chương 1 Nhu vậy, chương | đã trình bày tổng quan về các van đề bảo mật ứng dụng web: giới thiệu các thành phần, kiến trúc của ứng dụng web, nêu thực trạng vấn đề bảo mật ứng dụng web. Bên cạnh đó trình bày các van đề kiểm thử xâm nhập web như: Quy trình kiếm thử gồm 3 pha là lập kế hoạch, khai thác và báo cáo; Nêu một số công cụ kiểm thử ứng dung web phô biến và so sánh các công cụ này. Lê Thị Linh - B19DCAT111 12 Đồ án tốt nghiệp đại học Chương 2 CHƯƠNG 2: CÁC KỸ THUẬT KIEM THU XÂM NHẬP WEB Chương 2 giới thiệu, đánh giá các phương pháp và tiêu chuẩn nồi tiếng được sử dụng dé kiểm thử xâm nhập, gồm có phương pháp OSSTMM và PTF, tiêu chuẩn OWASP, PTES và ISSAF. Bên cạnh đó là nghiên cứu về Top 10 Owasp và các kỹ thuật kiểm thử xâm nhập một số tan công phổ biến như chèn mã SOL (SOL injection), kịch bản chéo trang (XSS), lỗi tải tệp lên (File Upload) và lỗ hồng tấn công điều hướng đường dẫn (Path Traversal).
Phương pháp kiểm thử xâm nhập ứng dụng web Phương pháp kiểm thử xâm nhập bản chất là một bộ hướng dẫn của ngành bảo mật về cách tiến hành kiểm thử. Có một số phương pháp và tiêu chuẩn nổi tiếng được thiết lập sẵn có thể được sử dụng dé thực hiện kiểm thử. Tuy nhiên, mỗi ứng dụng web khác nhau đều yêu cầu thực hiện các loại kiểm thử khác nhau nên người kiểm thử xâm nhập có thể tạo ra các phương pháp của riêng mình bằng cách tham khảo các tiêu chuẩn có sẵn trên thị trường. Một số phương pháp và tiêu chuẩn bảo mật nồi tiếng có thể tham khảo như [7]: - OWASP (Open Web Application Security Project) - OSSTMM (Open Source Security Testing Methodology Manual) - PTES (Penetration Testing Execution Standard) - PTF (Penetration Testing Framework) - ISSAF (Information Systems Security Assessment Framework) 2.
Giới thiệu các phương pháp 2. OWASP OWASP (Du an Bao mat Ung dụng Web Mở) là một tổ chức phi lợi nhuận quốc tế chuyên về bảo mật ứng dụng web. Một trong những nguyên tắc cốt lõi của OWASP là tất cả các tài liệu của tổ chức đều miễn phí và dé dàng truy cập giúp mọi người đặc biệt là ngành an ninh mạng có thé cải thiện tính bảo mật của ứng dụng web. Mục tiêu chính của OWASP là cung cấp thông tin, công cụ, tài liệu hướng dẫn dé các nhà phát triển, kiểm thử và quản trị ứng dụng web nâng cao tính bảo mật trong quá trình phát triển phần mềm.
OWASP được biết đến nhiều nhất qua OWASP Top 10. OWASP Top 10 là một danh sách các lỗ hồng bao mật phổ biến và nguy hiểm nhất trong các ứng dụng web. Danh sách này được OWASP cập nhật định kỳ để cung cấp một cái nhìn tổng quan về những rủi ro bảo mật quan trọng mà các nhà phát triển và chuyên gia bảo mật cần chú ý. Phiên bản OWASP Top 10 gần đây nhất là năm 2021 với danh sách các lỗ hồng có một số thay đồi so với năm 2017 [8]: Lê Thị Linh - BI9DCATIII 13 Đồ án tốt nghiệp đại học Chương 2 OWASP Top 10 Vulnerabilities 2.
Insecure Design New Category 5. Security Misconfiguration 6th 6. Vulnerable and Outdated Components 9th 7. Identification and Authentication Failures 8.
