(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử

(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử(Luận văn thạc sĩ) Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG

KHATTHANAM PHOUCHANTHVONG

NGHIÊN CỨU MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG TẤN CÔNG DỮ LIỆU ĐỐI VỚI WEBSITE THƯƠNG MẠI ĐIỆN TỬ

LUẬN VĂN THẠC SĨ KHOA HỌC MÁY TÍNH

Thái Nguyên – 2020

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG

KHATTHANAM PHOUCHANTHAVONG

NGHIÊN CỨU MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG TẤN CÔNG DỮ LIỆU ĐỐI VỚI WEBSITE THƯƠNG MẠI ĐIỆN TỬ

Chuyên ngành: Khoa học máy tính

Mã số chuyên ngành: 8480101

LUẬN VĂN THẠC SĨ KHOA HỌC MÁY TÍNH

Hướng dẫn khoa học: TS Nguyễn Đức Bình

Thái Nguyên – 2020

LỜI CẢM ƠN

Trước hết tôi xin gửi lời cảm ơn sâu sắc đến thầy hướng dẫn khoa học TS Nguyễn Đức Bình về những chỉ dẫn khoa học, định hướng nghiên cứu và tận tịnh

hướng dẫn tôi trong suốt quá trình làm luận văn

Tôi xin cảm ơn các thầy trong khoa Công nghệ thông tin, các thầy cô giáo trong trường Đại học Công nghệ thông tin và Truyền thông – Đại học Thái Nguyên

đã cung cấp cho tôi những kiến thức vô cùng quý báu và cần thiết trong suốt thời gian học tập tại trường để tôi có thể thực hiện và hoàn thành tốt luận văn này

Tôi xin bày tỏ lòng biết ơn sâu sắc nhất tới Chính phủ Lào và Chính phủ Việt Nam, Bộ Giáo dục và Thể thao Lào, Bộ Giáo dục và Đào tạo Việt Nam đã tạo điều kiện cấp suất học bổng cao học này cho tôi Xin trân trọng cảm ơn sâu sắc nhất tới Ban Lãnh đạo Bộ giáo dục và thể thao Lào đã tạo điều kiện và luôn ủng hộ tôi

Với thời gian nghiên cứu còn hạn chế, ngôn ngữ còn khiêm tốn, luận văn không tránh khỏi những thiếu sót, tôi rất mong nhận được các ý kiến đóng góp chân thành từ các thầy cô giáo, đồng nghiệp và bạn bè

Cuối cùng, tôi xin cảm ơn gia đình và bạn bè, những người đã luôn ủng hộ và động viên tôi, giúp tôi yên tâm và có tâm lý thuận lợi nhất để tôi nghiên cứu luận văn này Tuy nhiên do giới hạn về mặt thời gian và kiến thức nên luận văn chắc chắn sẽ không tránh khỏi những sai sót ngoài ý muốn Tôi rất mong nhận được sự thông cảm

và đóng góp ý kiến của các thầy cô giáo, đồng nghiệp và bạn bè

Thái Nguyên, tháng 11 năm 2020

HỌC VIÊN

Khatthnam PHOUCHANTHAVONG

LỜI CAM ĐOAN

Tôi xin cam đoan toàn bộ nội dung văn bản này là do tôi tự sưu tầm, tra cứu

và sắp xếp cho phù hợp với nội dung yêu cầu của đề tài

Nội dung luận văn này chưa từng được công bố hay xuất bản dưới bất kỳ hình thức nào và cũng không sao chép từ bất kỳ một công trình nghiên cứu nào

Tất cả phần mã nguồn của chương trình đều do tôi tự thiết kế và xây dựng, trong đó có sử dựng một số thư viện chuẩn và các thuật toán được các tác giả xuất bản công khai và miễn phí trên mạng Internet

