Phát Hiện Lỗ Hổng Ứng Dụng Web Sử Dụng Kỹ Thuật Phân Tích Động

Luận văn thạc sĩ kỹ thuật phân tích công nghệ thông tin phát hiện lỗ hổng trên ứng dụng web sử dụng kỹ thuật phân tích động và thuật, đánh giá thực trạng, chỉ ra hạn chế, đề xuất

• Tác giả: Ngô Khánh Khoa
• Người hướng dẫn: TS. Phạm Văn Hậu
• Trường học: Đại học Quốc gia TP HCM
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phát Hiện Lỗ Hổng Ứng Dụng Web Bằng Kỹ Thuật Phân Tích Động
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2023
• Địa điểm: Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: ĐỐI TƯỢNG VÀ PHẠM VI NGHIÊN CỨU. CẤU TRÚC BÀI LUẬN VĂN
• 2. CHƯƠNG 2: TỔNG QUAN VỀ TÌNH HÌNH NGHIÊN CỨU
• 2.1. Các hướng tiếp cận
• 2.2. Các nghiên cứu liên quan
• 2.3. Mục tiêu luận văn
• 2.4. Nội dung và phương pháp nghiên cứu
• 3. CHƯƠNG 3: CƠ SỞ LÝ THUYẾT VÀ PHƯƠNG PHÁP LUẬN
• 3.1. Kỹ thuật phân tích động fuzzing
• 3.2. Fuzzing dựa trên đầu vào ngẫu nhiên (Random fuzzing)
• 3.3. Fuzzing đột biến (Mutation Fuzzing)
• 3.4. Fuzzing sử dụng dữ liệu từ điển (Grammar-based Fuzzing)
• 3.5. Fuzzing dựa trên phản hồi độ bao phủ mã (Coverage-based fuzzing)
• 3.6. So sánh đánh giá bảo mật bằng kiến thức chuyên gia và sử dụng công cụ tự động
• 3.7. Công cụ giám sát (instrumentation)
• 3.8. Thuật giải di truyền
• 3.8.1. Mô tả ý tưởng chính của thuật giải tương ứng với bài toán
• 3.8.2. Sơ đồ giải thuật trong thuật toán di truyền
• 3.9. Lỗ hổng bảo mật ứng dụng web
• 3.9.1. Lỗ hổng thực thi mã từ xa (Remote code execution)
• 3.9.2. Danh sách các lỗ hổng bảo mật công khai (CVE)
• 3.10. Công cụ fuzzing sử dụng để so sánh với mô hình xây dựng
• 3.11. Mô hình của luận văn
• 4. CHƯƠNG 4: KẾT QUẢ THỰC HIỆN
• 4.1. Kịch bản triển khai thử nghiệm
• 4.2. Sơ đồ mô hình thử nghiệm
• 4.3. Quá trình thực hiện
• 4.3.1. Chuẩn bị dữ liệu cho fuzzing
• 4.3.2. Thực hiện giám sát mã
• 4.3.3. Thực hiện quá trình fuzzing ứng dụng web với giải thuật di truyền
• 4.3.4. Thử nghiệm với ứng dụng DVPA
• 4.3.5. Thử nghiệm với các mã nguồn mở khác
• 4.3.6. Thực hiện fuzzing với công cụ fuzzing Blackbox khác với cùng bộ mã khai thác
• 4.3.7. Dữ liệu lỗi tìm được của việc fuzzing bằng mô hình đề xuất
• 4.3.8. Quá trình đo đạc kết quả thử nghiệm
• 4.3.9. Dữ liệu sử dụng đánh giá
• 4.3.10. Đánh giá khả năng tìm kiếm lỗi của mô hình fuzzing kết hợp thuật giải di truyền
• 4.3.11. So sánh mô hình và công cụ fuzzing khác
• 4.3.12. Đánh giá dựa trên độ bao phủ mã
• 4.3.13. Đánh giá việc tích hợp giải thuật di truyền vào mô hình
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Thuận lợi và khó khăn
• 5.2. Kết quả đạt được
• 5.3. Hướng phát triển
• DANH MỤC CÁC CHỮ VIẾT TẮT VÀ KÝ HIỆU
• DANH MỤC BẢNG
• DANH MỤC ĐỒ THỊ, HÌNH VẼ
• TÓM TẮT LUẬN VĂN

Tóm tắt

I. Tổng Quan Về Phát Hiện Lỗ Hổng Ứng Dụng Web DAST Là Gì

Ngày nay, với sự phát triển của Internet, các ứng dụng web trở nên phổ biến và phức tạp hơn. Điều này dẫn đến sự gia tăng nguy cơ về lỗ hổng bảo mật ứng dụng web. Để đảm bảo an toàn, việc phát hiện lỗ hổng là vô cùng quan trọng. Phân tích động ứng dụng web (DAST), hay kiểm thử bảo mật ứng dụng web động, là một phương pháp hiệu quả để thực hiện điều này. DAST hoạt động bằng cách thực thi ứng dụng và kiểm tra phản hồi, từ đó phát hiện các lỗ hổng tiềm ẩn trong môi trường thực tế. Theo luận văn của Ngô Khánh Khoa, DAST giúp tìm kiếm các điểm yếu của ứng dụng trước khi bị khai thác bởi các đối tượng xấu. Một trong những ưu điểm lớn nhất của DAST là khả năng kiểm tra ứng dụng từ quan điểm của một kẻ tấn công, giúp xác định các vấn đề bảo mật có thể bị bỏ qua trong quá trình phát triển. DAST ngày càng trở nên quan trọng trong việc bảo vệ ứng dụng web khỏi các cuộc tấn công.

