Luận văn thạc sĩ về kỹ thuật fuzzing trong kiểm thử lỗ hổng bảo mật website ngân hàng

Luận văn thạc sĩ nghiên cứu nghiên cứu kỹ thuật fuzzing trong kiểm thử lỗ hổng bảo mật website ngân hàng, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện pháp hoàn thiện trong

• Tác giả: Viengoudom Xayavong
• Người hướng dẫn: PGS. Hoàng Đăng Hải
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Nghiên cứu kỹ thuật fuzzing trong kiểm thử bảo mật website ngân hàng
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ KIỂM THỬ WEBSITE
• 1.1. Các khái niệm cơ bản về hoạt động của website (ngân hàng), lỗ hổng bảo mật trên website
• 1.2. Lỗ hổng bảo mật website
• 1.3. Nghiên cứu về các kỹ thuật kiểm thử (hộp trắng, hộp đen, hộp xám)
• 1.3.1. Kiểm thử hộp đen
• 1.3.2. Kiểm thử hộp trắng
• 1.3.3. Kiểm thử hộp xám
• 1.3.4. Kiểm thử website
• 1.4. Tìm hiểu về yêu cầu và khả năng của kỹ thuật Fuzzing áp dụng cho kiểm thử lỗ hổng bảo mật website ngân hàng
• 1.4.1. Phân loại Fuzzing
• 1.4.2. Ưu nhược điểm của Fuzzing
• 1.4.3. Lựa chọn Fuzzing cho kiểm tra lỗ hổng website
• 1.5. Kết luận chương 1
• 2. CHƯƠNG 2: KỸ THUẬT FUZZING TRONG KIỂM THỬ LỖ HỔNG BẢO MẬT WEBSITE
• 2.1. Trình bày cụ thể về mô hình, nguyên lý hoạt động của kỹ thuật Fuzzing
• 2.1.1. Mô hình Fuzzing
• 2.1.2. Quy trình Fuzzing trong kiểm thử bảo mật website
• 2.1.3. Cơ chế phát hiện lỗ hổng bảo mật với kỹ thuật Fuzzing
• 2.1.3.1. Thu thập các điểm đầu vào
• 2.1.3.2. Nguyên lý chèn dữ liệu fuzz
• 2.1.3.3. Phương pháp phát hiện lỗ hổng bảo mật
• 2.1.3.3.1. Phát hiện lỗ hổng dựa trên đặc trưng
• 2.1.3.3.2. Phát hiện lỗ hổng dựa trên cấu hình
• 2.1.4. Trình bày về công cụ liên quan kỹ thuật Fuzzing
• 2.1.4.1. Nguyên tắc thực hiện
• 2.1.4.2. Một số Tool tiêu biểu
• 2.2. ỨNG DỤNG KIỂM THỬ LỖ HỔNG BẢO MẬT WEBSITE CHO NGÂN HÀNG NGOẠI THƯƠNG LÀO ĐẠI CHÚNG (BCEL)
• 2.2.1. Lý do chọn website ngân hàng BCEL
• 2.2.2. Xây dựng ứng dụng kiểm thử fuzzing cho website ngân hàng BCEL
• 2.2.2.1. Sơ đồ kiến trúc ứng dụng
• 2.2.2.2. Xây dựng ứng dụng
• 2.2.2.3. Xây dựng các thành phần chính của ứng dụng kiểm thử
• 2.2.2.4. Xây dựng kịch bản thử nghiệm kiểm thử lỗ hổng bảo mật website ngân hàng BCEL
• 2.2.2.5. Thực hiện kiểm thử, đánh giá kết quả
• 2.3. Kết luận chương 2
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tính cấp thiết của đề tài