Thái Nguyên, tháng 11 năm 2020

Tác giả luận văn

Khatthanam PHOUCHANTHAVONG

MỤC LỤC

LỜI CẢM ƠN I LỜI CAM ĐOAN II MỤC LỤC III DANH SÁNH HÌNH VẼ VI DANH SÁCH TỪ VIẾT TẮT VII

MỞ ĐẦU 1

CHƯƠNG 1 TỔNG QUAN VỀ AN TOÀN DỊCH VỤ VÀ DỮ LIỆU WEB VÀ LỖI BẢO MẬT THÔNG DỤNG 3

1.1 Khái niệm chung về thương mại điện tử 3

1.1.1 Sự ra đời và phát triển của Internet 3

1.1.2 Khái niệm thương mại điện tử 4

1.1.3 Hệ thống các hoạt động cơ bản trong thương mại điện tử 5

1.2 Tổng quan về ứng dụng Website 6

1.2.1 Khái niệm ứng dụng Website 6

1.2.2 Cách thức hoạt động 7

1.2.3 Các dịch vụ và ứng dụng trên nền Website 8

1.3 Tổng quan về an ninh mạng 9

1.3.1 Khái niệm về an toàn và an ninh mạng 9

1.3.2 Sự cần thiết phải bảo vệ thông tin 9

1.4 Các thuật ngữ liên quan 10

1.4.1 Hacker 10

1.4.2 HTTP Header 10

1.4.3 Session 12

1.4.4 Cookie 13

1.4.5 Proxy 15

CHƯƠNG 2 CÁC LOẠI TẤN CÔNG WEB PHỔ BIẾN 16

2.1 Đặc trưng của các Website thương mại điện tử 16

2.2 Tổng quan về Local Attack 17

2.2.1 Giới thiệu về Local Attack 17

2.2.2 Phương thức tấn công Local Attack 17

2.3 Tấn công từ chối dịch vụ (denial of service) 19

2.3.1 DOS (Denial of Service) 19

2.3.2 DDoS (Distributed Denial of Service) 20

2.4 Tấn công SQL Injection 24

2.4.1 SQL Injection là gì? 24

2.4.2 SQL Injection và vấn đề an ninh cơ sở dữ liệu 24

2.5 Các phương pháp tấn công SQL Injection phổ biến 27

2.5.1 Tấn công khai thác dữ liệu thông qua toán tử UNION 28

2.5.2 Tìm số cột và kiểu dữ liệu của cột 28

2.5.3 Tìm cột có khả năng “chứa” thông tin khai thác được 28

2.5.4 Khai thác thông qua các câu lệnh điều kiện 30

2.5.5 Blind SQL Injection – phương thức tấn công nâng cao 31

2.5.6 Vấn đề qua mặt các bộ lọc tham số đầu vào 31

2.5.7 Sử dụng các byte NULL 32

2.6 Tấn công Cross Site Scripting (XSS) 32

2.6.1 Hoạt động của XSS 33

2.6.2 Phương pháp tấn công 34

CHƯƠNG 3 MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG TẤN CÔNG DỮ LIỆU WEBSITE THƯƠNG MẠI ĐIỆN TỬ 35

3.1 Mô hình đề xuất 35

3.2 Các giải pháp đề xuất cụ thể 36

3.2.1 Giải pháp phòng chống Local Attack 36

3.2.2 Giải pháp phòng chống tấn công SQL Injection 38

3.2.3 Xây dựng truy vấn theo mô hình tham số hóa 40

3.2.4 Chuẩn hóa dữ liệu 44

3.2.5 Giải pháp về bảo mật dữ liệu với mã hóa AES 44

3.3 Demo ứng dựng Website thương mại điện tử ứng dụng các giải pháp phòng chống tấn công dữ liệu 48

3.3.1 Xây dựng website thương mại điện tử khóa học 48

3.3.2 Mã hoá dữ liệu bên trong hệ quản trị cơ sở dữ liệu 50

3.3.3 Một số giao diện chức năng Admin 52

3.4 Đánh giá kết quả 55

KẾT LUẬN VÀ ĐỀ NGHỊ 56

TÀI LIỆU THAM KHẢO 57

DANH SÁNH HÌNH VẼ

Hình 1 1: Mô hình ứng dụng thương mại điện tử trong các giai đoạn của chuỗi giá trị 5

Hình 1 2: Kiến trúc một ứng dụng Website 6

Hình 1 3: Mô hình hoạt động của ứng dụng Website 7

Hình 2 1: Sơ đồ chính phân loại mô hình tấn công DDoS 21

Hình 2 2: Kiến trúc attack-network kiểu Agent – Handler 22

Hình 2 3: Kiến trúc attack-network của kiểu IRC-Base 23

Hình 2 4: Thống kê 10 điểm yếu phổ biến nhất (2008) 25

Hình 2 5: Thống kê 10 điểm yếu phổ biến nhất (2009) 25

Hình 2 6: Thống kê thời gian trung bình khắc phục điểm yếu (2008) 26

Hình 2 7: Thống kê thời gian trung bình khắc phục điểm yếu (2009) 26

Hình 2 8: Thống kê các điểm yếu thường được khai thác nhất 2019 27

Hình 2 9: Tìm cột mang dữ liệu 29

Hình 2 10: Khai thác thông tin username 29

Hình 3 1: Mô hình đề xuất 35

Hình 3 2: Hàm prepare trong MySQL 41

Hình 3 3: Trang chủ website thương mại điện tử khóa học 48

Hình 3 4: Một số sản phẩm của website thương mại điện tử khóa học 49

Hình 3 5: Một số sản phẩm của website thương mại điện tử khóa học 50

Hình 3 6: Bảng điểm (point) sau khi mã hõa dữ liệu với AES 50

Hình 3 7: Giao diện sau khi đăng nhập 53

Hình 3 8: Giao diện thêm mới khóa học 53

Hình 3 9: Giao diện Danh sách các khóa học 54

Hình 3 10: Giao diện Danh sách các lớp học 54

DANH SÁCH TỪ VIẾT TẮT

TT Chữ viết tắt Ý nghĩa

1 TMĐT Thương mại điện tử

2 HTML Hyper text markup language

4 ASP Active Server Pages

5 DBMS Database Managerment System

6 ODBC Database Connectivity

7 DOS Denial of Service

8 DDoS Distributed Denial of Service

9 IRC Internet Relay Chat

10 IPS Intrusion Prevention System

11 XSS Cross-Site Scripting

MỞ ĐẦU

Thương mại điện tử (TMĐT) là việc tiến hành một phần hay toàn bộ hoạt động thương mại bằng những phương tiện điện tử qua môi trường Internet giúp các hoạt động thương mại được thực hiện nhanh hơn, hiệu quả hơn, giúp tiết kiệm chi phí và mở rộng không gian kinh doanh Với vai trò và ảnh hưởng rộng lớn, đặc biệt liên quan đến tài chính trong nhiều lĩnh vực hoạt động kinh tế, các website TMĐT với đặc điểm chứa nhiều thông tin giá trị, đặc biệt là về mặt tài chính Điều này dẫn tới các website TMĐT

là mục tiêu tấn công bất hợp pháp nhằm khai thác dữ liệu có giá trị

Công nghệ thông tin và Thương mại điện tử đã xâm nhập vào mọi góc cạnh của đời sống xã hội nói chung và của doanh nghiệp nói riêng Đối với doanh nghiệp, Thương mại điện tử góp phần hình thành những mô hình kinh doanh mới, giảm chi phí, nâng cao hiệu quả kinh doanh Đối với người tiêu dùng, Thương mại điện tử giúp mua sắm thuận tiện hàng hóa và dịch vụ trên các thị trường ở mọi nơi trên thế giới Để doanh nghiệp luôn phát triển trong môi trường công nghệ có tốc độ phát triển như hiện nay thì doanh nghiệp phải nắm rõ được các thông tin cơ bản để có thể vận hành thương mại điện tử vào trong tổ chức của mình

Thế giới ngày nay đã có nhiều tiến bộ mạnh mẽ về công nghệ thông tin (CNTT)

từ một tiềm năng thông tin đã trở thành một tài nguyên thực sự, trở thành sản phẩm hàng hoá trong xã hội tạo ra một sự thay đổi to lớn trong lực lượng sản xuất, cơ sở hạ tầng, cấu trúc kinh tế, tính chất lao động và cả cách thức quản lý trong các lĩnh vực của xã hội

Trong những năm gần đây, các ứng dụng của công nghệ thông tin ngày càng phát triển Đặc biệt là ứng dụng Website, hầu như mọi người ai cũng từng nghe và làm việc trên ứng dụng Website Website trở nên phổ biến và trở thành một phần quan trọng của mọi người và nhất là các doanh nghiệp, công ty Bên cạnh đó lý do an toàn bảo mật cho ứng dụng Website luôn là vấn đề nan giải của mọi người

Với các lý do trên, em đã lựa chọn đề tài “Nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử” để làm đề tài luận văn

cho mình Em thấy đây là đề tài mang tính thực tế cao, giúp cho các nhà quản trị Website

có thể làm tốt hơn công việc của mình, cũng như đảm bảo an toàn thông tin cho doanh nghiệp, công ty Đồng thời cũng giúp ích rất nhiều cho em trong các công việc sau này

Bố cục của luận văn chia làm ba phần:

Chương 1: Tổng quan về an toàn dịch vụ và dữ liệu web và lỗi bảo mật thông dụng

Chương 2: Các loại tấn công web phổ biến

Chương 3: Một số giải pháp phòng chống tấn công dữ liệu website thương mại điện tử