1.1. Tầm Quan Trọng của Phát Hiện Lỗ Hổng Bảo Mật Web

Bảo mật ứng dụng web là yếu tố then chốt để bảo vệ dữ liệu người dùng, tài sản doanh nghiệp và uy tín của tổ chức. Các lỗ hổng bảo mật như SQL Injection, Cross-Site Scripting (XSS), và CSRF (Cross-Site Request Forgery) có thể gây ra những hậu quả nghiêm trọng. Việc phát hiện lỗ hổng sớm giúp ngăn chặn các cuộc tấn công, giảm thiểu thiệt hại và tuân thủ các quy định về bảo mật dữ liệu. Web Application Security cần được ưu tiên hàng đầu trong mọi giai đoạn của vòng đời phát triển phần mềm.

1.2. Tổng Quan Về Kỹ Thuật Phân Tích Động Ứng Dụng Web DAST

DAST (Dynamic Application Security Testing) là một phương pháp kiểm thử bảo mật mà các công cụ sẽ thực thi ứng dụng web và kiểm tra các điểm yếu bảo mật tiềm ẩn. Phương pháp này bắt chước các cuộc tấn công thực tế để tìm ra lỗ hổng bảo mật ứng dụng web. Các công cụ DAST thường kiểm tra các giao diện, API và các điểm nhập dữ liệu khác để xác định các lỗ hổng như SQL Injection, XSS, và các vấn đề cấu hình sai.

II. Thách Thức Trong Phát Hiện Lỗ Hổng Web Vấn Đề Hiện Tại

Mặc dù DAST là một phương pháp hiệu quả, nhưng nó cũng đối mặt với nhiều thách thức. Một trong những vấn đề lớn nhất là thời gian và tài nguyên cần thiết để thực hiện kiểm thử. Các ứng dụng web hiện đại ngày càng phức tạp, với nhiều tính năng và điểm nhập dữ liệu, dẫn đến việc kiểm thử toàn diện trở nên tốn kém và mất thời gian. Theo luận văn, các công cụ tự động có thể tốn nhiều thời gian và tài nguyên, đặc biệt khi số lượng đầu vào lớn. Hơn nữa, DAST có thể bỏ sót các lỗ hổng phức tạp hoặc các vấn đề liên quan đến logic ứng dụng. Do đó, cần có các phương pháp và công cụ DAST hiệu quả hơn để giải quyết những thách thức này, ví dụ như tích hợp Fuzzing. Các phương pháp Security Testing nâng cao có thể được tích hợp để tăng cường hiệu quả.

2.1. Giới Hạn Của Phương Pháp Kiểm Thử Bảo Mật Truyền Thống

Các phương pháp kiểm thử bảo mật truyền thống thường dựa vào các kịch bản kiểm thử được xác định trước, điều này có thể bỏ sót các lỗ hổng không lường trước được. Việc kiểm tra thủ công tốn nhiều thời gian và công sức, đặc biệt đối với các ứng dụng phức tạp. Các công cụ quét lỗ hổng bảo mật web tự động có thể đưa ra nhiều kết quả dương tính giả, gây khó khăn cho việc phân tích và khắc phục. Cần có các phương pháp tiếp cận linh hoạt và thông minh hơn để phát hiện lỗ hổng bảo mật một cách hiệu quả.

2.2. Vấn Đề Về Thời Gian và Chi Phí Trong Phân Tích Động

Phân tích động có thể tốn nhiều thời gian và chi phí, đặc biệt đối với các ứng dụng lớn và phức tạp. Việc thực hiện kiểm thử trên tất cả các đường dẫn và điểm nhập dữ liệu có thể mất nhiều thời gian. Chi phí thuê chuyên gia bảo mật và mua các công cụ DAST cũng là một gánh nặng cho nhiều tổ chức. Do đó, cần tìm kiếm các giải pháp tối ưu hóa quá trình phân tích động để giảm thiểu thời gian và chi phí.

2.3. Khả Năng Bỏ Sót Lỗ Hổng Trong Các Ứng Dụng Phức Tạp

Các ứng dụng web hiện đại thường có kiến trúc phức tạp và sử dụng nhiều công nghệ khác nhau, điều này có thể làm cho việc phát hiện lỗ hổng trở nên khó khăn hơn. Các công cụ DAST có thể gặp khó khăn trong việc phân tích các ứng dụng sử dụng mã hóa, xác thực phức tạp hoặc các tính năng nâng cao khác. Cần có các công cụ và kỹ thuật phân tích bảo mật động tiên tiến để đối phó với sự phức tạp của các ứng dụng web hiện đại.

III. Giải Pháp Fuzzing Định Hướng Với Giải Thuật Di Truyền Genetic Algorithm

Để giải quyết các thách thức trong DAST, một giải pháp tiềm năng là sử dụng fuzzing định hướng kết hợp với giải thuật di truyền. Fuzzing là một kỹ thuật kiểm thử bằng cách cung cấp các đầu vào ngẫu nhiên hoặc đột biến cho ứng dụng và theo dõi các phản hồi bất thường. Khi kết hợp với giải thuật di truyền, quá trình fuzzing có thể được tối ưu hóa để tạo ra các đầu vào hiệu quả hơn trong việc phát hiện lỗ hổng. Giải thuật di truyền giúp chọn lọc và đột biến các đầu vào dựa trên phản hồi của ứng dụng, từ đó tập trung vào các khu vực có khả năng chứa lỗ hổng. Theo luận văn, việc áp dụng giải thuật di truyền có thể giảm thiểu số lượng đầu vào cần xử lý và tăng khả năng tìm kiếm lỗ hổng bảo mật. Đây là một phương pháp hứa hẹn để cải thiện hiệu quả của DAST.

3.1. Giới Thiệu Về Kỹ Thuật Fuzzing và Ưu Điểm

Fuzzing là một kỹ thuật phân tích bảo mật bằng cách cung cấp các đầu vào không hợp lệ, ngẫu nhiên hoặc không mong muốn cho ứng dụng để tìm ra các lỗi hoặc lỗ hổng. Fuzzing có thể tự động hóa quá trình kiểm thử và phát hiện các lỗ hổng mà các phương pháp kiểm thử khác có thể bỏ sót. Fuzzing đặc biệt hiệu quả trong việc tìm kiếm các lỗi bộ nhớ, tràn bộ đệm và các vấn đề liên quan đến xử lý đầu vào.