Website ngân hàng chứa nhiều thông tin nhạy cảm của khách hàng, cần được bảo vệ chống các xâm nhập của tin tặc. Bản chất các Website khi phát triển luôn tồn tại các lỗ hổng bảo mật. Do vậy, việc rà soát và kiểm tra các lỗ hổng bảo mật trên các website ngân hàng luôn được quan tâm. Việc đảm bảo bảo mật thông tin trở thành một yêu cầu không thể thiếu trong mọi hoạt động nói chung và hoạt động điện tử nói riêng. Đặc biệt, việc đảm bảo bảo mật website ngân hàng trong thời đại số hiện nay càng trở nên cấp thiết và quan trọng. An ninh mạng là bảo vệ thông tin và hệ thống thông tin nói chung, bảo mật website ngân hàng nói riêng khỏi các truy cập trái phép. Tuy nhiên, vấn đề bảo mật website ngân hàng vẫn chưa được các cơ quan, doanh nghiệp ở Lào chú trọng đầu tư. Việc kiểm thử lỗ hổng bảo mật website ngân hàng rất cần thiết vì sẽ góp phần phát hiện các lỗ hổng và giúp khắc phục, vá các lỗi bảo mật này. Kỹ thuật Fuzzing trong kiểm thử lỗ hổng bảo mật website ngân hàng chính là một giải pháp cho vấn đề trên.

II. Tổng quan về kỹ thuật Fuzzing

Trong lĩnh vực an ninh ứng dụng, Fuzzing hay kiểm thử mờ (fuzz testing) là một kỹ thuật thuộc kiểm thử hộp đen (black box), phát hiện lỗi của phần mềm bằng cách tự động hoặc bán tự động cung cấp dữ liệu đầu vào không hợp lệ, không mong đợi hay ngẫu nhiên vào phần mềm. Phần mềm sẽ được giám sát và ghi lại các trường hợp ngoại lệ như lỗi mà không được thực thi, tài nguyên thất thoát, nhằm xác định các hành vi bất thường, phát hiện các lỗ hổng bảo mật tiềm ẩn của phần mềm. Fuzzing có khả năng tìm thấy lỗi một cách nhanh chóng và tránh được việc phải xem mã nguồn. Kỹ thuật này được sử dụng để phát hiện ra một loạt các vấn đề của web như: Cross Site Scripting, tràn bộ đệm, chèn câu truy vấn (SQL Injection). Tuy nhiên, việc ứng dụng kỹ thuật Fuzzing trong kiểm thử bảo mật tự động các website nói chung và website ngân hàng nói riêng chưa được quan tâm nhiều.

III. Phân loại và ưu nhược điểm của Fuzzing

Kỹ thuật Fuzzing có thể được phân loại thành nhiều loại khác nhau, bao gồm Fuzzing dựa trên tính năng, Fuzzing dựa trên cấu hình, và Fuzzing dựa trên tình huống. Mỗi loại có những ưu điểm và nhược điểm riêng. Fuzzing dựa trên tính năng có thể phát hiện các lỗi liên quan đến bảo mật thông tin nhưng có thể bỏ sót các lỗi khác. Ngược lại, Fuzzing dựa trên cấu hình có thể phát hiện các lỗi cấu hình nhưng không thể phát hiện các lỗi logic. Việc lựa chọn phương pháp Fuzzing phù hợp cho kiểm thử lỗ hổng website là rất quan trọng để đảm bảo hiệu quả trong việc phát hiện các lỗ hổng bảo mật.

IV. Ứng dụng kiểm thử lỗ hổng bảo mật website cho ngân hàng

Việc ứng dụng kiểm thử lỗ hổng bảo mật cho website ngân hàng là rất cần thiết. Một trong những ví dụ điển hình là website ngân hàng BCEL. Việc xây dựng ứng dụng kiểm thử Fuzzing cho website ngân hàng BCEL bao gồm việc xây dựng sơ đồ kiến trúc ứng dụng, các thành phần chính của ứng dụng kiểm thử, và kịch bản thử nghiệm. Thực hiện kiểm thử, đánh giá kết quả là bước quan trọng để phát hiện và khắc phục các lỗ hổng bảo mật. Kết quả từ việc kiểm thử không chỉ giúp nâng cao bảo mật thông tin mà còn tạo niềm tin cho khách hàng khi sử dụng dịch vụ ngân hàng trực tuyến.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh chuyển đổi số ngày càng phát triển, website ngân hàng trở thành kênh giao dịch quan trọng chứa đựng nhiều thông tin nhạy cảm của khách hàng. Theo ước tính, các lỗ hổng bảo mật trên website ngân hàng có thể dẫn đến rủi ro mất mát dữ liệu và thiệt hại tài chính nghiêm trọng. Tuy nhiên, việc bảo vệ an toàn thông tin trên các website ngân hàng, đặc biệt tại một số quốc gia như Lào, vẫn chưa được đầu tư và chú trọng đầy đủ. Do đó, việc rà soát và kiểm thử các lỗ hổng bảo mật trên website ngân hàng là yêu cầu cấp thiết nhằm ngăn chặn các cuộc tấn công mạng.

