Bảo mật trong ngôn ngữ web – phần I

Đăng ký ngay

Đăng ký ngay

Đây là đối tượng không thể thiếu khi trang web của bạn cần nhận thông tin từ người sử dụng. Tuy nhiên xét về khía cạnh bảo mật, các thành phần cho phép người dùng nhập thông tin lại là khởi đầu cho nguy cơ bị khai thác – hay nói cách khác là mục tiêu đầu tiên mà hacker nhắm đến. Ở các chương trình thiết kế không tốt, nếu thông tin nhận từ người dùng không phù hợp định dạng hoặc không như mong muốn chúng có thể tạo nên những kết quả khó lường. Chúng ta sẽ cùng phân tích một ví dụ đơn giản về một trang HTML có form cho phép nhập tên người dùng và mật khẩu, địa chỉ truy cập là http://www.sampleweb.com/login.html có nội dung như sau:

Hãy nhập thông tin đăng nhập vào trang quản trị:

Username:

Password:

Thuộc tính action dùng để chỉ định một ứng dụng web trên máy chủ cho đối tượng form có nhiệm vụ nhận, xử lý thông tin và trả kết quả về cho người dùng. Ví dụ: … Khi biết được tên chương trình, người ta có thể tìm hiểu thêm các thông tin có giá trị về web server, về thư mục hiện hành của chương trình.

Thử phân tích thuộc tính action trong ví dụ trên, trước hết ta có thể thấy trang web đăng nhập được đặt tại thư mục /admin trên thư mục gốc của website (web root) – nhiều nhà thiết kế web có thói quen đặt các tệp dữ liệu quan trọng như các tệp cơ sở dữ liệu, danh sách khách hàng… vào thư mục /admin hoặc /database và đặt tên rất dễ đoán, điều này sẽ tạo cơ hội cho hacker thử tài. Kế đến, ta biết được ngôn ngữ phía server sử dụng là ASP, từ đó có thể suy ra máy chủ sử dụng là IIS và hệ điều hành Windows Server. Với kinh nghiệm mày mò trên net, hacker có thể dễ dàng tìm được rất nhiều lỗ hổng bảo mật liên quan đến các máy chủ Windows IIS và ngôn ngữ ASP.

Kinh nghiệm phòng tránh:

Kết hợp với các phương pháp ở mức HTML form vừa đề cập, ở mức cần hạn chế tối đa việc chỉ định tường minh tên thư mục trên server như /admin… thay vào đó hãy tạo các thư mục ảo (virtual directory) trên web server và cài đặt cấu hình web server để chuyển hướng các yêu cầu đến URL cụ thể vào thư mục thật sự trên máy chủ. Ngoài ra, hãy cài đặt và sử dụng giao thức https khi gọi một ứng dụng web trên máy chủ, ví dụ . Điều này đảm bảo thông tin truyền đi trong yêu cầu được mã hóa và giảm thiểu khả năng bị khai thác.

3.

Phương thức của form, định nghĩa cách thức dùng để gửi thông tin người dùng nhập vào đến máy chủ web cho chương trình xử lý. Khi hiểu được cách thức gửi thông tin (POST, GET, PUT…), hacker có thể theo dõi và “bắt” các thông tin được gửi trên mạng, thậm chí có thể thay đổi chúng và gửi đi với giá trị khác để tạo ra những kết quả mà quản trị viên không mong muốn, đặc biệt là các thông tin liên quan đến quá trình đăng nhập vào trang web. Thực tế trên mạng có rất nhiều công cụ được tạo ra để phục vụ mục đích này, điển hình như Brutus-AET hoặc WebCracker có khả năng tạo tự động các yêu cầu GET hoặc PUT chứa username và password thử đăng nhập vào trang web từ một danh sách các username và password dạng từ điển có sẵn.

Trong các phương thức gửi yêu cầu đến ứng dụng trên server, POST và GET được sử dụng hầu hết ở các HTML form. Xét về mặt bảo mật, điểm khác biệt giữa 2 phương thức này ở cách thức hoạt động của chúng, POST request được đặt trong phần header của thông điệp HTML gửi đến server (xem lại phần bắt gói tin ở phần HTML form ở trên) do đó request này sẽ không được ghi lại (log) trên server và client, trong khi đó GET request sẽ được ghi lại vì các thông tin gửi đi được đặt ngay trên URL, ví dụ:

http://www.sampleweb.com/admin/login.asp?username=admin&password=
testpassword&%3Fuser_role%3F=1&%3Ftries%3F=3

Những yêu cầu đến ứng dụng web trên server thông qua phương thức GET sẽ được ghi lại ở các nơi sau:

Nhật kí truy cập (access log) của web server và proxy server

Vùng dữ liệu tạm (temporary cache và history) của trình duyệt phía người dùng

Nhật kí truy cập của các chương trình tường lửa (firewall) ở cả server và client.

Kinh nghiệm phòng tránh:

Việc lưu lại các thông tin và yêu cầu truy cập tạo điều kiện thuận lợi cho hacker dò tìm các thông tin nhạy cảm, do đó để hạn chế khả năng bị xem lén thông tin trên các log ta nên lưu ý như sau:

Tránh sử dụng phương thức GET trong HTML form, hãy sử dụng POST.