CHƯƠNG 1 TỔNG QUAN VỀ AN TOÀN DỊCH VỤ VÀ DỮ LIỆU WEB VÀ LỖI BẢO MẬT

THÔNG DỤNG

1.1 Khái niệm chung về thương mại điện tử

1.1.1 Sự ra đời và phát triển của Internet

Internet là mạng liên kết các mạng máy tính với nhau.Mặc dù mới thực sự phổ biến

từ những năm 1990,Internet đã có lịch sử hình thành từ khá lâu

Năm 1962: J.C.R Licklider đưa ra ý tưởng kết nối các máy tính với nhau, đến năm

1967 Lawrence G Roberts tiếp tục đề xuất ý tưởng mạng ARPANet (Advanced Research Project Agency Network) tại một hội nghị ở Michigan; Công nghệ chuyển gói tin (packet switching technology) đem lại lợi ích to lớn khi nhiều máy tính có thể chia sẻ thông tin với nhau; Phát triển mạng máy tính thử nghiệm của Bộ quốc phòng Mỹ theo ý tưởng ARPANet và đến năm 1969 mạng này được đưa vào hoạt động và là tiền thân của Internet; Internet - liên mạng bắt đầu xuất hiện khi nhiều mạng máy tính được kết nối với nhau Trải qua nhiều năm phát triển đến năm 1984 Giao thức chuyển gói tin TCP/IP (Transmission Control Protocol và Internet Protocol) trở thành giao thức chuẩn của Internet; Hệ thống các tên miền DNS (Domain Name System) ra đời để phân biệt các máy chủ; được chia thành sáu loại chính bao gồm edu -(education) cho lĩnh vực giáo dục, gov - (government) thuộc chính phủ, mil - (miltary) cho lĩnh vực quân sự, com - (commercial) cho lĩnh vực thương mại, org - (organization) cho các tổ chức, net

- (network resources) cho các mạng Đến năm 1991 Ngôn ngữ đánh dấu siêu văn bản HTML (HyperText Markup Language) ra đời cùng với giao thức truyền siêu văn bản HTTP (HyperText Transfer Protocol), Internet đã thực sự trở thành công cụ đắc lực với hàng loạt các dịch vụ mới World Wide Web (WWW) ra đời, đem lại cho người dùng khả năng tham chiếu từ một văn bản đến nhiều văn bản khác, chuyển từ cơ sở dữ liệu này sang cơ sở dữ liệu khác với hình thức hấp dẫn và nội dung phong phú WWW chính là hệ thống các thông điệp dữ liệu được tạo ra, truyền tải, truy cập, chia sẻ thông qua Internet.Internet và Web là công cụ quan trọng nhất của TMĐT, giúp cho TMĐT

phát triển và hoạt động hiệu quả

1.1.2 Khái niệm thương mại điện tử

Thương mại điện tử được biết đến với nhiều tên gọi khác nhau, như “thương mại điện tử” (Electronic commerce),“thương mại trực tuyến” (online trade), “thương mại không giấy tờ” (paperless commerce) hoặc “kinh doanh điện tử” (e- business) Tuy nhiên, “thương mại điện tử” vẫn là tên gọi phổ biến nhất và được dùng thống nhất trong các văn bản hay công trình nghiên cứu của các tổ chức hay các nhà nghiên cứu

Theo nghĩa hẹp,thương mại điện tử là việc mua bán hàng hoá và dịch vụ thông qua các phương tiện điện tử và mạng viễn thông, đặc biệt là máy tính và Internet

Theo nghĩa rộng về thương mại điện tử một số tổ chức khái niệm như sau:

- EU: Gồm các giao dịch thương mại thông qua các mạng viễn thông và sử

dụng các phương tiện điện tử Nó bao gồm TMĐT gián tiếp (trao đổi hàng hoá hữu hình) và TMĐT trực tiếp (trao đổi hàng hoá vô hình)

- OECD: Gồm các giao dịch thương mại liên quan đến các tổ chức và cá

nhân dựa trên việc xử lý và truyền đi các dữ kiện đó được số hoá thông qua các mạng

mở (như Internet) hoặc các mạng đóng có cổng thông với mạng mở (như AOL)

- UNCTAD:“Là việc thực hiện toàn bộ hoạt động kinh doanh bao gồm

marketing, bán hàng, phân phối và thanh toán thông qua các phương tiện điện tử”

Khái niệm này đã đề cập đến toàn bộ hoạt động kinh doanh,chứ không chỉ giới hạn

ở riêng mua và bán, và toàn bộ các hoạt động kinh doanh này được thực hiện thông qua các phương tiện điện tử

Khái niệm này được viết tắt bởi bốn chữ MSDP, trong đó:

M – Marketing (có trang web, hoặc xúc tiến thương mại qua Internet)

S – Sales (có trang web có hỗ trợ chức năng giao dịch, ký kết hợp đồng)

D – Distribution (Phân phối sản phẩm số hóa qua mạng)

P – Payment (Thanh toán qua mạng hoặc thông qua bên trung gian như ngân hàng)

Như vậy, đối với doanh nghiệp, khi sử dụng các phương tiện điện tử và mạng vào trong các hoạt động kinh doanh cơ bản như marketing, bán hàng, phân phối, thanh toán

thì được coi là tham gia thương mại điện tử

1.1.3 Hệ thống các hoạt động cơ bản trong thương mại điện tử

Theo Micheal Porter, thương mại điện tử có thể ứng dụng vào tất cả các giai đoạn trong chuỗi giá trị Tất nhiên, khi ứng dụng sâu và rộng thương mại điện tử ở đây được hiểu theo nghĩa rộng, trở thành kinh doanh điện tử

Hình 1 1: Mô hình ứng dụng thương mại điện tử trong các giai đoạn của chuỗi giá trị

Nguồn: Marketing Management, Porter M.E 2001

Sản phẩm Inbound

và Dịch vụ Logistics

Xử lý nghiệp vụ

3

Outbound logistics Marketing & Dịch vụ sau

Bán hàng

5

bán hàng

6

1.2 Tổng quan về ứng dụng Website

1.2.1 Khái niệm ứng dụng Website

Ứng dụng Website là một ứng dụng chủ/khách sử dụng giao thức HTTP để tương tác với người dùng hay hệ thống khác

Website là một “trang web” trên mạng Internet, đây là nơi giới thiệu những thông tin, hình ảnh về doanh nghiệp và sản phẩm, dịch vụ của doanh nghiệp (hay giới thiệu bất cứ thông tin gì) để khách hàng có thể truy cập ở bất kỳ nơi đâu, bất cứ lúc nào