Luận văn tập trung nghiên cứu kỹ thuật Fuzzing trong kiểm thử lỗ hổng bảo mật website ngân hàng, với mục tiêu khảo sát, thử nghiệm và đánh giá hiệu quả của kỹ thuật này trong phát hiện các điểm yếu bảo mật. Phạm vi nghiên cứu được giới hạn trên website của Ngân hàng Ngoại thương Lào (BCEL) trong năm 2022. Nghiên cứu nhằm cung cấp giải pháp tự động hóa kiểm thử bảo mật, góp phần nâng cao độ an toàn cho hệ thống ngân hàng điện tử, đồng thời hỗ trợ các tổ chức tài chính trong việc phát hiện và khắc phục lỗ hổng bảo mật một cách hiệu quả.

Việc áp dụng kỹ thuật Fuzzing không chỉ giúp phát hiện các lỗ hổng phổ biến như SQL Injection, Cross Site Scripting (XSS), mà còn tăng cường khả năng tự động hóa kiểm thử, giảm thiểu sự phụ thuộc vào kiểm thử thủ công truyền thống. Kết quả nghiên cứu có ý nghĩa quan trọng trong việc bảo vệ an toàn thông tin ngân hàng, góp phần đảm bảo sự tin cậy và an toàn cho khách hàng trong môi trường số hóa hiện nay.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình sau:

• Kiểm thử phần mềm (Software Testing): Bao gồm các phương pháp kiểm thử hộp đen, hộp trắng và hộp xám. Trong đó, kiểm thử hộp đen là phương pháp không cần biết cấu trúc bên trong phần mềm, tập trung vào đầu vào và đầu ra, phù hợp với kỹ thuật Fuzzing.

• Kỹ thuật Fuzzing (Fuzz Testing): Là kỹ thuật kiểm thử hộp đen tự động hoặc bán tự động, cung cấp dữ liệu đầu vào không hợp lệ, ngẫu nhiên hoặc bất thường nhằm phát hiện lỗi và lỗ hổng bảo mật trong phần mềm. Fuzzing được phân loại theo phương pháp sinh dữ liệu (dựa trên đột biến hoặc dựa trên thế hệ) và theo cách thức thực hiện (fuzzing đệ quy, fuzzing thay thế).

• Mô hình kiến trúc ứng dụng web: Bao gồm ba lớp chính: lớp trình diễn (giao diện người dùng), lớp ứng dụng (xử lý logic nghiệp vụ), và lớp dữ liệu (quản lý cơ sở dữ liệu). Mô hình này giúp hiểu rõ các điểm đầu vào và các vị trí có thể tồn tại lỗ hổng bảo mật.

• Phân loại lỗ hổng bảo mật website: Bao gồm các lỗ hổng do lỗi lập trình (ví dụ: SQL Injection, XSS), lỗi cấu hình hệ thống (ví dụ: tài khoản mặc định, thư mục mở), và lỗi do giao thức hoặc nền tảng.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Luận văn sử dụng dữ liệu thực nghiệm từ website ngân hàng BCEL, kết hợp với tài liệu chuyên ngành, báo cáo nghiên cứu và các công cụ kiểm thử bảo mật hiện hành.

• Phương pháp phân tích: Áp dụng phương pháp kiểm thử hộp đen với kỹ thuật Fuzzing để tự động sinh dữ liệu đầu vào bất thường và phân tích phản hồi từ server nhằm phát hiện lỗ hổng bảo mật. Quá trình phân tích dựa trên các mẫu nhận dạng lỗi đặc trưng cho từng loại lỗ hổng như thông báo lỗi SQL, mã trạng thái HTTP, và các dấu hiệu bất thường trong phản hồi.

• Timeline nghiên cứu: Quá trình nghiên cứu được thực hiện trong năm 2022, bao gồm các giai đoạn: khảo sát lý thuyết, xây dựng ứng dụng kiểm thử fuzzing, thu thập điểm đầu vào (web crawling), thực hiện kiểm thử, phân tích kết quả và đề xuất giải pháp.

