trên các yêu cầu riêng lẻ. Với khả năng mở rộng thông qua các BApps, Burp Suite cung cấp một bộ công cụ linh hoạt, cho phép các chuyên gia thực hiện cả kiểm thử thủ công và tự động, giúp phát hiện các lỗ hổng logic phức tạp mà các công cụ quét hoàn toàn tự động có thể bỏ sót.

4.2. Nmap Sức mạnh của việc rà quét và lập bản đồ mạng

Nmap là công cụ hàng đầu để thực hiện giai đoạn thu thập thông tin trong một cuộc đánh giá an ninh. Nó có thể nhanh chóng xác định các máy chủ đang hoạt động, các cổng dịch vụ đang mở (open ports), và phiên bản hệ điều hành cũng như dịch vụ đang chạy. Thông qua các kịch bản NSE, Nmap có thể kiểm tra các cấu hình sai mặc định và các lỗ hổng đã biết, cung cấp cho người kiểm thử một cái nhìn tổng quan về bề mặt tấn công của mục tiêu trước khi tiến hành các bước khai thác sâu hơn.

4.3. So sánh phương pháp SAST và DAST trong kiểm thử

Các công cụ bảo mật thường tuân theo hai phương pháp chính: Phân tích mã nguồn tĩnh (SAST) và Phân tích ứng dụng động (DAST). SAST (hộp trắng) hoạt động bằng cách phân tích mã nguồn của ứng dụng mà không cần chạy nó, giúp tìm lỗi sớm trong chu trình phát triển. Ngược lại, DAST (hộp đen), phương pháp mà Burp Suite và Acunetix sử dụng, kiểm tra ứng dụng khi nó đang chạy bằng cách gửi các yêu cầu tấn công và phân tích phản hồi. DAST rất hiệu quả trong việc tìm kiếm các lỗ hổng môi trường và runtime, mô phỏng chính xác cách một hacker sẽ tấn công hệ thống.

V. Ứng dụng thực tiễn Quét lỗ hổng website với Burp Suite

Lý thuyết về an toàn thông tin chỉ thực sự có giá trị khi được áp dụng vào thực tiễn. Tài liệu nghiên cứu đã mô tả chi tiết một quy trình pentest web sử dụng Burp Suite để kiểm tra một ứng dụng web mẫu. Quá trình này minh họa rõ ràng cách một công cụ quét lỗ hổng có thể được sử dụng để phát hiện và khai thác các điểm yếu nghiêm trọng. Giai đoạn đầu tiên là cấu hình Burp Proxy để bắt tất cả lưu lượng truy cập từ trình duyệt. Điều này cho phép nhà nghiên cứu quan sát mọi yêu cầu và phản hồi, hiểu rõ cách ứng dụng hoạt động. Sau đó, tính năng Intruder của Burp Suite được sử dụng để thực hiện một cuộc tấn công brute-force vào chức năng đăng nhập, thử hàng trăm mật khẩu phổ biến và thành công tìm ra thông tin đăng nhập của tài khoản quản trị. Đây là một ví dụ điển hình của lỗ hổng Broken Authentication. Tiếp theo, nghiên cứu tập trung vào chức năng tải tệp. Bằng cách thử tải lên một tệp tin chứa mã PHP (webshell), nhà nghiên cứu đã phát hiện ra lỗ hổng Unrestricted File Upload. Kết hợp với một lỗ hổng Path Traversal khác, họ đã có thể xác định đường dẫn của tệp tin vừa tải lên và thực thi nó, từ đó chiếm được quyền thực thi lệnh trên máy chủ. Quá trình này cho thấy sự nguy hiểm khi các lỗ hổng bảo mật web kết hợp lại với nhau, tạo ra một chuỗi tấn công có sức tàn phá lớn. Kết quả thực tiễn này khẳng định tầm quan trọng của việc đánh giá an ninh toàn diện, không chỉ tìm các lỗi riêng lẻ mà còn xem xét cách chúng có thể bị lợi dụng cùng nhau.

