Tiểu Luận Tìm hiểu một số lỗ hổng bảo mật của các dịch vụ Web

Tìm hiểu tấn công và phòng chống một số lỗ hổng bảo mật của các dịch vụ Web

Ngày nay, khi ngành công nghiệp máy tính đang lớn mạnh và trở nên thịnh hành, các ứng dụng của nó vào thực tế đang được triển khai rộng rãi thì cũng là lúc các vấn đề về “tội phạm tin học” phát triển mạnh mẽ.

Một trong các ứng dụng thịnh hành hiện nay là việc tạo các website phục vụ cho việc giao tiếp, quảng bá, kinh doanh của các công ty, cơ quan, đoàn thể. Tuy nhiên, việc phát triển một ứng dụng web với việc bảo mật web ở Việt Nam hiện nay vẫn chưa được đồng bộ cùng nhau. Người ta ít quan tâm tới các nguy cơ bị tấn công của các trang web, hoặc có chăng cũng chỉ là các biện pháp ngăn chặn không hiệu quả. Theo Symantec và các chuyên gia trong lĩnh vực an toàn thộng tin, tình trạng mất an toàn thông tin và số lượng các vụ tấn công ngày càng cao làm Việt Nam có nguy cơ trở thành ổ máy tính ma lớn trên thế giới. Ngày 12/5/2010, theo công bố của Symantec, Việt Nam xếp thứ 19, tăng 1 bậc so với năm 2009. Mức đe doạ mã độc xếp thứ 12 trong khi năm trước chỉ đứng ở vị trí 24; Hệ thống máy chủ bị lởi dụng để lừa đảo trực tuyến là 33 (năm 2009 là 42); Đe doạ về máy tính bị nhiễm phần mềm điều khiển của tin tặc xếp thứ 45 trong khi năm 2009 là thứ 51. Theo ông Nguyễn Minh Đức, giám độc bộ phận an ninh mạng BKIS, thực tế mức độ nghiêm trọng an toàn thông tin của Việt Nam năm 2010 có tăng tương đối so với năm 2009 cả về số lượng máy tính nhiễm virus, số lượng máy chủ, website bị tấn công. “Ngay như năm 2011, chỉ tính riêng tháng 5 đã có đến 200 vụ tấn công các website, bằng khoảng 1/5 so với cả năm 2010” – ông Đức dẫn chứng.

Vậy đâu là nguyên nhân của các cuộc tấn công vào các trang web? Việc quản lý lỏng lẻo cùng với

Làm cách nào để giảm thiểu tối đa khả năng tấn công của “cracker” vào trang web? Đó luôn là vấn đề của các nhà thiết kế, quản trị website. Biết rõ cớ chế hoạt động cũng như cách thức tấn công của cracker để có biện pháp ngăn ngừa là một việc làm cần thiết. Đó là lý do nhóm lựa chọn đề tài “Tìm hiểu một số lỗ hổng bảo mật thường gặp trên các ứng dụng web”





Mục lục

PHẦN I. TỔNG QUAN 3

Chương 1. Lý do lựa chọn đề tài 3

Chương 2. Nguyên lý hoạt động cơ bản của web 4

I. Nguyên tắc hoạt động của máy chủ web 4

II. Trang web động là gì? 5

III. Dịch vụ web 5

PHẦN II. MỘT SỐ LỖ HỒNG BẢO MẬT THƯỜNG GẶP 8

Chương 1. Cross Site Scripting (XSS) 8

IV. XSS là gì? 9

V. XSS hoạt động như thế nào? 9

VI. Tác hại của XSS 11

VII. Phân loại lỗi XSS 11

VIII. Phát hiện XSS bằng cách nào? 14

IX. Ngăn ngừa XSS như thế nào? 14

Chương 2. SQL injection 16

I. Tầm quan trọng của các câu lệnh SQL đối với hệ thống web 16

II. Sql Injection là gì? 16

III. Các dạng lỗi thường gặp 16

IV. Một số dạng tấn công thường gặp với các ứng dụng web 18

V. Tác hại của SQL Injection 21

VI. Chống tấn công kiểu SQL Injection 21

Chương 3. Một số lỗ hổng bảo mật khác 23

I. HTTP Response Splitting 23

II. Directory traversal 23

III. File Inclusion Attacks 23

PHẦN III. MỘT SỐ CÔNG CỤ HỖ TRỢ PHÁT HIỆN LỖI 25

I. Các phần mềm tìm lỗ hổng cho web: 25

II. Bkav WebScan - Dịch vụ quét lỗ hổng bảo mật an toàn Website trực tuyến dành cho Webmaster (theo http://bb.com.vn ) 25

Tài liệu tham khảo 26