3.2. Tối Ưu Hóa Fuzzing Bằng Giải Thuật Di Truyền Genetic Algorithm

Giải thuật di truyền có thể được sử dụng để tối ưu hóa quá trình fuzzing bằng cách tạo ra các đầu vào có khả năng kích hoạt lỗ hổng cao hơn. Giải thuật di truyền mô phỏng quá trình tiến hóa tự nhiên để chọn lọc và đột biến các đầu vào, từ đó tạo ra các thế hệ đầu vào ngày càng hiệu quả hơn. Việc kết hợp fuzzing với giải thuật di truyền có thể cải thiện đáng kể hiệu quả của quá trình phát hiện lỗ hổng.

3.3. Cách Thức Hoạt Động Của Fuzzing Định Hướng Giải Thuật Di Truyền

Trong fuzzing định hướng giải thuật di truyền, một quần thể các đầu vào được tạo ra và đánh giá dựa trên khả năng kích hoạt các nhánh mã mới hoặc tìm thấy lỗi. Các đầu vào có hiệu quả cao được chọn lọc và sử dụng để tạo ra các đầu vào mới thông qua các phép toán lai ghép và đột biến. Quá trình này lặp lại cho đến khi tìm thấy lỗ hổng hoặc đạt đến một ngưỡng thời gian nhất định. Fuzzing định hướng giải thuật di truyền tập trung vào việc khám phá các khu vực mã ít được kiểm tra và có khả năng chứa lỗ hổng bảo mật.

IV. Ứng Dụng Thực Tế Thử Nghiệm Với DVPA và Mã Nguồn Mở

Để chứng minh hiệu quả của phương pháp này, luận văn đã thực hiện thử nghiệm trên các ứng dụng web như DVPA (Damn Vulnerable PHP Application) và các mã nguồn mở khác. Quá trình thử nghiệm bao gồm chuẩn bị dữ liệu cho fuzzing, giám sát mã và thực hiện fuzzing bằng giải thuật di truyền. Theo luận văn, kết quả cho thấy việc áp dụng giải thuật di truyền giúp tăng độ bao phủ mã và cải thiện khả năng phát hiện lỗ hổng so với các phương pháp fuzzing truyền thống. Các thử nghiệm này cung cấp bằng chứng thực tế về tiềm năng của phương pháp fuzzing định hướng giải thuật di truyền trong việc kiểm thử bảo mật ứng dụng web.

4.1. Kịch Bản Triển Khai Thử Nghiệm Fuzzing

Các kịch bản thử nghiệm được thiết kế để mô phỏng các tình huống tấn công thực tế, bao gồm việc khai thác các lỗ hổng như SQL Injection, XSS, và RCE (Remote Code Execution). Các đầu vào được tạo ra bằng cách sử dụng giải thuật di truyền và được cung cấp cho ứng dụng web. Quá trình thử nghiệm theo dõi các phản hồi của ứng dụng và ghi lại bất kỳ hành vi bất thường nào.

4.2. Đánh Giá Hiệu Quả Phát Hiện Lỗ Hổng Trên DVPA

DVPA (Damn Vulnerable PHP Application) là một ứng dụng web được thiết kế đặc biệt để chứa các lỗ hổng bảo mật. Việc thử nghiệm fuzzing trên DVPA giúp đánh giá khả năng của phương pháp trong việc phát hiện các lỗ hổng đã biết. Kết quả cho thấy fuzzing định hướng giải thuật di truyền có thể tìm thấy hầu hết các lỗ hổng trong DVPA một cách hiệu quả.

4.3. Thử Nghiệm Trên Các Ứng Dụng Mã Nguồn Mở Khác

Ngoài DVPA, phương pháp fuzzing cũng được thử nghiệm trên các ứng dụng mã nguồn mở khác để đánh giá tính tổng quát của nó. Các ứng dụng này bao gồm WordPress plugins và các ứng dụng web phổ biến khác. Kết quả cho thấy fuzzing định hướng giải thuật di truyền có thể phát hiện lỗ hổng trong các ứng dụng này, mặc dù hiệu quả có thể khác nhau tùy thuộc vào độ phức tạp của ứng dụng.

V. Phân Tích Kết Quả Độ Bao Phủ Mã Và Khả Năng Tìm Lỗi Cải Thiện

Kết quả thử nghiệm cho thấy việc tích hợp giải thuật di truyền vào phương pháp fuzzing giúp tăng độ bao phủ mã và cải thiện khả năng tìm kiếm lỗi bảo mật. So với các phương pháp fuzzing truyền thống, fuzzing định hướng giải thuật di truyền có thể khám phá nhiều khu vực mã hơn và tìm thấy nhiều lỗ hổng hơn. Theo luận văn, số lượng lỗi phát hiện được tăng lên so với các phương pháp fuzzing không sử dụng đột biến. Điều này chứng minh rằng giải thuật di truyền có thể tối ưu hóa quá trình fuzzing và giúp tìm ra các lỗ hổng tiềm ẩn trong ứng dụng web.

5.1. So Sánh Độ Bao Phủ Mã Giữa Các Phương Pháp Fuzzing

Độ bao phủ mã là một thước đo quan trọng để đánh giá hiệu quả của fuzzing. Các phương pháp fuzzing có độ bao phủ mã cao hơn có khả năng phát hiện nhiều lỗ hổng hơn. Kết quả thử nghiệm cho thấy fuzzing định hướng giải thuật di truyền có độ bao phủ mã cao hơn so với các phương pháp fuzzing truyền thống, đặc biệt là trong các ứng dụng phức tạp.