5.1. Quy trình pentest web từ phát hiện đến khai thác lỗi

Một quy trình pentest web điển hình bắt đầu bằng việc thu thập thông tin và lập bản đồ ứng dụng (mapping). Sau đó, các chức năng của ứng dụng được phân tích để tìm kiếm các điểm yếu. Như trong demo, chức năng đăng nhập và upload file là hai mục tiêu chính. Khi một lỗ hổng tiềm năng được xác định, người kiểm thử sẽ tiến hành khai thác thử để xác nhận mức độ nghiêm trọng. Cuối cùng, tất cả các phát hiện sẽ được tổng hợp trong một báo cáo chi tiết, kèm theo bằng chứng và đề xuất vá lỗ hổng.

5.2. Kết quả phát hiện lỗi Authentication và File Upload

Trong quá trình thực nghiệm, lỗi xác thực (Authentication) đã bị khai thác thành công thông qua tấn công brute-force và cả SQL Injection bypass. Điều này cho thấy cơ chế xác thực của ứng dụng rất yếu. Lỗi tải tệp không hạn chế (File Upload) còn nguy hiểm hơn khi cho phép tải lên một webshell, dẫn đến việc thực thi lệnh từ xa (Remote Command Execution). Những kết quả này nhấn mạnh sự cần thiết của việc xác thực đầu vào nghiêm ngặt và kiểm soát chặt chẽ các loại tệp được phép tải lên hệ thống.

VI. Kết luận và hướng phát triển an toàn thông tin website

Đề tài nghiên cứu an toàn thông tin cho ứng dụng website đã hoàn thành các mục tiêu đề ra, cung cấp một cái nhìn tổng quan về các mối đe dọa, phương pháp phòng thủ và các công cụ hỗ trợ. Nghiên cứu đã hệ thống hóa được các lỗ hổng bảo mật web phổ biến, phân tích cơ chế hoạt động và đề xuất các giải pháp ngăn chặn hiệu quả. Việc ứng dụng thực tiễn các công cụ quét lỗ hổng như Burp Suite và Nmap đã chứng minh tính hiệu quả của chúng trong việc phát hiện các điểm yếu từ tầng mạng đến tầng ứng dụng. Tuy nhiên, lĩnh vực an ninh mạng luôn thay đổi không ngừng. Các kỹ thuật tấn công mới liên tục xuất hiện, đòi hỏi các phương pháp phòng thủ cũng phải phát triển tương ứng. Hướng phát triển trong tương lai cần tập trung vào việc tự động hóa sâu hơn nữa quy trình đánh giá an ninh. Thay vì chỉ thực hiện kiểm thử định kỳ, các hoạt động bảo mật website cần được tích hợp trực tiếp vào vòng đời phát triển phần mềm theo mô hình DevSecOps. Điều này có nghĩa là việc phân tích mã nguồn tĩnh (SAST) và phân tích ứng dụng động (DAST) sẽ được thực hiện liên tục trong suốt quá trình phát triển, giúp phát hiện và vá lỗ hổng từ sớm. Việc xây dựng một quy trình SDLC an toàn (Secure Software Development Lifecycle) sẽ giúp giảm thiểu đáng kể các lỗi bảo mật trước khi sản phẩm được triển khai, tiết kiệm chi phí và nâng cao chất lượng bảo mật tổng thể.

6.1. Tổng kết các kết quả nghiên cứu đã đạt được

Nghiên cứu đã thành công trong việc mô tả mô hình hoạt động của ứng dụng web, phân loại các kỹ thuật tấn công, và trình bày các biện pháp ngăn chặn. Quan trọng hơn, nghiên cứu đã chứng minh qua thực nghiệm khả năng phát hiện các lỗi bảo mật nghiêm trọng bằng cách kết hợp các công cụ chuyên dụng. Kết quả này cung cấp một bộ tài liệu tham khảo hữu ích cho các nhà phát triển và quản trị viên trong công tác đảm bảo an toàn thông tin.

