Luận văn ThS: Phân tích tự động các Website để phát hiện lỗ hổng tiêm nhiễm SQL và XSS

1. Mở đầu

Theo thống kê trên Zone-h.org, trung bình mỗi ngày có hơn một triệu website bị tấn công, trong đó có hàng trăm website của Việt Nam. Thời gian gần đây liên tục xảy ra nhiều vụ tấn công mạng vào cơ quan chính phủ, cơ sở hạ tầng trọng yếu, tổ chức tài chính gây tổn thất về tài chính, bất ổn chính trị và làm ảnh hưởng cuộc sống của người dân. Trong các cuộc tấn công đó, lỗ hổng bị khai thác nhiều nhất là tiêm nhiễm SQL (SQLi, chiếm 15% các cuộc tấn công lỗ hổng an ninh web) và Cross-site scripting (XSS, chiếm 18%). Với các lỗ hổng này, tin tặc có thể dễ dàng tấn công, chiếm quyền điều khiển, truy cập vào các nguồn thông tin nhạy cảm, gồm cả thông tin cá nhân người dùng. Trên thế giới, nhiều tổ chức, cá nhân đã phát triển các phần mềm để phát hiện và khai thác lỗ hổng an ninh web như: Acunetix, SQLMap, Havij, BurpSuite, ZAP, XSSer, Nmap… Tuy nhiên, đa số các phần mềm này là sản phẩm thương mại, nếu là phiên bản miễn phí sẽ bị giới hạn nhiều tính năng, khó nâng cấp, bảo trì. Ngoài ra, các phần mềm chỉ thực hiện khai thác một lỗ hổng an ninh chuyên biệt hoặc chỉ chú trọng phát hiện lỗ hổng an ninh, chưa tập trung phần khai thác.

2. Nội dung

3. Kết luận

Qua một thời gian nghiên cứu, đƣợc sự giúp đỡ tận tình của giáo viên hƣớng dẫn, các đồng nghiệp, gia đình, đến nay luận văn “Phân tích tự động các Website để phát hiện lỗ hổng tiêm nhiễm SQL và XSS ” cơ bản đã đạt đƣợc các mục tiêu đề ra:

• Nghiên cứu các lỗ hổng an ninh ứng dụng web, phƣơng pháp khai thác lỗ hổng an ninh SQLi, XSS với từng loại cơ sở dữ liệu, cách thức bypass việc lọc các ký tự đầu vào do người lập trình thiết lập.
• Xây dựng phần mềm có các chức năng: crawler, phát hiện và khai thác lỗ hổng an ninh SQLi và XSS, dò quét các file nhạy cảm, đƣờng dẫn đăng nhập, brute force tài khoản đăng nhập FTP và RDP.
• Tiến hành xử lý song song, lập lịch có thể thực hiện dò quét nhiều mục tiêu đồng thời trên cả 05 chức năng là: crawler, dò quét SQLi, XSS, tìm file nhạy cảm, đường dẫn đăng nhập.
• Phần mềm này có khả năng phát hiện và khai thác tốt một số mục tiêu mà các phần mềm quét hiện tại không thực hiện được.

4. Tài liệu tham khảo

Lê Đình Duy (2013), Tấn công kiểu SQL injection-Tác hại và phòng tránh, Khoa CNTT-Trƣờng ĐH Khoa Học Tự Nhiên TP.HCM.

Võ Đỗ Thắng (2013), Tấn công và phòng thủ cho ứng dụng Web, Trung tâm An ninh mạng

Lwin Khin Shar, Hee Beng Kuan Tan (2012), Mining Input Sanitization Patterns for Predicting SQL Injection and Cross Site Scripting Vulnerabilities.

Dennis Appelt, Cu Duy Nguyen, Lionel C. Briand, Nadia Alshahwan (2014), Automated Testing for SQL Injection Vulnerabilities: An Input Mutation Approach.

Hossain Shahriar, Mohammad Zulkernine (2008), MUSIC: Mutationbased SQL Injection Vulnerability Checking...