• Cỡ mẫu và chọn mẫu: Lựa chọn website ngân hàng BCEL làm đối tượng nghiên cứu thực nghiệm do tính đại diện và nhu cầu bảo mật cao. Các điểm đầu vào được thu thập toàn diện từ URL, form nhập liệu và HTTP headers để đảm bảo độ bao phủ kiểm thử.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Phát hiện đa dạng lỗ hổng bảo mật: Qua quá trình fuzzing trên website ngân hàng BCEL, hệ thống đã phát hiện được khoảng 15 lỗ hổng bảo mật, trong đó có các lỗ hổng nghiêm trọng như SQL Injection chiếm khoảng 30%, XSS chiếm 25%, và các lỗi cấu hình chiếm 20%. Tỷ lệ phát hiện lỗ hổng cao hơn 40% so với phương pháp kiểm thử thủ công trước đó.

2. Hiệu quả của kỹ thuật Fuzzing: Kỹ thuật Fuzzing cho phép thực hiện hàng nghìn trường hợp thử nghiệm tự động trong thời gian ngắn, giúp phát hiện các lỗi mà kiểm thử viên thủ công khó phát hiện. Thời gian kiểm thử giảm khoảng 50% so với phương pháp truyền thống.

3. Khả năng thu thập điểm đầu vào toàn diện: Sử dụng web crawler tích hợp trong ứng dụng fuzzing đã thu thập được hơn 200 URL và form nhập liệu, đảm bảo độ bao phủ kiểm thử rộng, giảm thiểu bỏ sót các điểm đầu vào tiềm ẩn lỗ hổng.

4. Phân tích phản hồi chính xác: Việc phân tích các mã trạng thái HTTP (403, 404, 500) và các thông báo lỗi đặc trưng giúp xác định chính xác các lỗ hổng bảo mật, nâng cao độ tin cậy của kết quả kiểm thử.

Thảo luận kết quả

Nguyên nhân chính giúp kỹ thuật Fuzzing phát hiện hiệu quả các lỗ hổng là do khả năng tự động sinh dữ liệu đầu vào bất thường và kiểm thử trên nhiều điểm đầu vào khác nhau của website. So với các nghiên cứu trước đây, kết quả cho thấy Fuzzing không chỉ phát hiện được các lỗ hổng phổ biến mà còn có thể phát hiện các lỗi cấu hình hệ thống mà kiểm thử thủ công thường bỏ sót.

Việc sử dụng web crawler giúp thu thập điểm đầu vào toàn diện, tránh bỏ sót các URL hoặc form quan trọng, từ đó tăng khả năng phát hiện lỗ hổng. Kết quả có thể được trình bày qua biểu đồ phân bố các loại lỗ hổng phát hiện và bảng thống kê số lượng URL, form thu thập được.

Tuy nhiên, Fuzzing cũng có hạn chế như không thể kiểm thử toàn diện với các đầu vào phức tạp hoặc các lỗi đòi hỏi phân tích mã nguồn sâu. Do đó, Fuzzing nên được kết hợp với các phương pháp kiểm thử khác để đảm bảo an toàn toàn diện cho website ngân hàng.

Đề xuất và khuyến nghị

1. Triển khai hệ thống kiểm thử Fuzzing tự động: Các ngân hàng nên áp dụng hệ thống kiểm thử Fuzzing tự động định kỳ để phát hiện sớm các lỗ hổng bảo mật, giảm thiểu rủi ro bị tấn công. Mục tiêu là giảm tỷ lệ lỗ hổng nghiêm trọng xuống dưới 5% trong vòng 6 tháng.

2. Tăng cường đào tạo và nâng cao nhận thức bảo mật: Đào tạo đội ngũ phát triển và quản trị hệ thống về các kỹ thuật bảo mật và kiểm thử, đặc biệt là kỹ thuật Fuzzing, nhằm nâng cao năng lực phát hiện và xử lý lỗ hổng. Thời gian đào tạo dự kiến trong 3 tháng đầu năm.

3. Cập nhật và vá lỗi kịp thời: Thiết lập quy trình cập nhật phần mềm, vá lỗi bảo mật nhanh chóng dựa trên kết quả kiểm thử Fuzzing, đảm bảo hệ thống luôn được bảo vệ trước các mối đe dọa mới. Mục tiêu là giảm thời gian vá lỗi xuống dưới 1 tuần kể từ khi phát hiện.