Website là tập hợp nhiều trang Khi doanh nghiệp xây dựng website nghĩa là đang xây dựng nhiều trang thông tin, catalog sản phẩm, dịch vụ Để tạo nên một website cần phải có 3 yếu tố cơ bản:

- Cần phải có tên miền (domain)

- Nơi lưu trữ Website (hosting)

- Nội dung các trang thông tin

Một ứng dụng web thường có kiến trúc gồm:

Hình 1 2: Kiến trúc một ứng dụng Website

1.2.2 Cách thức hoạt động

Mô hình hoạt động của ứng dụng Website:

Hình 1 3: Mô hình hoạt động của ứng dụng Website

Trong đó:

- Trình khách (hay còn gọi là trình duyệt): Internet Explorer, FireFox, Chrome

- Trình chủ: Apache, IIS, …

- Hệ quản trị cơ sở dữ liệu: SQL Server, MySQL, DB2, Access…

Bên cạnh đó, một giải pháp dùng để bảo vệ một hệ thống mạng thường được sử dụng là bức tường lửa, nó có vai trò như là lớp rào chắn bên ngoài một hệ thống mạng, vì chức năng chính của firewall là kiểm soát luồng thông tin giữa các máy tính Có thể xem firewall như một

bộ lọc thông tin, nó xác định và cho phép một máy tính này có được truy xuất đến một máy tính khác hay không, hay một mạng này có được truy xuất đến mạng kia hay không

Người ta thường dùng firewall vào mục đích:

- Cho phép hoặc cấm những dịch vụ truy xuất ra ngoài

- Cho phép hoặc cấm những dịch vụ từ bên ngoài truy nhập vào trong

- Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập

Firewall hoạt động dựa trên gói IP do đó kiểm soát việc truy nhập của máy người sử dụng Đầu tiên trình duyệt sẽ gửi một yêu cầu (request) đến trình chủ Website thông qua các lệnh

cơ bản GET, POST… của giao thức HTTP, trình chủ lúc này có thể cho thực thi một chương trình được xây dựng từ nhiều ngôn ngữ như Perl, C/C++… hoặc trình chủ yêu cầu bộ diễn dịch

thực thi các trang ASP, JSP… theo yêu cầu của trình khách

Tùy theo các tác vụ của chương trình được cài đặt mà nó xử lý, tính toán, kết nối đến cơ

sở dữ liệu, lưu các thông tin do trình khách gửi đến…và từ đó trả về cho trình khách 1 luồng dữ liệu có định dạng theo giao thức HTTP, nó gồm 2 phần:

- Header mô tả các thông tin về gói dữ liệu và các thuộc tính, trạng thái trao đổi giữa trình duyệt và WebServer

- Body là phần nội dung dữ liệu mà Server gửi về Client, nó có thể là một file HTML, một hình ảnh, một đoạn phim hay một văn bản bất kì

Theo mô hình ở hình 1.3 với firewall, luồng thông tin giữa trình chủ và trình khách là luồng thông tin hợp lệ Vì thế nếu hacker tìm thấy vài lỗ hổng trong ứng dụng Website thì firewall không còn hữu dụng trong việc ngăn chặn hacker này Do đó, các kĩ thuật tấn công vào một hệ thống mạng ngày nay đang dần tập trung vào những sơ suất (hay lỗ hổng) trong quá trình tạo ứng dụng của những nhà phát triển Website hơn là tấn công trực tiếp vào hệ thống mạng, hệ điều hành Tuy nhiên, hacker cũng có thể lợi dụng các lỗ hổng Web để mở rộng sự tấn công của mình vào các hệ thống không liên quan khác

1.2.3 Các dịch vụ và ứng dụng trên nền Website

Với công nghệ hiện nay, Website không chỉ đơn giản là một trang tin cung cấp các tin bài đơn giản Những ứng dụng viết trên nền Website không chỉ được gọi là một phần của Website nữa, giờ đây chúng được gọi là phần mềm viết trên nền Website

Có rất nhiều phần mềm chạy trên nền Website như Google word (xử lý văn bản), Google spreadsheets (xử lý bảng tính), Email,…

Một số ưu điểm của phần mềm hay ứng dụng chạy trên nền web:

 Mọi người đều có trình duyệt và chúng ta chỉ cần trình duyệt để chạy phần mềm

 Phần mềm luôn luôn được cập nhật vì chúng chạy trên server

 Luôn sẵn sàng 24/7

 Dễ dàng backup dữ liệu thường xuyên

 Có thể truy cập mọi lúc, mọi nơi, chỉ cần có Internet

 Chi phí triển khai rẻ hơn nhiều so với phần mềm chạy trên desktop

1.3 Tổng quan về an ninh mạng

1.3.1 Khái niệm về an toàn và an ninh mạng

Trong quá khứ, an ninh thông tin là một thuật ngữ được sử dụng để mô tả các biện pháp bảo mật vật lý được sử dụng để giữ cho chính phủ hay doanh nghiệp những thông tin quan trọng khỏi bị truy cập bởi công chúng và để bảo vệ nó chống lại thay đổi hoặc tiêu hủy Những biện pháp này bao gồm lưu trữ tài liệu có giá trị trong tủ hồ sơ đã bị khóa hoặc két và hạn chế truy cập vật lý đến các khu vực nơi mà các tài liệu đã được lưu giữ Với sự phổ biến của máy tính và các phương tiện truyền thông điện tử, cách truy cập dữ liệu cũ thay đổi Khi công nghệ tiếp tục phát triển, hệ thống máy tính được kết nối với nhau để tạo thành mạng máy tính, cho phép các

hệ thống chia sẻ tài nguyên, bao gồm cả dữ liệu

Các mạng máy tính cuối cùng, mà hầu hết các kết nối mạng máy tính truy cập công cộng,

là Internet Mặc dù các phương pháp bảo vệ dữ liệu đã thay đổi đáng kể, khái niệm về an ninh mạng vẫn giống như là các thông tin bảo mật.[11]

Bởi vì máy tính có thể thu hồi, và số tiền quá lớn của dữ liệu, chúng được sử dụng trong gần như mọi khía cạnh của cuộc sống Máy vi tính, mạng, và Internet là một phần không thể thiếu của nhiều doanh nghiệp Sự phụ thuộc của chúng trên các máy tính tiếp tục tăng khi các doanh nghiệp và cá nhân trở nên thoải mái hơn với công nghệ và tiến bộ công nghệ như là làm cho hệ thống thân thiện với người dùng hơn và dễ dàng hơn để kết nối