Software and Data Integrity Failures New Category Việc thực hiện kiểm thử xâm nhập ứng dụng web theo chuẩn OWASP mô tả việc đánh giá bảo mật để xác định các 16 hổng được nêu trong Top 10 OWASP. Chuan OWASP được thiết kế dé xác định, khai thác và giúp giải quyết các lỗ hồng dé mọi điểm yếu được phát hiện và giải quyết nhanh chóng với mục dich an toàn bảo mật hơn cho tổ chức. Bên cạnh OWASP Top 10, OWASP còn cung cấp một phương pháp chi tiết hơn dé kiểm thử xâm nhập ứng dụng web thông qua OWASP Testing Guide (OTG). Đây là một hướng dẫn chỉ tiết và toàn diện về kiểm thử bảo mật ứng dụng web gồm nhiều khía cạnh và loại kiếm thử khác nhau bao gồm kiêm thử mã nguồn, kiểm thử chức năng và nhiều nội dung khác.
Trong khi OWASP Top 10 tập trung vào kiểm thử xâm nhập, tương tác trực tiếp với ứng dụng trong môi trường thực tế thì OTG sẽ bao gồm cả kiểm thử xâm nhập và kiểm thử tĩnh. Quy trình kiểm thử theo OTG được chia thành 11 công việc (mục). Đề hoàn thành kiểm tra, mỗi công việc được chia ra nhiều checklist. Tổng cộng có tất cả Lê Thị Linh - B19DCAT111 14 Đồ án tốt nghiệp đại học Chương 2 87 checklist cho 11 mục [9]: - Information Gathering - Configuration and Deployment Management Testing - Identify Management Testing - Authentication Testing - Authorization Testing - Session Management Testing - Input Validation Testing - Testing for Error Handing - Testing for weak Cryptography - Bussiness Logic Testing - Client-Side Testing Tóm lại, trong khi OTG cung cấp một hướng dan chi tiết và toàn diện về kiểm thử bảo mật ứng dụng web, thì OWASP Top 10 tập trung vào những rủi ro quan trọng nhất và phô biến nhất mà các tô chức và nhà phát triển cần lưu ý.
Việc sử dụng cả hai phương pháp trong chế độ tích hợp có thê đảm bảo kiểm thử không chỉ tập trung vào những rủi ro bảo mật mà còn bao quát toàn bộ được ứng dụng. giúp việc kiểm thử ứng dụng web được thực hiện hiệu quả và toàn diện. Hướng dẫn này được cập nhật 6 tháng một lần hoặc lâu hơn dé luôn phù hợp với tình trạng kiểm thử bảo mật hiện nay. OSSTMM được thiết kế để cung cấp một quy trình kiểm thử an toàn và có tính chất khoa học, OSSTMM tập trung vào việc xác định và đánh giá rủi ro bảo mật trong môi trường hệ thống và mạng.
Dé giúp tô chức hiểu rõ về van đề bảo mật của mình, OSSTMM hướng dẫn các doanh nghiệp kiểm thử hoạt động bảo mật của mình thông qua 5 kênh. Làm như vậy sẽ giúp họ xác định xem quy trình bảo mật của họ thực sự hoạt động như thế nào. Về cơ bản, nó sẽ tiết lộ những gì hoạt động của tổ chức đạt được chứ không phải những gì chưa dat được. 5 kênh đó bao gồm: - Human Security: Đánh giá nhận thức về an ninh của con người - Physical Security: Kiểm tra an ninh liên quan đến ha tang, cơ sở vật chat - Wireless Communications: Kiểm tra các tín hiệu va thông tin liên lạc điện tử bao gồm tat cả các khía cạnh của bảo mật không dây.
- Telecommunications: Kiểm tra các hệ thống và mạng điện tử được sử dụng dé liên lac bao gồm các thiết bị và dịch vụ viễn thông như VoIP,. - Data Network: bao gồm chính sách quan lý tất cả các dit liệu trên mang Lê Thị Linh - B19DCAT111 15 Đồ án tốt nghiệp đại học Chương 2 Tóm lại, OSSTMM cung cấp một phương pháp khoa học để mô tả chính xác đặc điểm của bảo mật vận hành (OpSec) thông qua kiểm thử và tương tác các kết quả kiểm thử một cách nhất quán và đáng tin cậy. Hướng dẫn này có thê thích ứng với hầu hết mọi loại kiểm thử, bao gồm: Kiểm thử xâm nhập, đánh giá bảo mật, đánh giá lỗ hồng, red- teaming, blue-teaming,. Nó được viết dưới dang tài liệu nghiên cứu bao mật và được thiết kế để xác minh bảo mật thực tế và trình bày các số liệu ở cấp độ chuyên nghiệp.