4. Phát triển công cụ Fuzzer phù hợp đặc thù ngân hàng: Tùy chỉnh và phát triển các công cụ Fuzzer chuyên biệt cho các ứng dụng web ngân hàng, tích hợp các mẫu dữ liệu fuzzing đặc thù nhằm nâng cao hiệu quả phát hiện lỗ hổng. Thời gian phát triển dự kiến 6 tháng.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và kiểm thử phần mềm: Luận văn cung cấp kiến thức chuyên sâu về kỹ thuật Fuzzing và ứng dụng thực tiễn trong kiểm thử bảo mật website ngân hàng, hỗ trợ nâng cao kỹ năng và phương pháp làm việc.

2. Nhà phát triển và quản trị hệ thống ngân hàng: Giúp hiểu rõ các lỗ hổng bảo mật phổ biến và cách thức phát hiện, từ đó cải thiện chất lượng phần mềm và bảo vệ hệ thống hiệu quả hơn.

3. Các tổ chức tài chính và ngân hàng tại khu vực Lào và Đông Nam Á: Cung cấp giải pháp kiểm thử bảo mật phù hợp với đặc thù môi trường ngân hàng trong khu vực, hỗ trợ nâng cao an toàn thông tin.

4. Nghiên cứu sinh và sinh viên ngành Khoa học máy tính, An toàn thông tin: Là tài liệu tham khảo quý giá về kỹ thuật Fuzzing, phương pháp kiểm thử bảo mật và ứng dụng thực nghiệm trong lĩnh vực ngân hàng.

Câu hỏi thường gặp

1. Fuzzing là gì và tại sao lại quan trọng trong kiểm thử bảo mật website ngân hàng?
   Fuzzing là kỹ thuật kiểm thử hộp đen tự động cung cấp dữ liệu đầu vào bất thường để phát hiện lỗi và lỗ hổng bảo mật. Nó quan trọng vì giúp phát hiện các lỗ hổng nghiêm trọng như SQL Injection, XSS mà kiểm thử thủ công khó phát hiện, từ đó bảo vệ an toàn thông tin khách hàng.

2. Kỹ thuật Fuzzing có thể phát hiện những loại lỗ hổng nào trên website ngân hàng?
   Fuzzing có thể phát hiện các lỗ hổng phổ biến như SQL Injection, Cross Site Scripting (XSS), lỗi cấu hình hệ thống, lỗi tràn bộ đệm và các lỗi xử lý dữ liệu đầu vào không hợp lệ khác.

3. Phương pháp thu thập điểm đầu vào trong Fuzzing được thực hiện như thế nào?
   Điểm đầu vào được thu thập bằng web crawler, phân tích mã HTML để trích xuất URL, form nhập liệu và các trường dữ liệu trong HTTP headers, đảm bảo độ bao phủ kiểm thử rộng và toàn diện.

4. Ưu điểm và hạn chế của kỹ thuật Fuzzing là gì?
   Ưu điểm gồm khả năng tự động hóa cao, phát hiện nhanh các lỗ hổng nghiêm trọng, không cần truy cập mã nguồn. Hạn chế là không thể kiểm thử toàn diện với các đầu vào phức tạp, khó phân tích sâu các lỗi nội bộ và tốn thời gian với các chương trình lớn.

5. Làm thế nào để kết hợp Fuzzing với các phương pháp kiểm thử khác?
   Fuzzing nên được kết hợp với kiểm thử hộp trắng, kiểm thử tĩnh và kiểm thử thủ công để đảm bảo phát hiện toàn diện các lỗi và lỗ hổng, đồng thời phân tích sâu hơn các vấn đề phức tạp không thể phát hiện bằng Fuzzing đơn thuần.

Kết luận

• Kỹ thuật Fuzzing là phương pháp kiểm thử hộp đen hiệu quả, giúp phát hiện đa dạng các lỗ hổng bảo mật nghiêm trọng trên website ngân hàng.
• Ứng dụng Fuzzing trên website ngân hàng BCEL đã phát hiện khoảng 15 lỗ hổng, trong đó SQL Injection và XSS chiếm tỷ lệ lớn.
• Việc thu thập điểm đầu vào toàn diện qua web crawler giúp tăng độ bao phủ kiểm thử và giảm thiểu bỏ sót lỗ hổng.
• Fuzzing cần được kết hợp với các phương pháp kiểm thử khác để đảm bảo an toàn toàn diện cho hệ thống.
• Đề xuất triển khai hệ thống kiểm thử tự động, đào tạo nhân sự và phát triển công cụ Fuzzer chuyên biệt nhằm nâng cao hiệu quả bảo mật website ngân hàng trong 6-12 tháng tới.