Một hệ thống máy tính duy nhất yêu cầu các công cụ tự động để bảo vệ dữ liệu trên hệ thống từ những người dùng có quyền truy cập hệ thống Một hệ thống máy tính trên mạng (một

hệ thống phân phối) đòi hỏi rằng dữ liệu vào hệ thống đó được bảo vệ không chỉ từ truy cập địa phương mà còn từ các truy cập từ xa trái phép và từ chặn hoặc thay đổi dữ liệu trong quá trình truyền giữa các hệ thống An ninh mạng không phải là một sản phẩm, quy trình, hay chính sách

mà là sự kết hợp của các sản phẩm và quy trình có hỗ trợ một chính sách quy định Mạng lưới

an ninh được thực hiện của các thiết bị an ninh, chính sách và quy trình để ngăn chặn truy cập trái phép vào tài nguyên mạng, thay đổi hoặc hủy hoại tài nguyên hoặc dữ liệu

1.3.2 Sự cần thiết phải bảo vệ thông tin

Trong một doanh nghiệp hay một tổ chức nào đó, thì phải có các yếu tố cần được bảo

vệ như:

- Dữ liệu

- Tài nguyên: con người, hệ thống và đường truyền

- Danh tiếng của công ty

Nếu không đặt vấn đề an toàn thông tin lên hàng đầu thì khi gặp phải sự cố thì tác hại đến doanh nghiệp không nhỏ:

- Tốn kém chi phí

- Tốn kém thời gian

- Ảnh hưởng đến tài nguyên hệ thống

- Ảnh hưởng đến danh dự, uy tín của doanh nghiệp

- Mất cơ hội kinh doanh

1.4 Các thuật ngữ liên quan

1.4.1 Hacker

Hacker là một thuật ngữ dùng để chuyên chỉ những kẻ phá hoại các hệ thống mạng Hacker thường là những chuyên gia về máy tính Hacker không tạo ra các kẽ hở cho hệ thống, nhưng Hacker lại là những người am hiểu về hệ điều hành, hệ quản trị dữ liệu, các ngôn ngữ lập trình…Họ sử dụng kiến thức của mình trong việc tìm tòi và khai thác các lỗ hổng của hệ thống mạng Một số Hacker chỉ dừng lại việc phát hiện và thông báo lỗi tìm được cho những nhà bảo mật hay người phát triển chương trình, họ được xem như là WhiteHat (Hacker nón trắng) Một

số hacker dựa vào những lỗ hổng thực hiện việc khai thác trái phép nhằm mục đích phá hoại hay mưu lợi riêng, những người này bị xem như là BlackHat (Hacker mũ đen)

Vì tính chất phổ biến của thuật ngữ hacker, nên trong phần trình bày, luận văn sẽ sử dụng

“hacker” thay cho “kẻ tấn công”

1.4.2 HTTP Header

HTTP header là phần đầu (header) của thông tin mà trình khách và trình chủ gửi cho nhau Những thông tin trình khách gửi cho trình chủ được gọi là HTTP requests (yêu cầu) còn trình chủ gửi cho trình khách là HTTP responses (trả lời) Thông thường, một HTTP header gồm nhiều dòng, mỗi dòng chứa tên tham số và giá trị Một số tham số có thể được dùng trong cả header yêu cầu và header trả lời, còn số khác thì chỉ được dùng riêng trong từng loại Ví dụ:

• Header yêu cầu:

o Dòng đầu là dòng yêu cầu cho biết phương thức yêu cầu (GET hoặc POST), địa chỉ yêu cầu (/tintuc/homnay.asp) và phiên bản HTTP (HTTP/1.1)

o Tiếp theo là các tham số Chẳng hạn như:

+ Accept-Language: Cho biết ngôn ngữ dùng trong trang web

+ Host: Cho biết địa chỉ của máy chủ

+ Referer: Cho biết địa chỉ của trang web tham chiếu tới

o Header của HTTP request sẽ kết thúc bằng một dòng trống

User-Agent: Mozilla/4.0 (compatible; MSIE 5.5;

Windows NT 5.0) Accept-Encoding: gzip, deflate

o Dòng đầu là dòng trạng thái, để cho biết phiên bản HTTP được dùng (HTTP/1.1), mã trạng thái (200) và trạng thái (OK)

o Tiếp theo là các tham số

o Tiếp theo là một dòng trống để báo hiệu kết thúc header, tiếp theo là phần thân của HTTP response

1.4.3 Session

HTTP là giao thức hướng đối tượng tổng quát, phi trạng thái, nghĩa là HTTP không lưu trữ trạng thái làm việc giữa trình duyệt với trình chủ Sự thiếu sót này gây khó khăn cho một số ứng dụng Website, bởi vì trình chủ không biết được trước đó trình duyệt đã có những trạng thái nào

Vì thế, để giải quyết vấn đề này, ứng dụng Website đưa ra một khái niệm phiên làm việc (Session) Còn SessionID là một chuỗi để chứng thực phiên làm việc Một số trình chủ sẽ cung cấp một SessionID cho người dùng khi họ xem trang Website trên trình chủ

Để duy trì phiên làm việc thì sessionID thường được lưu vào:

+ Biến trên URL

hình qui định tại trình chủ hoặc bởi ứng dụng thực thi Trình chủ sẽ tự động giải phóng phiên làm việc để khôi phục lại tài nguyên của hệ thống

Ở những lần truy cập sau đến trang Website đó, ứng dụng có thể dùng lại những thông tin trong cookie (như thông tin liên quan đến việc đăng nhập vào Yahoo Messenger ) mà người dùng không phải làm lại thao tác đăng nhập hay phải cung cấp lại các thông tin khác

Cookie được phân làm 2 loại secure/non-secure và persistent/non persistent do đó ta sẽ có

Persistent cookies được lưu trữ dưới dạng tập tin txt (ví dụ trình duyệt Netscape Navigator

sẽ lưu các cookie thành một tập tin cookie.txt còn Internet Explorer sẽ lưu thành nhiều tập tin

*.txt trong đó mỗi tập tin là một cookie) trên máy khách trong một khoảng thời gian xác định

- Non-persistent cookie thì được lưu trữ trên bộ nhớ RAM của máy khách và sẽ bị hủy khi đóng trang web hay nhận được lệnh hủy từ trang web

- Secure cookies chỉ có thể được gửi thông qua HTTPS (SSL)

