Đồ Án Nghiên cứu một số hình thức tấn công Website phổ biến và các giải pháp phòng chống

LỜI MỞ ĐẦU

Thế giới ngày nay đã có nhiều tiến bộ mạnh mẽ về công nghệ thông tin (CNTT) từ một tiềm năng thông tin đã trở thành một tài nguyên thực sự, trở thành sản phẩm hàng hoá trong xã hội tạo ra một sự thay đổi to lớn trong lực lượng sản xuất, cơ sở hạ tầng, cấu trúc kinh tế, tính chất lao động và cả cách thức quản lý trong các lĩnh vực của xã hội.
Trong những năm gần đây, Việt Nam ngày càng phát triển và nhất là về mặt công nghệ thông tin. Đặc biệt là về ứng dụng Website, hầu như mọi người ai cũng từng nghe và làm việc trên ứng dụng Website. Website trở nên phổ biến và trở thành một phần quan trọng của mọi người và nhất là các doanh nghiệp, công ty. Bên cạnh đó lý do an toàn bảo mật cho ứng dụng Website luôn là vấn đề nan giải của mọi người.
Với các lý do trên, em mạnh dạn đề xuất đề tài “Nghiên cứu một số hình thức tấn công Website phổ biến và các giải pháp phòng chống” để làm đồ án chuyên đề cho mình. Em thấy đây là đề tài mang tính thực tế cao, giúp cho các nhà quản trị Website có thể làm tốt hơn công việc của mình, cũng như đảm bảo an toàn thông tin cho doanh nghiệp, công ty. Đồng thời cũng giúp ích rất nhiều cho em trong các công việc sau này.
Nội dung đồ án gồm ba phần chính:
Chương 1: Tổng quan về bảo mật và ứng dụng Website.
Chương 2: Nghiên cứu các hình thức tấn công và giải pháp bảo mật Website.
Chương 3: Triển khai demo các hình thức tấn công và các giải pháp bảo mật.
Cuối cùng, em xin chân thành cảm ơn thầy Nguyễn Vũ đã tạo mọi điều kiện, giúp đỡ em có đủ khả năng để hoàn thành đồ án này.



MỤC LỤC
LỜI CÁM ƠN i
LỜI MỞ ĐẦU ii
DANH MỤC HÌNH ẢNH v
DANH MỤC TỪ VIẾT TẮT vi
CHƯƠNG I: TỔNG QUAN VỀ BẢO MẬT ỨNG DỤNG WEBSITE 1
1.1. Tổng quan về ứng dụng Website. 1
1.1.1. Khái niệm ứng dụng Website 1
1.1.2. Cách thức hoạt động 2
1.1.3. Các dịch vụ và ứng dụng trên nền Website 3
1.2. Tổng quan về an ninh mạng. 4
1.2.1 Khái niệm về an toàn và an ninh mạng 4
1.2.2 Sự cần thiết phải bảo vệ thông tin 5
1.3. Các thuật ngữ liên quan. 5
1.3.1. Hacker 5
1.3.2. Http Header 5
1.3.3. Session 7
1.3.4. Cookie 7
1.3.5. Proxy 9
CHƯƠNG II: NGHIÊN CỨU CÁC HÌNH THỨC TẤN CÔNG VÀ GIẢI PHÁP BẢO MẬT WEBSITE. 10
2.1 SQL Injection 10
2.1.1. Tìm hiểu về SQL Injection. 10
2.1.2 Cách Phòng Tránh SQL Injection 20
2.2 Local Attack 24
2.2.1. Tìm hiểu về Local Attack 24
2.2.2. Tấn công bằng Local Attack. 24
2.2.3. Phương pháp phòng chống Local Attack. 28
2.3. Cross Site Scripting (XSS) 34
2.3.1. Tìm hiểu về XSS. 34
2.3.2. Tấn công bằng XSS 34
2.3.3 Phương pháp phòng chống XSS 39
2.4. Tấn công từ chối dịch vụ 40
2.4.1. Tìm hiểu về DOS 40
2.4.2. Các kĩ thuật tấn công bằng DOS 41
2.4.3. Phương pháp phòng chống DOS, DDOS 45
CHƯƠNG III: TRIỂN KHAI CÁC PHƯƠNG PHÁP TẤN CÔNG VÀ GIẢI PHÁP BẢO MẬT WEBSITE. 47
3.1. SQL Injection 47
3.2. Local attack 52
KẾT LUẬN 54
TÀI LIỆU THAM KHẢO 57
DANH MỤC HÌNH ẢNH

Hình 1.1 Kiến trúc một ứng dụng Website 4
Hình 1.2 Mô hình hoạt động của ứng dụng Website. 5
Hình 2.1 Một công cụ tìm Lổi SQL Injection. 15
Hình 2.2 Một site bị lổi SQL Injection. 16
Hình 2.3 Quyền Chmod 33
Hình 2.4 Cách viết Action Script trong Flash. 43
Hình 2.5 Cơ chế thiết lập kết nối trước khi truyền số liệu 46
Hình 2.6 Tấn công DoS truyền thống 47
Hình 2.7 Kiểu tấn công DoS vào băng thông 48
Hình 2.9 Tấn công kiểu DRDoS 50
Hình 3.1 Công cụ Sql Poizon v1.1 52
Hình 3.2 Công cụ XCodeXploitScanner 52
Hình 3.3 Kiểm tra lỗi Sql Injection 53
Hình 3.4 Đếm số cột trong database 53
Hình 3.5 Tìm cột bị lỗi 54
Hình 3.6 Thông tin version php 54
Hình 3.7 Tên database 55
Hình 3.8 Hiển thị tất cả các table trong database 55
Hình 3.9 Hiển thị các column trong table users 57
Hình 3.10 Lấy thông tin của trường Username và Password 57
Hình 3.11 Thông tin Server 58
Hình 3.12 Thực thi lệnh trên Server 58
Hình 3.12 Thao tác với database 58
Hình 3.13 Lấy database 59
Hình 3.14 Xem tất cả user trên server (với server windown) 59
Hình 3.15 Sửa tập tin cấu hình của một trang web trên server 59


DANH MỤC TỪ VIẾT TẮT

IIS Internet Information Services
PHP Hypertext Preprocessor
HTTP HyperText Transfer Protocol
ASP Active Server Pages
XSS Cross Site Scripting
DOS Denial Of Service
SQL Structured Query Language
CGI Common Gateway Interface