6.2. Đề xuất hướng phát triển cho quy trình SDLC an toàn

Hướng phát triển tương lai nên tập trung vào việc xây dựng một quy trình SDLC an toàn. Điều này bao gồm việc đào tạo nhận thức bảo mật cho lập trình viên, áp dụng các tiêu chuẩn mã hóa an toàn (secure coding standards), tích hợp các công cụ SAST/DAST vào quy trình CI/CD, và thực hiện kiểm thử xâm nhập định kỳ trước mỗi lần phát hành phiên bản mới. Cách tiếp cận chủ động này sẽ giúp xây dựng bảo mật website ngay từ gốc, thay vì chỉ phản ứng lại sau khi sự cố xảy ra.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan Chương này giới thiệu tổng quan về đề tài và sự cần thiết của việc nghiên cứu đề tài và áp dụng vào trong các webite. Nói đến các đối tượng nghiên cứu và phạm vi. Chương 2: Lý thuyết về bảo mật ứng dụng web. Trình bày các khái niệm chính trong đề tài như: ứng dụng web, mô hình hoạt động ứng dụng webite, cách quét lỗ hổng, ngăn chặn và bảo mật webite.

Chương 3: Những công cụ quét lỗ hổng bảo mật có liên quan. Giới thiệu sơ lược lịch sử các nghiên cứu có liên quan đến đề tài, công cụ quét burpsuite và nmap và một số công cụ khác để so sánh. Chương 4: Xây dựng ứng dụng quét lỗ hổng bảo mật. kết hợp các công cụ quét lỗ hổng cho webite và khắc phục sự cố.

mô ta demo đã làm của nghiên cứu này. Chương 5: Kết luận và hướng phát triển. Kết luận lại những gì đã nghiên cứu và đưa ra hướng phát triển cho nghiên cứu này. 8 CHƯƠNG 2: Lý thuyết về bảo mật ứng dụng web Trong những năm gần đây, các vụ tấn công mạng gia tăng mạnh về mặt số lượng, hình thức vi phạm ngày càng tinh vi và có tính tổ chức.

Có nhiều hình thức tấn công với những kỹ thuật khác nhau, phổ biến nhất là các kỹ thuật: Tấn công dò quét điểm yếu dịch vụ UPNP, tấn công gây từ chối dịch vụ phân giải tên miền DNS, tấn công dò mật khẩu dịch vụ FTP bằng phương pháp vét cạn (brute force login attempt)… Trong tháng 5/2023, Trung tâm Giám sát an toàn không gian mạng quốc gia thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông ghi nhận, cảnh báo 695 cuộc tấn công mạng gây ra sự cố vào các hệ thống thông tin tại Việt Nam, tăng 39,6% so với tháng 4 và giảm 17,9% so với cùng kỳ năm 2022.1 Thông số kỹ thuật tấn công web. Thống kê trên cho thấy các kỹ thuật tấn công phổ biến vào hệ thống thông tin của nước ta là rất đa dạng và thay đổi liên tục. Do đó, các cơ quan, tổ chức liên quan cần đề cao cảnh giác, nâng cao năng lực để đối phó với những tội phạm mạng ngày càng phức tạp và phát triển. Để bảo đảm an toàn thông tin mạng, Cục An toàn thông tin (Bộ Thông tin và Truyền thông) sẽ tiếp tục tăng cường giám sát an toàn hê ¡ thống thông tin, chủ động rà quét trên không gian mạng Viêt¡ Nam, đánh giá, thống kê và tiếp tục đẩy mạnh 9 tuyên truyền, cảnh báo trên các phương tiên¡ thông tin đại chúng để người dùng biết, phòng tránh.

Đồ án chuyên ngành được thực hiện nhằm tìm hiểu về các kỹ thuật tấn công trang web và đề ra cách phòng chống và ngăn chặn các cuộc tấn công. Các cách tấn công cũng như phòng tránh sẽ được giới thiệu một số khái niệm cơ bản để xây dựng nội dung cho những phần sau.1 Giới thiệu về ứng dụng Web.1 Khái niệm về ứng dụng web. Website (còn gọi là trang web) là một tập hợp các trang thông tin được liên kết với nhau, có khả năng truy cập cộng đồng và dùng chung một tên miền. Thông thường, website sẽ được phát triển và duy trì bởi một cá nhân, tổ chức hoặc doanh nghiệp đáp ứng mục đích sử dụng khác nhau tùy theo nhu cầu của người dùng.