- Non-Secure cookie có thể được gửi bằng cả hai giao thức HTTPS hay HTTP Thực chất

là đối với secure cookie thì trình chủ sẽ cung cấp chế độ truyền bảo mật

Domain Flag Path Secure Expiration Name Value

018996349247

480

o Domain: Tên miền của trang web đã tạo cookie (trong ví dụ trên là www.redhat.com)

o Flag: mang giá trị TRUE/FALSE - Xác định các máy khác với cùng tên miền có được truy xuất đến cookie hay không

o Path: Phạm vi các địa chỉ có thể truy xuất cookie Ví dụ: Nếu path là “/tracuu” thì các địa chỉ trong thư mục /tracuu cũng như tất cả các thư mục con của nó như /tracuu/baomat có thể truy xuất đến cookie này Còn nếu giá trị là “/” thì cookie sẽ được truy xuất bởi tất cả địa chỉ thuộc miền trang web tạo cookie

o Sercure: mang giá trị TRUE/FALSE - Xác định đây là một secure cookie hay không nghĩa là kết nối có sử dụng SSL hay không

o Expiration: thời gian hết hạn của cookie, được tính bằng giây kể từ 00:00:00 giờ GMT ngày 01/01/1970 Nếu giá trị này không được thiết lập thì trình duyệt sẽ hiểu đây là non-persistent cookie và chỉ lưu trong bộ nhớ RAM và sẽ xoá nó khi trình duyệt bị đóng

o Name: Tên biến (trong trường hợp này là Apache)

o Value: Với cookie được tạo ở trên thì giá trị của Apache là 64.3.40.151.16018996349247480 và ngày hết hạn là 27/07/2006, của tên miền [16]

1.4.5 Proxy

Proxy cung cấp cho người sử dụng truy xuất Internet những nghi thức đặc biệt hoặc một tập những nghi thức thực thi trên dual_homed host hoặc basion host Những chương trình client của người sử dụng sẽ qua trung gian proxy server thay thế cho server thật sự mà người sử dụng cần giao tiếp

Proxy server xác định những yêu cầu từ client và quyết định đáp ứng hay không đáp ứng, nếu yêu cầu được đáp ứng, proxy server sẽ kết nối với server thật thay cho client và tiếp tục chuyển tiếp những yêu cầu từ client đến server, cũng như trả lời của server đến client Vì vậy proxy server giống cầu nối trung gian giữa server và client

CHƯƠNG 2 CÁC LOẠI TẤN CÔNG WEB PHỔ BIẾN 2.1 Đặc trưng của các Website thương mại điện tử

Các Website thương mại điện tử là các Website thương mại được công nghệ hóa và đưa lên môi trường internet Thay vì trước đây việc giao dịch mua bán sẽ diễn ra ngoài đời thực thì bây giao dịch đó sẽ diễn ra trên môi trường internet qua nền tảng hoặc website

Đặc điểm của thương mại điện tử

Thương mại điện tử hiện nay được cụ thể hóa là các sàn giao dịch thương mại điện tử vì thế nó có những đặc điểm sau:

 Thương mại điện tử cho phép chúng ta có sự trao đổi hàng hóa, dịch vụ, sản phẩm, thông tin và tiền tệ thông qua mạng internet hoặc các phương tiện điện tử khác có kết nối mạng

 Thương mại điện tử có khả năng cắt giảm chi phí và nâng cao hiệu quả đối vối các quá trình sản xuất kinh doanh hoạt động của hầu hết các doanh nghiệp, tổ chức hiện nay

 Thương mại điện tử có thể áp dụng ngay vào các ngành dịch vụ khác như chính phủ điện tử, đào tạo trực tuyến, du lịch,…

 Khi công nghệ thông tin và khoa học kỹ thuật phát triển, khả năng liên kết và chia

sẻ thông tin giữa doanh nghiệp, nhà cung cấp, nhà phân phối và khách hàng góp phần nâng cao hiệu quả hoạt động kinh doanh, bán hàng

 Có sự phân biệt tuyệt đối giữa thương mại điện tử và kinh doanh điện tử hay kinh doanh online: Thương mại điện tử tập trung vào mua bán và trao đổi hàng hóa, dịch

vụ, thông tin qua các mạng, các phương tiện điện tử và Internet Kinh doanh điện

tử tập trung vào sự phối hợp các doanh nghiệp, đối tác, khách hàng và tổ chức các hoạt động trong nội bộ doanh nghiệp

 Sự phát triển của thương mại điện tử gắn liền với và có sự tác động qua lại với sự phát triển của công nghệ thông tin và truyền thông Cũng nhờ sự sự phát triển của công nghệ thông tin và truyền thông mà thương mại điện tử có cơ hội ra đời và phát triển Tuy nhiên, sự phát triển của thương mại điện tử cung thúc đẩy và gợi mở nhiều lĩnh vực của công nghệ thông tin như phần cứng và phần mềm chuyên dùng

cho các ứng dụng thương mại điện tử, thanh toán điện tử

2.2 Tổng quan về Local Attack

2.2.1 Giới thiệu về Local Attack

Local attack là một trong những kiểu hack rất phổ biến và không được khuyên dùng Đối với một web server thông thường khi chúng ta đăng ký một tài khoản trên server nào đó, chúng

ta sẽ được cấp một tài khoản trên server đó và một thư mục để quản lý website Ví dụ: tenserver/tentaikhoancuaban Tương tự như vậy, cũng có một tài khoản của người dùng khác: tenserver/taikhoan1 Giả sử taikhoan1 bị hacker chiếm được thì hacker có thể dùng các thủ thuật, các đoạn mã lệnh để truy cập sang thư mục chứa website của chúng ta Theo cách này hacker

có thể tấn công sang các website của người dùng khác và có thể lấy thông tin admin, database, các thông tin bảo mật khác hoặc chèn các đoạn mã độc vào trang index của website chúng ta Dạng tấn công trên gọi là Local Attack.[13]

Thông thường, Local Attack được sử dụng để lấy thông tin config từ người bị hại, sau đó dựa vào thông tin ở config và mục đích của hacker để phá hoại website

2.2.2 Phương thức tấn công Local Attack

Để thực hiện tấn công Local Attack, tùy theo cách thức của hacker mà có những cách Local khác nhau Thông thường thì các hacker sử dụng các đoạn lệnh để tấn công vào cơ sở dữ liệu

a Chuẩn bị

- Trước tiên phải có PHP/ASP/CGI backdoor trên server Backdoor có rất nhiều loại khác nhau nhưng phổ biến nhất là phpRemoteView (thường được gọi là remview) R57Shell, CGITelnet, C99, …

b Tiến hành Attack

- Sau khi shell được upload lên một server, việc tiếp theo là cần tìm các website cùng server đã up shell lên, thông thường các hacker thường sử dụng Reverse Ip domain mà hacker

đã upload shell để xem các website cùng server

- Sau khi tìm được danh sách website, lần lượt check xem site nào bị lỗi và có thể local sang được

- Các lệnh thường dùng để Local Attack xem tên domain trên cùng một host: ls -la /etc/valiases hoặc cd /etc/vdomainaliases; ls –lia

Trường hợp đặc biệt khi không thể xem user nằm cùng host thì ta thêm && vào cd /etc/vdomainaliases && ls –lia