5.2. Đánh Giá Khả Năng Tìm Kiếm Lỗi So Với Các Công Cụ Khác

Để đánh giá khả năng tìm kiếm lỗi, fuzzing định hướng giải thuật di truyền được so sánh với các công cụ quét lỗ hổng bảo mật web tự động khác. Kết quả cho thấy phương pháp này có thể tìm thấy các lỗ hổng mà các công cụ khác bỏ sót, đặc biệt là các lỗ hổng liên quan đến logic ứng dụng và các đầu vào không hợp lệ.

5.3. Ưu Điểm Của Việc Tích Hợp Giải Thuật Di Truyền Vào Mô Hình

Việc tích hợp giải thuật di truyền vào mô hình fuzzing mang lại nhiều lợi ích. Thứ nhất, nó giúp tối ưu hóa quá trình fuzzing và giảm thiểu số lượng đầu vào cần xử lý. Thứ hai, nó tăng cường khả năng khám phá các khu vực mã ít được kiểm tra. Thứ ba, nó giúp tạo ra các đầu vào có khả năng kích hoạt lỗ hổng cao hơn. Tất cả những điều này góp phần cải thiện hiệu quả của quá trình phát hiện lỗ hổng.

VI. Kết Luận Hướng Phát Triển Cho Phân Tích Động Ứng Dụng Web

Nghiên cứu này đã chứng minh rằng fuzzing định hướng giải thuật di truyền là một phương pháp hiệu quả để phát hiện lỗ hổng trong các ứng dụng web. Việc áp dụng giải thuật di truyền giúp tối ưu hóa quá trình fuzzing, tăng độ bao phủ mã và cải thiện khả năng tìm kiếm lỗi bảo mật. Trong tương lai, có thể tiếp tục nghiên cứu và phát triển phương pháp này để đối phó với sự phức tạp ngày càng tăng của các ứng dụng web. Việc tự động hóa phân tích động và tích hợp nó vào quy trình phát triển phần mềm có thể giúp đảm bảo an toàn cho các ứng dụng web.

6.1. Tóm Tắt Các Kết Quả Đạt Được Trong Nghiên Cứu

Nghiên cứu đã chứng minh rằng fuzzing định hướng giải thuật di truyền có thể cải thiện đáng kể hiệu quả của quá trình phát hiện lỗ hổng trong các ứng dụng web. Phương pháp này có độ bao phủ mã cao hơn, khả năng tìm kiếm lỗi tốt hơn và có thể tối ưu hóa quá trình fuzzing để giảm thiểu thời gian và chi phí.

6.2. Hướng Phát Triển Tiềm Năng Cho Nghiên Cứu Tương Lai

Trong tương lai, có thể nghiên cứu các phương pháp fuzzing khác nhau và kết hợp chúng với giải thuật di truyền để đạt được hiệu quả cao hơn. Việc tích hợp fuzzing vào quy trình phát triển phần mềm (DevSecOps) cũng là một hướng đi tiềm năng. Ngoài ra, việc nghiên cứu các kỹ thuật phân tích bảo mật khác, chẳng hạn như IAST (Interactive Application Security Testing) và SAST (Static Application Security Testing), có thể giúp cải thiện khả năng phát hiện lỗ hổng một cách toàn diện.

6.3. Tầm Quan Trọng Của Tự Động Hóa Phân Tích Bảo Mật Động

Tự động hóa phân tích bảo mật động là rất quan trọng để đảm bảo an toàn cho các ứng dụng web. Việc tích hợp các công cụ DAST vào quy trình phát triển phần mềm có thể giúp phát hiện lỗ hổng sớm và giảm thiểu rủi ro. Tự động hóa cũng giúp giảm thời gian và chi phí liên quan đến kiểm thử bảo mật và cho phép các nhà phát triển tập trung vào việc xây dựng các tính năng mới.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển nhanh chóng của Internet và các ứng dụng web, bảo mật ứng dụng web trở thành một vấn đề cấp thiết. Theo báo cáo ngành, lỗ hổng thực thi mã từ xa (Remote Code Execution - RCE) là một trong những loại lỗ hổng phổ biến và nguy hiểm nhất, với tỉ lệ xuất hiện cao trong các lỗ hổng được công bố qua các năm gần đây. Việc phát hiện và khắc phục kịp thời các lỗ hổng này giúp giảm thiểu rủi ro bị tấn công và bảo vệ dữ liệu người dùng. Tuy nhiên, việc kiểm thử bảo mật ứng dụng web hiện nay còn nhiều hạn chế, đặc biệt là trong việc xử lý lượng lớn đầu vào và mã khai thác, dẫn đến tốn kém thời gian và tài nguyên.

Luận văn tập trung nghiên cứu việc phát hiện lỗ hổng trên ứng dụng web sử dụng kỹ thuật phân tích động kết hợp thuật giải di truyền nhằm nâng cao hiệu quả fuzzing. Mục tiêu chính là giảm thiểu số lượng đầu vào cần xử lý, tăng độ bao phủ mã và khả năng phát hiện lỗi, đồng thời tối ưu thời gian thực thi. Nghiên cứu được thực hiện trên các ứng dụng web phát triển bằng PHP, trong đó tập trung vào lỗ hổng RCE, với phạm vi thử nghiệm trên các ứng dụng mã nguồn mở phổ biến như DVPA, WordPress và Dolibarr trong năm 2023.

Kết quả nghiên cứu có ý nghĩa quan trọng trong việc cải tiến các công cụ kiểm thử tự động, giúp các chuyên gia bảo mật và nhà phát triển ứng dụng web nâng cao chất lượng kiểm thử, tiết kiệm tài nguyên và thời gian, đồng thời tăng cường khả năng phát hiện các lỗ hổng bảo mật tiềm ẩn.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai lý thuyết chính: kỹ thuật phân tích động (dynamic analysis) và thuật giải di truyền (genetic algorithm). Phân tích động, đặc biệt là fuzzing, là phương pháp kiểm thử tự động bằng cách truyền các đầu vào ngẫu nhiên hoặc có định hướng vào ứng dụng để phát hiện lỗi. Các phương pháp fuzzing phổ biến gồm random fuzzing, mutation fuzzing, grammar-based fuzzing và coverage-based fuzzing. Coverage-based fuzzing sử dụng thông tin độ bao phủ mã để hướng dẫn tạo đầu vào mới nhằm tăng khả năng phát hiện lỗi.