Tất cả các website có thể truy cập công khai hình thành nên cộng đồng World Wide Web. Website không bị giới hạn bởi số lượng vì chúng gần như là vô tận. Có vô số trang web phục vụ các mục đích khác nhau như: website bán hàng, website thương mại điện tử, website giáo dục, website dịch vụ… Tốc độ phát triển các kỹ thuật xây dựng ứng dụng web cũng phát triển rất nhanh. Trước đây những ứng dụng web thường được xây dựng bằng CGI (Common Getaway Interface) được chạy trên các máy chủ web và kết nối với với các cơ sở dữ liệu đơn giản trên cùng một máy chủ.

Ứng dụng web là một ứng dụng chủ/khách sử dụng giao thức HTTP để tương tác với người dùng hay hệ thống khác. Trình khách dành cho người sử dụng thường là một trình duyệt web như: Internet Explorer hay FireFox. Giao diện web thông qua Thông qua Java, JavaScript, DHTML, Flash và những công nghệ khác, những phương pháp chỉ ứng dụng mới có như vẽ trên màn hình, chơi nhạc, và dùng được bàn phím và chuột tất cả đều có thể thực hiện được. Những kỹ thuật thông thường như kéo thả cũng được hỗ trợ bởi những công nghệ trên.

việc xây dựng ứng dụng Web để hỗ trợ những tính năng chuẩn của trình duyệt đó là chúng sẽ hoạt động như mong muốn bất kể hệ điều hành hay phiên bản hệ điều hành nào được cài trên máy khách cho trước. Thay vì tạo ra những chương trình 10 khách cho MS Windows, Mac OS X, GNU/Linux, và những hệ điều hành khác, ứng dụng có thể được viết chỉ một lần và triển khai mọi nơi. Cấu trúc của một ứng dụng web Một cấu trúc của ứng dụng wed có tất cả 3 lớp:  Lớp trình bày: : Lớp này có nhiệm vụ hiển thị dữ liệu cho người dùng, ngoài ra còn có thể có thêm các ứng dụng tạo bố cục cho trang web.  Lớp ứng dụng: Là nơi xử lý của ứng dụng web.

Nó sẽ xử lý thông tin người dùng yêu cầu, đưa ra quyết định, gửi kết quả đến “lớp trình bày”.  Lớp dữ liệu: Thường là các hệ quản trị dữ liệu (DBMS) chịu tránh nhiệm quản lý các file dữ liệu và quyền sử dụng. Mô hình hoạt động của web. Bên cạnh đó, một giải pháp dùng để bảo vệ hệ thống mạng thường được sử dụng là bức tường lửa (firewall), nó có vai trò như lớp rào chắn bên ngoài một hệ thống mạng, vì chức năng chính của firewall là kiểm soát luồng thông tin giữa các máy tính.2 Mô tả hoạt động ứng dụng web.

Đầu tiên trình duyệt sẽ gửi một yêu cầu (request) đến máy chủ Web thông qua các lệnh cơ bản GET, POST… của giao thức HTTP, máy chủ lúc này có thể cho 8 thực thi một chương trình được xây dựng từ nhiều ngôn ngữ như Perl, C/C++… hoặc máy chủ yêu cầu bộ biên dịch thực thi các trang ASP, JSP… theo yêu cầu của máy khách. Một hệ thống web thông thường bao gồm 3 loại chương trình chạy khác nhau:  trình duyệt – loại chương trình chạy trên máy tính của người dùng;  chương trình máy chủ web (web server) – loại chương trình chạy trên một máy tính riêng rất mạnh.  trình duyệt và chương trình máy chủ web tương tác với nhau qua một mạng truyền thông (thường là mạng tcp/ip), sử dụng giao thức HTTP (Hypertext Transfer Protocol).3 Một số chứng năng phổ biến của các ứng dụng web Ứng dụng web đã được phát triển nhằm thực hiện tất cả các chức năng hữu ích có thể sử dụng được trong môi trường trực tuyến (Internet). Dưới đây là một số chức năng của ứng dụng web đã được phát triển và sử dụng rất nhiều trong những năm gần đây.