- Muốn biết tên user thì dùng lệnh: cat /etc/passwd/ hoặc less /etc/passwd

Local sang website khác, ví dụ hiện tại shell chúng ta đang ở: /home/abcd/public_html/ thì chúng ta sẽ local sang như sau: dir home/tên user cần local/public_html

- Muốn biết tên user cần local sang thì chúng ta sử dụng Reverse Ip để lấy danh sách user trên cùng một server Muốn biết user đó có tồn tại hay không chúng ta mở trình duyệt web lên và đánh đoạn: Ip của server/~ tên user Nếu trình duyệt hiện lên trang index của website thì tức là user đó tồn tại

Một số lệnh shell thông dụng được sử dụng:

- pwd: đưa ra ngoài màn hình thư mục đang hoạt động (ví dụ: /etc/ssh)

- cd: thay đổi thư mục (ví dụ: cd – ra một cấp thư mục hiện tại; cd vidu – vào thư mục

/vidu)

- ls: đưa ra danh sách nội dung thư mục

- mkdir: tạo thư mục mới (mkdir tên_thumuc)

- touch: tạo file mới (touch ten_file)

- rmdir: bỏ một thư mục (rmdir ten_thumuc)

- cp: copy file hoặc thư mục (cp file_nguồn file_đích)

- mv: di chuyển file hoặc thư mục; cũng được dùng để đặt lại tên file hoặc thư mục (mv

vị_trí_cũ vị_trí_mới hoặc mv tên_cũ tên_mới)

- rm: loại bỏ file (rm tên_file)

- Để tìm kiếm file, có thể dùng: - find: dùng cho các tên file

- grep <>: để tìm nội dung trong file

- ps: hiển thị các chương trình hiện thời đang chạy (rất hữu ích: ps là cái nhìn toàn bộ

về tất cả các chương trình) Trong danh sách đưa ra khi thực hiện lệnh ps, chúng ta sẽ thấy có

số PID (Process identification - nhân dạng tiến trình)

- passwd: cho phép thay đổi mật khẩu (password người dùng sở hữu mật khẩu hoặc tên

người dùng khác nếu đăng nhập hệ thống với vai trò root)

- useradd: cho phép thêm người dùng mới

2.3 Tấn công từ chối dịch vụ (denial of service)

2.3.1 DOS (Denial of Service)

a Giới thiệu về DoS

DoS (Denial of Service) có thể mô tả như hành động ngăn cản những người dùng hợp pháp của một dịch vụ nào đó truy cập và sử dụng dịch vụ đó Nó bao gồm cả việc làm mất kết nối với dịch vụ… mà mục đích cuối cùng là làm cho server không thể đáp ứng được các yêu cầu sử dụng dịch vụ từ các client DoS sẽ chiếm dụng một lượng lớn tài nguyên mạng như băng thông,

bộ nhớ và gây ngưng hoạt động của một máy tính, một mạng nội bộ, thậm chí cả một hệ thống mạng rất lớn

b Các cách thức tấn công

- Phá hoại dựa trên tính giới hạn hoặc không thể phục hồi của tài nguyên mạng thông qua kết nối: Tấn công kiểu SYN flood:

FPRIVATE "TYPE=PICT; ALT="

Dựa trên cách thức hoạt động của TCP/IP, hacker thiết lập một kết nối TPC/IP nhằm tấn công nhưng sẽ phá vỡ kết nối ngay sau khi quá trình SYN và SYN ACK hoàn tất, khiến cho mục tiêu rơi vào trạng thái chờ (đợi gói tin ACK từ phía yêu cầu thiết lập kết nối) và liên tục gửi gói tin SYN ACK để thiết lập kết nối Một cách khác là giả mạo địa chỉ IP nguồn của gói tin yêu cầu thiết lập kết nối SYN và cũng như trường hợp trên, máy tính đích cũng rơi vào trạng thái chờ vì các gói tin SYN ACK không thể đi đến đích do địa chỉ IP nguồn là không có thật Cách thức này có thể được các hacker áp dụng để tấn công một hệ thống mạng có băng thông lớn hơn hệ thống của hacker

- Lợi dụng nguồn tài nguyên của chính nạn nhân để tấn công:

Tấn công kiểu Land Attack: cũng tương tự như SYN flood nhưng hacker sử dụng chính IP của mục tiêu cần tấn công để dùng làm địa chỉ IP nguồn trong gói tin, đẩy mục tiêu vào một vòng lặp vô tận khi cố gắng thiết lập kết nối với chính nó Tấn công kiểu UDP flood: hacker gửi gói tin UDP echo với địa chỉ IP nguồn là cổng loopback của chính mục tiêu cần tấn công hoặc của một máy tính trong cùng mạng với mục tiêu qua cổng UDP echo (port 7) để thiết lập việc gửi và nhận các gói tin echo trên 2 máy tính (hoặc giữa mục tiêu với chính nó nếu mục tiêu có cấu hình cổng loopback) khiến cho 2 máy tính này dần dần sử dụng hết băng thông của chúng và cản trở hoạt động chia sẻ tài nguyên mạng của các máy tính khác trong mạng

- Sử dụng các nguồn tài nguyên khác:

Kẻ tấn công lợi dụng các nguồn tài nguyên mà nạn nhân cần đến để tấn công Những kẻ tấn công có thể thay đổi dữ liệu và tự sao chép dữ liệu mà nạn nhân cần lên nhiều lần làm CPU

bị quá tải và các quá trình xử lý dữ liệu bị đình trệ

2.3.2 DDoS (Distributed Denial of Service)

Distributed Denial of Service (DDoS) là kỹ thuật tấn công làm các ISP lo âu, giới hacker chính thống thì không công nhận DDoS là kỹ thuật tấn công chính thống Thế nhưng Black hat đang có rất nhiều ưu thế khi triển khai tấn công bằng kỹ thuật DDoS Việc phòng ngừa và ngăn chặn DDoS vẫn còn đang thực hiện ở mức độ khắc phục hậu quả và truy tìm thủ phạm

a Các giai đoạn của một cuộc tấn công kiểu DDoS

Bao gồm 3 giai đoạn:

Giai đoạn chuẩn bị:

- Chuẩn bị công cụ quan trọng của cuộc tấn công, công cụ này thông thường hoạt động

theo mô hình client-server Hacker có thể viết phần mềm này hay download một cách dễ dàng,

theo thống kê tạm thời có khoảng hơn 10 công cụ DDoS được cung cấp miễn phí trên mạng

- Kế tiếp, dùng các kỹ thuật hack khác để nắm trọn quyền một số host trên mạng Tiến hành cài đặt các software cần thiết trên các host này, việc cấu hình và thử nghiệm toàn bộ attack-netword (bao gồm mạng lưới các máy đã bị lợi dụng cùng với các software đã được thiết lập trên đó, máy của hacker hoặc một số máy khác đã được thiết lập như điểm phát động tấn công) cũng sẽ được thực hiện trong giai đoạn này