Thuật giải di truyền là phương pháp tối ưu hóa dựa trên mô phỏng quá trình tiến hóa tự nhiên, bao gồm các bước khởi tạo quần thể, tính giá trị thích nghi, chọn lọc, đột biến và tạo thế hệ mới. Trong nghiên cứu này, thuật giải di truyền được áp dụng để chọn lọc và đột biến các mã khai thác phù hợp với từng đầu vào, từ đó tăng hiệu quả fuzzing.

Các khái niệm chính bao gồm:

• Basic block: đoạn mã liên tục không có lệnh nhảy, dùng để tính độ bao phủ mã.
• Độ bao phủ mã (code coverage): tỉ lệ basic block được thực thi trên tổng số basic block của chương trình.
• Lỗ hổng thực thi mã từ xa (RCE): lỗ hổng cho phép kẻ tấn công thực thi mã độc trên máy chủ từ xa.
• Instrumentation: quá trình thêm mã giám sát vào ứng dụng để theo dõi độ bao phủ mã trong quá trình fuzzing.

Phương pháp nghiên cứu

Nguồn dữ liệu chính bao gồm các ứng dụng web mã nguồn mở phổ biến viết bằng PHP như DVPA, WordPress, Dolibarr, cùng với bộ mã khai thác lỗ hổng RCE được thu thập và tổng hợp từ Internet. Cỡ mẫu thử nghiệm gồm nhiều phiên bản ứng dụng với các lỗ hổng đã biết, đảm bảo tính đại diện và bao quát.

Phương pháp phân tích sử dụng fuzzing kết hợp thuật giải di truyền để tự động chọn lọc và đột biến mã khai thác, đồng thời sử dụng công cụ instrumentation để theo dõi độ bao phủ mã trong quá trình thực thi. Quá trình fuzzing được thực hiện trong môi trường kiểm soát với cấu hình máy chủ cụ thể (CPU Intel Core i7-6800K, SSD 256GB, Ubuntu 22).

Timeline nghiên cứu kéo dài trong năm 2023, bao gồm các giai đoạn: thu thập dữ liệu, xây dựng mô hình fuzzing kết hợp thuật giải di truyền, triển khai thử nghiệm trên các ứng dụng thực tế, thu thập và phân tích kết quả, so sánh với các công cụ fuzzing truyền thống như wfuzz và ffuf.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Tăng độ bao phủ mã: Mô hình fuzzing kết hợp thuật giải di truyền đạt độ bao phủ mã trung bình 53.1% trên ứng dụng DVPA, cao hơn khoảng 15% so với các công cụ fuzzing truyền thống như wfuzz và ffuf.
2. Giảm số lượng đầu vào cần xử lý: Thuật giải di truyền giúp giảm khoảng 30% số lượng đầu vào không hiệu quả, tập trung vào các đầu vào có khả năng phát hiện lỗi cao hơn.
3. Tăng số lượng lỗi phát hiện: Trong quá trình fuzzing 24 giờ, mô hình phát hiện được số lỗi RCE nhiều hơn 20% so với các công cụ fuzzing hộp đen truyền thống với cùng bộ mã khai thác.
4. Tiết kiệm thời gian thực thi: Thời gian thực thi trung bình giảm khoảng 25% nhờ việc loại bỏ các đầu vào không hiệu quả và tập trung đột biến các mã khai thác có giá trị thích nghi cao.

Thảo luận kết quả

Nguyên nhân chính của việc tăng hiệu quả là do thuật giải di truyền giúp tự động chọn lọc và đột biến các mã khai thác phù hợp với từng đầu vào, từ đó tăng khả năng kích hoạt các nhánh mã chưa được kiểm tra, nâng cao độ bao phủ mã. So với các nghiên cứu trước đây chỉ sử dụng fuzzing truyền thống hoặc thuật giải di truyền cơ bản, mô hình này kết hợp chặt chẽ giữa fuzzing và thuật giải di truyền, đồng thời sử dụng instrumentation để theo dõi độ bao phủ mã, tạo ra vòng lặp phản hồi hiệu quả.

Kết quả cũng phù hợp với các nghiên cứu về fuzzing có định hướng và coverage-based fuzzing, cho thấy việc tăng độ bao phủ mã là yếu tố quan trọng giúp phát hiện nhiều lỗi hơn. Việc giảm số lượng đầu vào không hiệu quả giúp tiết kiệm tài nguyên và thời gian, điều này rất quan trọng trong thực tế khi số lượng đầu vào và mã khai thác có thể rất lớn.

Dữ liệu có thể được trình bày qua biểu đồ so sánh độ bao phủ mã, số lượng lỗi phát hiện và thời gian thực thi giữa mô hình đề xuất và các công cụ truyền thống, giúp minh họa rõ ràng hiệu quả cải tiến.

Đề xuất và khuyến nghị

1. Triển khai rộng rãi mô hình fuzzing kết hợp thuật giải di truyền: Khuyến nghị các tổ chức phát triển phần mềm và bảo mật ứng dụng web áp dụng mô hình này để nâng cao hiệu quả kiểm thử, đặc biệt với các ứng dụng PHP có nguy cơ lỗ hổng RCE cao. Thời gian triển khai dự kiến trong 6-12 tháng.
2. Tích hợp công cụ instrumentation trong quy trình kiểm thử tự động: Đề xuất tích hợp công cụ giám sát mã nguồn để theo dõi độ bao phủ mã trong quá trình fuzzing, giúp tối ưu hóa việc chọn lọc đầu vào và mã khai thác. Chủ thể thực hiện là các nhóm phát triển công cụ kiểm thử.
3. Phát triển thư viện mã khai thác đa dạng và cập nhật thường xuyên: Để tăng khả năng phát hiện lỗi, cần xây dựng và duy trì bộ mã khai thác phong phú, phù hợp với các phiên bản ứng dụng và lỗ hổng mới. Thời gian cập nhật định kỳ hàng quý.
4. Đào tạo và nâng cao kỹ năng cho chuyên gia bảo mật: Tổ chức các khóa đào tạo về kỹ thuật fuzzing kết hợp thuật giải di truyền và phân tích động, giúp chuyên gia bảo mật hiểu và vận dụng hiệu quả công nghệ mới. Chủ thể thực hiện là các trung tâm đào tạo và doanh nghiệp bảo mật.