Luận văn khuyến nghị các tổ chức tài chính, ngân hàng và chuyên gia an ninh mạng áp dụng kỹ thuật Fuzzing như một phần không thể thiếu trong chiến lược bảo mật hệ thống. Để biết thêm chi tiết và triển khai thực tiễn, độc giả có thể liên hệ với tác giả hoặc đơn vị nghiên cứu để nhận hỗ trợ và tư vấn chuyên sâu.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TỔNG QUAN VỀ KIỂM THỬ WEBSITE 1. Các khái niệm cơ bản về hoạt động của website (ngân hàng), lỗ hổng bảo mật trên website 1. Các khái niệm cơ bản về hoạt động của website (ngân hàng) Website là một tập hợp các trang web, thường chỉ nằm trong một tên miền hoặc tên miền phụ trên World Wide Web của Internet.Một trang web là tập tin HTML hoặc XHTML có thể truy nhập dùng giao thức HTTP.Website có thể được xây dựng từ các tệp tin HTML (website tĩnh) hoặc vận hành bằng các CMS chạy trên máy chủ (website động).

Website có thể được xây dựng bằng nhiều ngôn ngữ lập trình khác nhau (PHP, .NET, Java, Ruby on Rails…)[6, 12, 20]. Một Website thường được bao gồm bởi 04 phần chính: - Source code: Mã nguồn website, chứa tệp lệnh trích xuất HTML. - Hosting: Bộ nhớ lưu trữ website. - Database: Dữ liệu nội dung website.

- Domain: Tên miền của website, thực chất một website không cần đến tên miền nó vẫn có thể hoạt động bình thường vì nó có địa chỉ IP. Bản chất của tên miền là nó được ánh xạ sang địa chỉ IP thông qua máy chủ DNS, tạo ra sự đơn giản cho người dùng dễ dàng truy cập vào web thông qua tên miền, thay vì phải nhớ địa chỉ IP của website. Ban đầu, các website chỉ bao gồm các nội dung văn bản, hình ảnh và video, chúng được liên kết với nhau thông qua các link. Tác dụng của website đơn giản chỉ là lưu trữ và hiển thị thông tin.

Người dùng chỉ có thể đọc, xem, di chuyển đến các được dẫn giữa các page.Với công nghệ hiện nay, website không chỉ đơn giản là một trang tin cung cấp các thông tin. Trước sự ra đời của các ngôn ngữ server như: CGI, ASP, PHP,… các website đã trở nên linh hoạt, có thể tương tác với người dùng. Từ đây, người dùng có thể dùng web để thực hiện một công việc nào đó bằng máy tính, do đó ứng dụng web được ra đời. Luan van 5 Ứng dụng web là một ứng dụng chủ/khách sử dụng giao thức HTTP để tương tác với người dùng hay hệ thống khác [8, 13].

Trình khách là một trình duyệt web như: Internet Explorer, Chrome, FireFox hay có thể là một chương trình có chức năng như một trình duyệt web. Người dùng có thể gửi, nhận các dữ liệu từ máy chủ thông qua việc trao đổi luồng thông tin với web server và hiển thị nội dung trang web nhận được trên trình duyệt. Các ứng dụng web này có thể là các trang cổng thông tin điện tử, trao đổi thông tin, mua bán, các diễn đàn, các trang gửi nhận thư,. Tốc độ phát triển các kỹ thuật xây dựng ứng dụng web cũng phát triển rất nhanh.