Ứng dụng web phía server được viết để nhận dữ liệu theo phương thức cụ thể nào (POST, GET, PUT…) cần kiểm tra yêu cầu nhận được có đúng được gửi theo phương thức được hỗ trợ không, nếu không cần thông báo lỗi cho người dùng. Điều này giúp tránh trường hợp hacker lợi dụng các công cụ “dò” web bằng cách thử liên tục các giá trị tên người dùng và mật khẩu thông qua các request dạng GET hoặc PUT.

4.

….

Như vậy, chỉ cần tạo 1 bản sao của trang web đăng nhập dùng chức năng View Source của browser và lưu lại trên đĩa, sau đó sửa lại nội dung ở các phần kiểm tra và địa chỉ trình thực thi trong HTML form thì hacker có thể gửi tên và mật khẩu với nội dung mong muốn đến web server mà không còn chịu sự kiểm tra ở mức client.

Kinh nghiệm phòng tránh:

Trong trường hợp này, ngoài việc kiểm tra ở phía client, trình thực thi cũng cần kiểm tra bổ sung ở phía server khi nhận được request. Ở ví dụ trên, trong trường hợp hacker cố tình sửa đổi trang đăng nhập để có thể gửi đi yêu cầu có mật khẩu chứa các kí tự đặc biệt ví dụ như “testor 1=1–” thì trang login.asp phía server cũng có thể lọc lại các giá trị không hợp lệ này và thông báo lỗi cho người dùng.

5. 

Thành phần textbox để người dùng nhập thông tin vào HTML form. Nếu ứng dụng web không xử lý tốt các thông tin nhập vào, hacker có thể lợi dụng nhập vào các giá trị đặc biệt đánh lừa hệ thống và tạo nên những kết quả không mong muốn. Dưới đây là một số kiểu khai thác thường được hacker sử dụng đối với đối tượng :

Truyền những giá trị đặc biệt yêu cầu hệ thống cơ sở dữ liệu thực thi lệnh khai thác dữ liệu. Ví dụ giá trị username và password dạng “testor 1=1–” dùng trong kĩ thuật SQL Injection (tham khảo bài viết về SQL Injection, TGVT A tháng 12/2002 – trang 96) giúp hacker dễ dàng đăng nhập dưới quyền cấp cao, từ đó có thể tiếp tục lợi dụng thực thi các lệnh hệ thống, điều khiển máy chủ.

Chèn script dạng Cross-site-scripting (CSS/XSS)

Ví dụ: http://www.testweb.com/input.asp?data=

hoặc: http://www.testweb.com/input.asp?data=

Hacker có thể lợi dụng dạng sơ hở này để lấy trộm cookies (thông tin người dùng và thông tin truy cập các trang web) của người dùng đang truy cập.

Khai thác lỗi tràn bộ đệm (Buffer over flow). Trong trường hợp ứng dụng web không kiểm tra chiều dài dữ liệu nhập, hacker có thể truyền vào một giá trị rất lớn (ví dụ 1 chuỗi chứa một triệu kí tự A) gây lỗi tràn bộ đệm phía server. Hậu quả có thể làm máy chủ ngừng hoạt động, thậm chí chạy những mã nguy hiểm do hacker đính kèm.

Kiểu đối tượng input không hiện trên trình duyệt. Một số trang web dùng đối tượng input với thuộc tính hidden để chứa giá trị mặc định như giá mua hàng ở các trang shopping hay gán quyền cho đối tượng dữ liệu. Mặc dù là kiểu ẩn (hidden), không hiện ra khi người sử dụng vào trang web, nhưng đối tượng dạng này không thật sự an toàn và có thể dễ dàng bị xem nội dung bằng thao tác xem mã nguồn (View > Source). Lợi dụng đặc điểm này, hacker có thể thay đổi giá trị này thành giá trị mong muốn và lặp lại thao tác gửi đến máy chủ web. Ở các trang web buôn bán, nếu không có những xử lý giá trị phía server, hacker có thể mua được những món hàng với giá giảm đáng kể hoặc không tốn đồng nào.

Thực tế cho thấy đã có một số trang web bị lợi dụng trường hợp này, nếu giả định role=1 là người dùng bình thường, role=0 là người quản trị (administrator) và nếu khi nhận được yêu cầu ứng dụng web phía server chỉ đơn giản mang những giá trị này so sánh với danh sách đặc quyền trong cơ sở dữ liệu và trích ra dữ liệu tương ứng với quyền đó thì một đối tượng nhập liệu mang giá trị định sẵn dạng:

hoàn toàn có thể bị thay đổi thành:

Và khi đăng nhập, người dùng đó nghiễm nhiên mang đặc quyền người quản trị.

>, >

Giá trị maxlength và size xác định chiều dài của giá trị nhập vào đối tượng input. Hacker có thể thay đổi giá trị maxlength cho phép nhập vào những giá trị hoặc chuỗi rất dài quá khả năng xử lý của ứng dụng phía server. Nếu không được xử lý thích hợp, chúng có thể gây nên những lỗi như tràn bộ đệm để thực thi các lệnh điều khiển hoặc thậm chí có thể làm ngừng hoạt động của máy chủ web.

Kinh nghiệm phòng tránh:

Tương tự như ở phần:

???Xem thêm thông tin: Ba cách phòng chống DDOS cho trang web của bạn – Lập Trình Viên Quốc Tế FPT Aptech

…

FPT Aptech – Hệ Thống Đào Tạo Lập Trình Viên Quốc Tế