Đối tượng nên tham khảo luận văn

1. Chuyên gia bảo mật ứng dụng web: Nghiên cứu giúp họ hiểu rõ hơn về kỹ thuật fuzzing kết hợp thuật giải di truyền, từ đó áp dụng vào kiểm thử và phát hiện lỗ hổng hiệu quả hơn.
2. Nhà phát triển phần mềm: Có thể áp dụng các giải pháp kiểm thử tự động nâng cao để cải thiện chất lượng sản phẩm, giảm thiểu rủi ro bảo mật trước khi phát hành.
3. Nhà nghiên cứu và sinh viên ngành Công nghệ Thông tin: Luận văn cung cấp cơ sở lý thuyết và thực nghiệm về fuzzing và thuật giải di truyền, là tài liệu tham khảo quý giá cho các đề tài nghiên cứu liên quan.
4. Doanh nghiệp cung cấp dịch vụ kiểm thử bảo mật: Giúp nâng cao hiệu quả kiểm thử, tiết kiệm thời gian và chi phí, đồng thời tăng khả năng phát hiện các lỗ hổng phức tạp trong ứng dụng khách hàng.

Câu hỏi thường gặp

1. Fuzzing là gì và tại sao lại quan trọng trong kiểm thử bảo mật?
   Fuzzing là kỹ thuật kiểm thử tự động bằng cách truyền các đầu vào ngẫu nhiên hoặc có định hướng vào ứng dụng để phát hiện lỗi. Nó quan trọng vì giúp phát hiện các lỗ hổng bảo mật tiềm ẩn mà kiểm thử thủ công khó phát hiện, đặc biệt trong các ứng dụng web phức tạp.

2. Thuật giải di truyền được áp dụng như thế nào trong fuzzing?
   Thuật giải di truyền được sử dụng để chọn lọc và đột biến các mã khai thác phù hợp với từng đầu vào, giúp tăng hiệu quả fuzzing bằng cách tập trung vào các đầu vào có khả năng phát hiện lỗi cao, giảm thiểu tài nguyên và thời gian thực thi.

3. Độ bao phủ mã có vai trò gì trong quá trình fuzzing?
   Độ bao phủ mã đo lường tỉ lệ đoạn mã (basic block) được thực thi trong quá trình fuzzing. Tăng độ bao phủ mã giúp phát hiện nhiều lỗi hơn vì các nhánh mã chưa được kiểm tra có thể chứa lỗ hổng.

4. Mô hình fuzzing kết hợp thuật giải di truyền có ưu điểm gì so với các công cụ truyền thống?
   Mô hình này giúp giảm số lượng đầu vào không hiệu quả, tăng độ bao phủ mã và số lỗi phát hiện, đồng thời tiết kiệm thời gian thực thi so với các công cụ fuzzing hộp đen truyền thống như wfuzz và ffuf.

5. Có thể áp dụng mô hình này cho các ngôn ngữ lập trình khác ngoài PHP không?
   Mặc dù nghiên cứu tập trung vào ứng dụng PHP, nguyên lý fuzzing kết hợp thuật giải di truyền có thể được điều chỉnh và áp dụng cho các ngôn ngữ khác, tuy nhiên cần xây dựng bộ mã khai thác và công cụ instrumentation phù hợp với từng ngôn ngữ.

Kết luận

• Luận văn đã phát triển thành công mô hình fuzzing kết hợp thuật giải di truyền nhằm phát hiện lỗ hổng thực thi mã từ xa trên ứng dụng web PHP.
• Mô hình giúp tăng độ bao phủ mã trung bình lên 53.1%, phát hiện nhiều lỗi hơn 20% so với các công cụ fuzzing truyền thống.
• Giải thuật di truyền giúp giảm khoảng 30% số lượng đầu vào không hiệu quả, tiết kiệm thời gian thực thi khoảng 25%.
• Kết quả thử nghiệm trên các ứng dụng mã nguồn mở phổ biến như DVPA, WordPress và Dolibarr đã chứng minh tính khả thi và hiệu quả của phương pháp.
• Đề xuất triển khai rộng rãi mô hình, tích hợp công cụ instrumentation và phát triển thư viện mã khai thác để nâng cao chất lượng kiểm thử bảo mật ứng dụng web.

Next steps: Mở rộng nghiên cứu áp dụng cho các ngôn ngữ và nền tảng khác, phát triển công cụ fuzzing tích hợp thuật giải di truyền hoàn chỉnh, và tổ chức đào tạo chuyên sâu cho chuyên gia bảo mật.

Các nhà phát triển và chuyên gia bảo mật nên cân nhắc áp dụng mô hình fuzzing kết hợp thuật giải di truyền để nâng cao hiệu quả kiểm thử và bảo vệ ứng dụng web trước các nguy cơ tấn công ngày càng tinh vi.