Trước đây những ứng dụng web thường được xây dựng bằng CGI (Common Getaway Interface) được chạy trên các máy chủ web và kết nối với với các cơ sở dữ liệu đơn giản trên cùng một máy chủ. Ngày nay, ứng dụng web thường được viết bằng PHP, ASP.Net, JSP (hay các ngôn ngữ tương tự) và chạy trên máy chủ phân tán, kết nối đến nhiều nguồn dữ liệu. Một ứng dụng web thường có kiến trúc gồm: Java Server Page SOAP Servlet Internet JDBC SQL Tomcat Explorer Server HTTP HTML CGI Google COM XML Apache Chrome MySQL HTTPS Java Script PHP XML SQL Mozilla IIS Active Firefox EJB XML File Server Page Presentation Application Database Hình 1. Kiến trúc một ứng dụng web Trên hình 1.1 mô tả kiến trúc thông thường của một ứng dụng web bao gồm các lớp: - Lớp trình diễn: Lớp này có chức năng hiển thị dữ liệu mà nó nhận được từ web server cho người dùng, ngoài ra còn có thể có chức năng tạo bố cục và giao diện cho trang web.

Luan van 6 - Lớp ứng dụng: Đây là nơi xử lý của ứng dụng web. Nó sẽ xử lý thông tin yêu cầu từ người dùng, đưa ra quyết định, gửi kết quả đến lớp trình diễn. Lớp này thường được cài đặt bằng các kỹ thuật lập trình dựa trên các ngôn ngữ như CGI, Java,. và được triển khai trên host hoặc trên các dịch vụ của máy chủ như Apache của Linux, IIS của Windows Server,… - Lớp dữ liệu: Lớp này là các hệ quản trị dữ liệu SQL như MySQL, SQL Server, Oracle,.

chịu tránh nhiệm quản lý các file dữ liệu và quyền sử dụng dữ liệu của toàn bộ website. Thường được triển khai trực tiếp trên cùng hoặc tách biệt riêng với web server. Việc phân lớp trong kiến trúc web tạo ra các hoạt động đơn giản nhưng có liên kết chặt chẽ giữa các lớp. Nó giúp cho người quản trị dễ dàng triển khai, vận hành và chủ động trong phòng, chống các cuộc tấn công.Ví dụ như lớp ứng dụng có lỗi nhưng hệ thống, cơ sở dữ liệu được cấu hình đảm bảo thì hacker khó có thể khai thác và làm ảnh hưởng tới hệ thống.

Hoạt động của một ứng dụng web là sự tương tác giữa trình khách với web server. Dưới đây là mô hình hoạt động của một ứng dụng web: Hình 1. Mô hình hoạt động của một ứng dụng web Tương ứng các lớp của một ứng dụng web, hoạt động của một website cũng có 3 phần: - Trình khách (trình duyệt người dùng): Chrome, FireFox,… - Trình chủ: Apache, IIS,… - Hệ quản trị CSDL: Oracle, SQL Server, MySQL,… Luan van 7 Bên cạnh đó, một giải pháp dùng để bảo vệ hệ thống mạng thường được sử dụng là bức tường lửa (firewall), nó có vai trò như lớp rào chắn bên ngoài một hệ thống mạng, vì chức năng chính của firewall là kiểm soát luồng thông tin giữa các máy tính. Có thể xem firewall như một bộ lọc thông tin, nó xác định và cho phép một máy tính này có được truy xuất đến một máy tính khác hay không, hay một mạng này có được truy xuất đến mạng kia hay không [8].

Người ta thường dùng firewall vào mục đích: - Cho phép hoặc cấm các dịch vụ truy xuất ra ngoài. - Cho phép quy định cấm các hay cho phép dịch vụ từ bên ngoài truy xuất vào trong. - Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập. Firewall hoạt động dựa trên góp IP do đó kiểm soát được việc truy cập máy tính của người sử dụng.

 Mô tả hoạt động của website Trình duyệt tạo một HTTP Request gửi máy chủ web thông qua các phương thức GET, POST,… của giao thức HTTP, yêu cầu cung cấp hoặc xử lý tài nguyên thông tin. Địa chỉ của tài nguyên yêu cầu được xác định trong định dạng URL. Sau khi nhận được truy vấn từ trình khách, máy chủ web xác định sự tồn tại của tài nguyên được yêu cầu. Nếu yêu cầu can thiệp các quyền truy cập của tài nguyên thì máy chủ web từ chối truy vấn và trả về cảnh báo thích hợp.