PTES PTES (The Penetration Testing Excution Standard) là một tiêu chuẩn được phát triển và tiếp tục được cải tiến bởi một nhóm chuyên gia bảo mật thông tin từ nhiều ngành khác nhau. PTES cung cấp nguyên tắc co bản về những gi cần thiết trong kiểm thử xâm nhập, từ giao tiếp ban đầu giữa khách hàng và người kiểm thử đến nội dung của báo cáo. Mục tiêu của PTES là cung cấp một chuẩn chất lượng cho việc kiêm thử xâm nhập. Nó giúp định rõ các bước và quy trình từ khám phá đến báo cáo, tạo ra một cơ sở cho việc đảm bảo rằng kiểm thử xâm nhập được thực hiện một cách toàn diện Phương pháp PTES là một cách tiếp cận có cấu trúc với các pha được hướng dẫn cu thể.
PTES chia quá trình kiểm thử thành 7 giai đoạn, mỗi giai đoạn có những bước và hướng dẫn cụ thê, giúp tổ chức quản lý và hiểu rõ từng khía cạnh của kiểm thử. 7 giai đoạn đó là: - _ Tương tác trước kiểm thử - Thu thập thông tin tình báo - M6 hình hóa rủi ro - Phan tích 16 hong - Khai thac - Sau khi khai thac - Bao cao Bang cách cung cấp một khuôn khổ chuẩn, PTES giúp chuẩn hoa và đồng nhất các phương pháp kiểm thử xâm nhập. Điều này giúp tổ chức hiểu rõ hơn về những gì họ có thể mong đợi từ một dự án kiểm thử. PTES không giới hạn cho một ngành công nghiệp hay một môi trường cụ thể.
Điều này làm cho nó trở nên phô biến và áp dụng cho nhiều loại tổ chức, từ doanh nghiệp đến tổ chức phi lợi nhuận. Băng cách hướng dẫn và mô tả rõ ràng, PTES giúp người mới tham gia lĩnh vực kiểm thử xâm nhập hiểu được quá trình và những yếu tố quan trọng. Tóm lại, PTES là một phương pháp hữu ích và có tô chức dé hiểu và thực hiện kiểm thử xâm nhập một cách chất lượng và có hệ thống. 2114 PTF PTF (Penetration Testing Framework) là một framework kiểm thử xâm nhập được thiết kế dé nâng cao hiệu suất và tự động hóa quá trình kiểm thử bao mật.
Khung PTF Lê Thị Linh - B19DCAT111 16 Đồ án tốt nghiệp đại học Chương 2 cung cấp hướng dẫn kiểm thử xâm nhập thực hành toàn diện, chỉ tiết các công cụ kiểm thử theo từng danh mục. Lĩnh vực chính của kiêm thử xâm nhập ở đây bao gồm khám phá và thăm dò dấu vét mạng (trinh sát). PTF là một tập lệnh Python được thiết kế cho các bản phân phối dựa trên Debian/Ubuntu/ArchLinux dé tạo ra một ban phân phối tương tự cho kiểm thử xâm nhập. Nó cố gang cài đặt tat cả các công cụ kiểm thử xâm nhập mới nhất và xuất sắc nhất, biên dịch chúng và tạo điều kiện cho người kiểm thử cài đặt/cập nhật bản phân phối của mình trên bất kỳ máy tinh nào.
Mọi thứ được tô chức theo kiểu gan kết với tiêu chuan PTES (Penetration Testing Execution Standard) và loại bỏ những thứ ít được sử dụng. PTF đơn giản hóa quá trình cài đặt và đóng gói, đồng thời tạo ra một toàn bộ khung kiểm thử xâm nhập. Do là một framework, có thé tuy chinh cấu hình theo nhu cầu sử dụng của dự án kiểm thử.