Trích đoạn nội dung tài liệu

Chương 1 - Mé đầu Đặt van dé, ly do thuc hién dé tài luận văn và mục đích của nghiên cứu. Chương 2 — Tổng quan về tình hình nghiên cứu Khảo sát các nghiên cứu có liên quan về ứng dụng fuzzing hiện nay, các giải pháp phục vụ fuzzing, các thách thức và giải pháp tăng tốc độ và tiết kiệm tài nguyên trong ứng dụng fuzzing. Chương 3 — Cơ sở lý thuyết và phương pháp luận Khao sát về các công cụ fuzzing hiện nay như ffuf, wfuzz, webfuzz, AFL và phân loại các phương pháp fuzzing dựa trên cách thực hiện của nó. Chương 4 — Kết quả thực hiện Thể hiện lại các kết quả, số liệu đã thử nghiệm thực tế khi thực hiện fuzzing kết hợp giải thuật di truyền (Chương 3) lên các ứng dụng web có sẵn trong môi trường thực tế, từ đó thông kê, đánh giá về hoạt động, hiệu suất của giải pháp này.

Cùng với đó là so sánh với các công cụ khác để có cái nhìn thực tế hơn về phương pháp sử dụng. Chương 5 - Kết luận và hướng phát triển Dua ra kết luận, đánh giá về kết quả của luận văn dé tiếp tục thực hiện trong tương lai. TONG QUAN VE TINH HÌNH NGHIÊN CUU 2. Cac hướng tiếp cận Lỗ hồng trên trang web là loại lỗ hông tiềm an nhiều khả năng bị khai thác dé dàng trong hệ thống mạng, vì vậy được đặc biệt quan tâm hiện nay.

Dé tìm kiếm va khắc phục những vị trí tồn tại lỗ hong này, các nhà nghiên cứu chia làm hai nhánh tiếp cận, nhánh đầu tiên là phân tích tĩnh và nhánh thứ hai là phân tích động. Phương pháp phân tích động được trién khai bang cách sử dụng thực tế trang web dé tìm ra lỗi. Điển hình cho kiêu phân tích này là kỹ thuật fuzzing. Phương pháp nay thực hiện bằng cách nhập các tham số đầu vào và theo dõi các truy vấn tương tác với ứng dụng web.

Kết quả của phân tích động sẽ là thông tin về lỗ hồng có tồn tại trên hệ thống hay không. Còn về phân tích tĩnh, phương pháp này liên quan đến việc phân tích mã nguồn được cung cấp dé tìm ra lỗ hồng. Phương pháp này sẽ không thực sự thực thi mã nguồn ứng dụng mà thông qua các thuật toán đề tìm các lỗ hồng tiềm ân, do đó có thể phát hiện được các lỗ hông mà phương pháp phân tích động không tìm được, đồng thời đi sâu vào chỉ tiết mã nguồn ứng dụng. Tuy nhiên phân tích tĩnh thường trả về nhiều kết quả không chính xác và dương tính giả (False Positive) cùng với âm tính giả (False Negative) [3].

Dé tăng cường hiệu quả kiểm tra có thé kết hợp cả phương pháp phân tích tĩnh và phân tích động. Phương pháp kết hợp này cho phép phát hiện các lỗ héng mà phân tích riêng lẻ bằng các phương pháp kế trên không phát hiện được. Dưới đây là bảng so sánh các phương pháp tìm kiếm lỗ hông web được nghiên cứu trước đây. Phân tích tĩnh Phương pháp này phân tích mã nguồn, luồng thực thi của Đại diện: TAJ, chương mà không thực sự thực thi chương trình.

DeepSource, DeepScan, TAJS [4], Uu diém: ¢ GO nhánh phân tích tĩnh có phương pháp thực thi tượng trưng (symbolic execution) rất hữu ích vì có thể tìm kiếm sâu các lỗ hồng tồn tại trong ứng dụng nhờ vào việc phân tích các điêm sink của chương trình. Nhược điểm: e _ Việc thiết kế thuật toán và phân tích luồng thực thi của mã nguồn là tương đối phức tạp với các ứng dụng web, và tỉ lệ dương tính giả cao. Phân tích động Trong phương pháp phân tích động, những nhà nghiên Đại diện: wfuzz, ffuf cứu thực hiện thực thi mã nguồn của ứng dụng trong một [5] Acunetix [6], môi trường kiểm soát và quan sát vị trí tim thấy lỗ hong. e Đơn giản trong xây dựng mô hình và thực thi.

Nhược điểm: e _ Tốn nhiều thời gian thực thi chương trình. Và thời gian thực thi phụ thuộc vào số lượng mã khai thác và các đầu vào nào cần kiểm tra, có thể từ vài tiếng đối với tập hợp các mã khai thác có số lượng ít, đến vài ngày, thậm chí vài năm với số lượng lớn các mã khai thác và đầu vào tương ứng. Do đó, phương pháp này được xem là có nhược điểm trong việc tốn quá nhiều thời gian. Đây van là một phương pháp tốt và phé biến nhất dé kiểm tra lỗ hồng web mặc cho những nhược điểm của nó do tính dé sử dụng và khả năng tìm ra lỗ hồng của phương pháp này.

Kết hợp phân tích Điển hình là các phân tích động dựa trên fuzzing và phản tĩnh và động: hồi, trong đó các mô hình này thực hiện việc thực thi mã Đại điện: AFL++ [9], | nguồn ứng dung trong môi trường kiểm soát và theo dõi webFuzz [10], Cefuzz | các tương tác giữa ứng dụng và môi trường để tìm ra các [11]. Hướng tiếp cận này từ các đại diện như AFL++, webfuzz, Cefuzz cho thấy tốt hơn so với phân tích tĩnh hay phân tích động riêng lẻ, giúp tăng tốc quá trình tìm kiếm lỗ hỗng và giảm thiểu các sai sot. Các nghiên cứu liên quan 2. WebFuzz: Grey-Box Fuzzing for Web Applications Công trình của Orpheas van Rooij về sử dung kĩ thuật fuzzing trên các ứng dụng web chứng minh được việc kết hợp phân tích tĩnh và phân tích động trong mô hình hiệu quả như thế nào [10].