 Mua bán trực tuyến: Amazon, Ebay, 5giay.com,…\  Mạng xã hội: Facebook, zalo  Ngân hàng trực tuyến: TP.BANK, Vietinbank…  Tìm kiếm: Google, Safari,….  Webmail (quản lý Email bằng trình duyệt Web): Gmail, Facebook, Zalo Hiện nay, với sự phát triển mạnh mẽ của Internet và các thiết bị di động cầm tay như: Laptop, Smarphone, Tablet,… thì các ứng dụng phải đáp ứng khả năng kết nối di động bằng cách sử dụng trình duyệt web hoặc các ứng dụng riêng trên di động (Android, IOS, Windows phone,…) sử dụng cơ chế kết nối đến Server dựa trên HTTP/HTTPS thông các hàm APIs.4 Vấn đề bảo mật web. Khi các công nghệ mới được phát triển và ứng dụng mạnh mẽ như các ứng dụng web hiện nay, thì theo khách quan đi cùng với điều này sẽ là hàng loạt các lỗ hổng bảo mật mới ra đời. Đa số các cuộc tấn công nghiêm trọng vào các ứng dụng web là làm lộ thông tin, đánh cắp tiền và các dữ liệu nhậy cảm.

Đối với nhiều tổ chức một cuộc tấn công gây ngừng hoạt động hệ thống là một vấn đề nghiêm trọng. Các tấn công từ chối dịch vụ ở cấp độ ứng dụng có thể được sử dụng để đạt được mục tiêu gây cạn kiệt nguồn tài nguyên tương tự như cuộc tấn công đối với cơ sở hạ tầng. Tuy nhiên, một nhận thức sai lầm phổ biến cho rằng vấn đề bảo mật cho các ứng dụng web là an toàn. Chỉ cần chúng ta duyệt qua một số trang web mua bán hàng trực tuyến, vào trang “những câu hỏi thường gặp” (FAQ), chúng ta sẽ rất yên tâm 13 rằng trang web này an toàn.

Vì hầu hết các ứng dụng web này công bố an toàn bởi vì họ sử dụng SSL Trong thực tế, phần lớn các ứng dụng web là không an toàn, mặc dù đã sử dụng rộng rãi công nghệ bảo mật SSL và tuân thủ quy trình, tiêu chuẩn PCI (Payment Card Industry - chuẩn công nghiệp của thẻ thanh toán). Các điểm yếu hay lỗ hổng nghiêm trọng của các ứng dụng web thường bắt nguồn từ việc viết mã (coding) không đúng phương pháp hay quy trình phát triển ứng dụng không an toàn sẽ cho phép tin tặc (hacker) truy cập trực tiếp và khai thác cơ sở dữ liệu để lấy dữ liệu. Các vấn đề trong bảo mật ứng dụng wed được mô tả cụ thể qua các trường hợp sau:  Người dùng có thể can thiệp vào bất kỳ phần dữ liệu được truyền giữa client và server, bao gồm các thông số gởi đi, cookies, và HTTP Header.  Người dùng có thể gửi yêu cầu theo thứ tự bất kỳ và có thể gửi các thông số tại một giai đoạn nhiều hơn một lần, hoặc không gì cả khác với những gì dự kiến theo trật tự, quy luật của ứng dụng web.

 Người sử dụng không bị giới hạn chỉ sử dụng một trình duyệt web để truy cập ứng dụng.5 Các phương pháp kiểm tra an toàn ứng dụng web. Phương pháp kiểm tra hộp đen các lỗi bảo mật trên ứng dụng web đề cập đến việc kiểm tra các ứng dụng từ bên ngoài, tức là quan sát các dữ liệu được đệ trình đến ứng dụng và các dữ liệu từ ứng dụng xuất ra mà không cần hiểu đến hoạt động bên trong của nó. Quá trình đệ trình dữ liệu từ bên ngoài đến ứng dụng có thể thực hiện bằng thủ công hoặc sử dụng công cụ tự động gửi đến ứng dụng. Phương pháp kiểm tra hộp trắng các lỗi bảo mật trên ứng dụng web là quá trình kiểm tra trực tiếp mã nguồn của ứng dụng web để tìm ra các lỗi bảo mật.

Quá trình quan sát và kiểm tra mã nguồn có thể thực hiện thủ công hoặc thực hiện bằng công cụ.