Giai đoạn xác định mục tiêu và thời điểm:

- Sau khi xác định mục tiêu lấn cuối, hacker sẽ có hoạt động điều chỉnh attack-network

chuyển hướng tấn công về phía mục tiêu

- Yếu tố thời điểm sẽ quyết định mức độ thiệt hại và tốc độ đáp ứng của mục tiêu đối

với cuộc tấn công

Phát động tấn công và xóa dấu vết:

- Đúng thời điểm đã định, hacker phát động tấn công từ máy của mình, lệnh tấn công

này có thể đi qua nhiều cấp mới đến host thực sự tấn công Toàn bộ attack-network (có thể lên đến hàng ngàn máy), sẽ vắt cạn năng lực của server mục tiêu liên tục, ngăn chặn không cho nó hoạt động như thiết kế

- Sau một khoảng thời gian tấn công thích hợp, hacker tiến hành xóa mọi dấu vết có thể truy ngược đến mình, việc này đòi hỏi trình độ khá cao và không tuyệt đối cần thiết

b Kiến trúc tổng quan của DDoS attack-network

Nhìn chung DDoS attack-network có hai mô hình chính:

- Mô hình Agent – Handler

- Mô hình IRC – Based

Hình 2 1: Sơ đồ chính phân loại mô hình tấn công DDoS

- Mô hình Agent – Handler:

Theo mô hình này, attack-network gồm 3 thành phần: Agent, Client và Handler

- Client: là software cơ sở để hacker điều khiển mọi hoạt động của attack-network

- Handler: là một thành phần software trung gian giữa Agent và Client

- Agent: là thành phần software thực hiện sự tấn công mục tiêu, nhận điều khiển từ Client thông qua các Handler

Hình 2 2: Kiến trúc attack-network kiểu Agent – Handler

- Attacker sẽ từ Client giao tiếp với cc1 Handler để xác định số lượng Agent đang online, điều chỉnh thời điểm tấn công và cập nhật các Agent Tùy theo cách attacker cấu hình attack-network, các Agent sẽ chịu sự quản lý của một hay nhiều Handler

- Thông thường Attacker sẽ đặt Handler software trên một Router hay một server có lượng traffic lưu thông nhiều Việc này nhằm làm cho các giao tiếp giữa Client, handler và Agent khó bị phát hiện Các giao tiếp này thông thường xảy ra trên các protocol TCP, UDP hay ICMP

Chủ nhân thực sự của các Agent thông thường không hề hay biết họ bị lợi dụng vào cuộc tấn

công kiểu DDoS, do họ không đủ kiến thức hoặc các chương trình Backdoor Agent chỉ sử dụng

rất ít tài nguyên hệ thống làm cho hầu như không thể thấy ảnh hưởng gì đến hiệu năng của hệ

thống

c Mô hình IRC – Based

- Internet Relay Chat (IRC) là một hệ thống online chat multiuser, IRC cho phép User

tạo một kết nối đến multipoint đến nhiều user khác và chat thời gian thực Kiến trúc của IRC

network bao gồm nhiều IRC server trên khắp Internet, giao tiếp với nhau trên nhiều kênh

(channel) IRC network cho phép user tạo ba loại channel: public, private và serect

+ Public channel: Cho phép user của channel đó thấy IRC name và nhận được message

của mọi user khác trên cùng channel

+ Private channel: được thiết kế để giao tiếp với các đối tượng cho phép Không cho

phép các user không cùng channel thấy IRC name và message trên channel Tuy nhiên, nếu user

ngoài channel dùng một số lệnh channel locator thì có thể biết được sự tồn tại của private channel

đó

+ Secrect channel: tương tự private channel nhưng không thể xác định bằng channel

locator

Hình 2 3: Kiến trúc attack-network của kiểu IRC-Base

- IRC – Based network cũng tương tự như Agent – Handler network nhưng mô hình này

sử dụng các kênh giao tiếp IRC làm phương tiện giao tiếp giữa Client và Agent (không sử dụng Handler) Sử dụng mô hình này, attacker còn có thêm một số lợi thế khác như:

+ Các giao tiếp dưới dạng chat message làm cho việc phát hiện chúng là vô cùng khó khăn

+ IRC traffic có thể di chuyển trên mạng với số lượng lớn mà không bị nghi ngờ Không cần phải duy trì danh sách các Agent, hacker chỉ cần logon vào IRC server là đã có thể nhận được report về trạng thái các Agent do các channel gửi về

Sau cùng: IRC cũng là một môi trường file sharing tạo điều kiện phát tán các Agent code lên nhiều máy khác

cơ sở dữ liệu như SQL Server, MySQL, Oracle, DB2, Sysbase.[12]

Hình thái chính của SQL Injection bao gồm việc chèn trực tiếp mã vào các tham số mà sẽ được ghép vào các câu lệnh SQL (quá trình này gọi là sinh truy vấn SQL động) để tạo thành truy vấn của ứng dụng gửi tới máy chủ database Một cách tấn công khác ít trực tiếp hơn, đó là chèn mã độc vào các xâu mà đích đến là việc lưu trữ trong các bảng hoặc từ điển dữ liệu (metadata) Khi các chuỗi đó được ghép vào các câu lệnh SQL thì đoạn mã đó sẽ được chạy Khi ứng dụng Web thất bại trong việc lọc các tham số đầu vào (được dùng làm nguyên liệu cho quá trình sinh SQL động), ngay cả khi dùng hình thức tham số hóa (parameterize) thì

kẻ tấn công có thể dễ dàng điều chỉnh quá trình xây dựng truy vấn SQL Một khi kẻ tấn công có thể thực hiện truy vấn SQL Injection, thì truy vấn SQL trái phép đó sẽ được thực hiện với quyền hợp pháp của người sở hữu ứng dụng, và thiệt hại gây ra sẽ tùy theo quyền hạn được cấp Lỗi SQL Injection bắt nguồn từ mã nguồn của ứng dụng web chứ không phải từ phía database, chính vì thế bất cứ thành phần nào của ứng dụng mà người dùng có thể tương tác được

để điều khiển nội dung (ví dụ: các form, tham số URL, cookie, tham số referrer, user-agent, ) đều có thể được sử dụng để tiến hành chèn truy vấn có hại

2.4.2 SQL Injection và vấn đề an ninh cơ sở dữ liệu

Trong báo cáo an ninh của các ứng dụng web gần đây được tổ chức Whitehat thống kê có

10 lỗi bảo mật nghiêm trọng nhất xuất hiện trên các website [17]