Mặc dù chủ đề nghiên cứu fuzzing không mới, tuy vậy áp dung fuzzing trên các ứng dụng web và đánh giá độ bao phủ mã là một hướng đi mới mà tác giả đưa ra. Cụ thể, WebFuzz - một công cụ fuzzing theo hướng hộp xám được thiết kế bởi tác giả đã tạo ra các mã khai thác hiệu quả dé khai thác lỗ hồng Cross- site Scripting (XSS) trên các ứng dụng web mã nguồn mở khác nhau. WebFuzz sử dụng thông tin thu được để hướng dẫn tạo các trường hợp thử nghiệm, giúp tăng độ bao phủ mã và xác định hiệu quả hơn các lỗ hồng phức tạp mà các công cụ fuzzing truyền thống có thé bỏ sót. Điều đáng chú ý là WebFuzz đã được áp dụng trên các ứng dụng thực tế và đạt được kết quả tốt.

Tom lại, nghiên cứu của Orpheas van Rooij thiết kế ra một phương pháp kiểm thử hộp xám mới cho các ứng dụng web và mở ra hướng nghiên cứu tiềm năng trong tương lai. Nghiên cứu của Webfuzz chứng minh được việc kết hợp các phương pháp sẽ có hiệu quả hơn so với việc phân tích riêng lẻ, do tính phức tạp ngày nay của các ứng dụng web. Cefuzz: Phương pháp fuzzing sứ dung symbolic execution dé tìm kiếm lỗ hồng thực thi mã từ xa. Tương tự với WebFuzz, nghiên cứu của tác giả Jiazhen Zhao va Phòng thí nghiệm trọng điểm về nhận thức và đánh giá tình hình an ninh mạng của tỉnh An Huy, Trung Quốc [11] đã tìm hiểu việc áp dụng fuzzing có định hướng trong tìm kiếm lỗ hồng ứng dụng web.

Nghiên cứu sử dụng thực thi mã tượng trưng (symbolic execution) và theo dõi thời gian thực thi dé xác định các lỗ hồng tiềm ẩn và tạo các trường hợp thử nghiệm mới nhằm kích hoạt các lỗ hồng này. Khác biệt của nghiên cứu này với phương pháp kiểm thử truyền thống đó là việc sử dụng phân tích tĩnh dé quét mã nguồn ứng dụng và xác định đầu vào tiềm năng của người dùng đề kích hoạt lỗ hồng thực thi mã từ xa. Sau đó, mô hình sử dụng giám sát thời gian thực thi để quan sát hành vi của ứng dụng nhằm kiểm tra dấu hiệu của việc khai thác lỗ hồng thành công. Tuy nhiên, mô hình này tập trung chủ yếu ở việc phân tích tĩnh để chuyển đầu vào thành mã giả và phát hiện các sink nhiễm ban trước khi thực hiện các bước fuzzing có định hướng tiếp theo.

Với các lỗ hồng phức tạp, phương pháp kiểm thử này được đánh giá là hiệu quả hơn so với các công cụ fuzzing truyền thống và cũng có thé cải thiện độ bao phủ mã. Nghiên cứu về fuzzing dựa vào thuật giải di truyền cải tiến. Nghiên cứu về fuzzing có định hướng kết hợp với các thuật toán di truyền cũng đã được nghiên cứu sâu hon, ví dụ như nghiên cứu của Xinshi Zhou va Bin Wu [12]. Các tác giả của nghiên cứu dé xuất một mô hình fuzzing kết hợp với thuật toán di truyền được cải tiến và xây dựng các khái niệm mới của thuật toán di truyền đề phù hợp với quá trình fuzzing ứng dụng web.

Để chứng minh tính hiệu quả, các tác giả đã thực hiện thử nghiệm trên 3 ứng dụng web mã nguồn mở. Đây là một đề xuất đầy hứa hẹn với các kết quả thực nghiệm có được, tuy vậy tác giả chỉ tìm kiếm lỗ hong của các ứng dụng trên với thuật toán được cải tiến và so sánh với thuật toán di truyền cơ bản, chưa có các so sánh với các kỹ thuật fuzzing web khác đồng thời tác giả cũng không cung cấp mã nguồn ứng dụng dé chia sẻ cho cộng đồng. Tuy vậy, hướng nghiên cứu này vẫn là một kỹ thuật cao cấp trong việc cải tiến quá trình fuzzing cho nhiều ứng dụng, đặc biệt là trong ứng dụng web. Mục tiêu luận van Luận văn mong muốn áp dụng kỹ thuật của thuật giải di truyền trong việc phân tích luỗng thực thi của ứng dụng web trong quá trình fuzzing.

Nhằm tăng mức độ bao phủ mã khi fuzzing, giảm thiểu tài nguyên khi thực thi công cụ mà vẫn đảm bảo kết quả đạt được mong đợi. Quá trình thực nghiệm của luận văn sẽ chủ yếu khai thác lỗ hồng thực thi mã từ xa và so sánh với các công cụ Blackbox fuzzing như ffuf và wfuzz. Bằng cách so sánh với các phương pháp khác, luận văn hi vọng sẽ giúp tìm ra các đặc điểm mạnh và yếu của thuật giải di truyền, từ đó có thé cải tiến các công cụ fuzzing và áp dụng phân tích các ứng dụng thực tế. Dé đánh giá giải thuật được đề xuất, luận văn sẽ dùng tập dữ liệu là các phần mềm mã nguồn mở phỏ biến được nhiều người sử dụng dé đảm bảo bao quát hết các trường hợp của các phần mềm được phát triển bằng ngôn ngữ PHP khác nhau trong quá trình phân tích.

Nội dung và phương pháp nghiên cứu Fuzzing là một kỹ thuật kiểm thử tự động dé phát hiện các điểm đột biến trong ứng dụng. Trong đó, giải thuật di truyền này khi áp dụng vào fuzzing sẽ tạo ra một quy trình xây dựng và đưa mã khai thác mới vào chương trình để giúp tìm ra các điểm đột biến nhanh và tối ưu hơn.