Nếu yêu cầu là hợp lệ, lúc này máy chủ có thể cho thực thi một chương trình được xây dựng từ ngôn ngữ như Perl, C/C++,… hoặc máy chủ yêu cầu bộ biên dịch thực thi các trang PHP, ASP, JSP,… theo yêu cầu của máy khách. Tùy theo các tác vụ của chương trình được cài đặt mà nó xử lý, tính toán, kết nối đến cơ sở dữ liệu, lưu các thông tin do máy khách gửi đến. Khi máy chủ web định danh được tài nguyên, nó thực hiện hành động chỉ ra trong request method và tạo ra response trả về cho máy khách 1 luồng dữ liệu có định dạng theo giao thức HTTP, nó gồm 2 phần: Luan van 8 - Header mô tả các thông tin về gói dữ liệu và các thuộc tính, trạng thái trao đổi giữa trình duyệt và WebServer. - Body là phần nội dung dữ liệu mà Server gửi về Client, nó có thể là một file HTML, một hình ảnh, một đoạn phim hay một văn bản bất kì.

Khi giao dịch hoàn tất, máy chủ web thực hiện ghi vào tệp tin nhật ký mô tả giao dịch vừa thực hiện. Với firewall, luồng thông tin giữa máy chủ và máy khách là luồng thông tin hợp lệ. Vì thế, nếu hacker tìm thấy vài lỗ hổng trong ứng dụng Web thì firewall không còn hữu dụng trong việc ngăn chặn hacker này. Do đó, các kỹ thuật tấn công vào một hệ thống mạng ngày nay đang dần tập trung vào những sơ suất (hay lỗ hổng) trong quá trình tạo ứng dụng của những nhà phát triển Web hơn là tấn công trực tiếp vào hệ thống mạng, hệ điều hành.

Tuy nhiên, hacker cũng có thể lợi dụng các lỗ hổng Web để mở rộng sự tấn công của mình vào các hệ thống không liên quan khác [8, 18]. Lỗ hổng bảo mật website  Định nghĩa lỗ hổng bảo mật Lỗ hổng bảo mật trên một hệ thống là các điểm yếu có thể tạo ra sự ngưng trệ của dịch vụ, thêm quyền đối với người sử dụng hoặc cho phép các truy nhập không hợp pháp vào hệ thống. Các lỗ hổng cũng có thể nằm ngay các dịch vụ cung cấp như sendmail, web, ftp … Ngoài ra các lỗ hổng còn tồn tại ngay chính tại hệ điều hành như trong Windows XP, Windows NT, UNIX; hoặc trong các ứng dụng mà người sử dụng thường xuyên sử dụng như Word processing, các hệ databases… [7, 11, 12] Có thể nói lỗ hổng bảo mật là những điểm yếu trên hệ thống hoặc ẩn chứa trong một dịch vụ mà dựa vào đó kẻ tấn công có thể xâm nhập trái phép để thực hiện các hành động phá hoại hay chiếm đoạt các tài nguyên hợp pháp. Nguyên nhân gây ra lỗ hổng bảo mật là khác nhau: - Do lỗi của bản thân hệ thống - Do phần mềm cung cấp hoặc do người lập trình Luan van 9 - Do người quản trị yếu kém không hiểu sâu sắc các dịch vụ cung cấp.

 Lỗ hổng website Lỗ hổng website là những điểm yếu của hệ thống website mà tin tặc có thể lợi dụng để khai thác nhằm thu thập thông tin về hệ thống, tấn công lấy cắp thông tin, tấn công vào người dùng hệ thống hay tấn công chiếm quyền điều khiển hệ thống website [1, 19]. Lỗ hổng website có thể xuất phát từ nhiều nguyên nhân, tuy nhiên chủ yếu là do 3 nguyên nhân sau: - Lỗi do người lập trình, phát triển ứng dụng tập trung vào chức năng và tốc độ mà không quan tâm đến an toàn. Ứng dụng không có thành phần kiểm tra hay kiểm tra yếu các dữ liệu đầu vào từ người dùng, từ đó, kẻ tấn công có thể lợi dụng lỗ hổng từ mã nguồn để khai thác và tấn công hệ thống. - Lỗi do người quản trị cấu hình hệ thống yếu, cấu hình hệ thống mặc định, tài khoản mặc định, không thường xuyên cập nhật phiên bản mới cho các dịch vụ triển khai trên hệ thống.

- Lỗi nằm trong các giao thức, các nền tảng hay chuẩn xây dựng hệ thống đã được công khai.