• Downloading from our site will require you to have a paid membership. Upgrade to a Premium Membership from 10$ a month today!

    Dont forget read our Rules! Also anyone caught Sharing this content will be banned. By using this site you are agreeing to our rules so read them. Saying I did not know is simply not an excuse! You have been warned.

Các lỗi bảo mật website thường gặp

huongbtph

New Member
1. Broken Authentication
Đây là nhóm các vấn đề có thể xảy ra trong quá trình xác thực. Có một lời khuyên là không nên tự phát triển các giải pháp mã hóa vì rất khó có thể làm được chính xác.

Có rất nhiều rủi ro có thể gặp phải trong quá trình xác thực:

  • URL có thể chứa Session ID và rò rỉ nó trong Referer Header của người dùng khác.
  • Mật khẩu không được mã hóa hoặc dễ giải mã trong khi lưu trữ.
  • Lỗ hổng Session Fixation.
  • Tấn công Session Hijacking có thể xảy ra khi thời gian hét hạn của session không được triển khai đúng hoặc sử dụng HTTP (không bảo mật SSL)…
Cách ngăn chặn:

Cách đơn giản nhất để tránh lỗ hổng bảo mật web này là sử dụng một framework. Trong trường hợp bạn muốn tự tạo ra bộ xác thực hoặc mã hóa cho riêng mình, hãy nghĩ đến những rủi ro mà bạn sẽ gặp phải và tự cân nhắc kĩ trước khi thực hiện.

2. Lỗ hổng Injection
Injection là lỗ hổng xảy ra do sự thiếu sót trong việc lọc các dữ liệu đầu vào không đáng tin cậy. Khi bạn truyền các dữ liệu chưa được lọc tới Database (Ví dụ như lỗ hổng SQL injection), tới trình duyệt (lỗ hổng XSS), tới máy chủ LDAP (lỗ hổng LDAP Injection) hoặc tới bất cứ vị trí nào khác. Vấn đề là kẻ tấn công có thể chèn các đoạn mã độc để gây ra lộ lọt dữ liệu và chiếm quyền kiểm soát trình duyệt của khách hàng.

Mọi thông tin mà ứng dụng của bạn nhận được đều phải được lọc theo Whitelist. Bởi nếu bạn sử dụng Blacklist việc lọc thông tin sẽ rất dễ bị vượt qua (Bypass). Tính năng Pattern matching sẽ không hoạt động nếu thiết lập Blacklist.

Cách ngăn chặn:

Để chống lại lỗ hổng này chỉ “đơn giản” là vấn đề bạn đã lọc đầu vào đúng cách chưa hay việc bạn cân nhắc liệu một đầu vào có thể được tin cậy hay không. Về căn bản, tất cả các đầu vào đều phải được lọc và kiểm tra trừ trường hợp đầu vào đó chắc chắn đáng tin cậy.(Tuy nhiên việc cẩn thận kiểm tra tất cả các đầu vào là luôn luôn cần thiết).

3. Lỗ hổng XSS
Lỗ hổng XSS (Cross-scite Scripting) là một lỗ hổng rất phổ biến. Kẻ tấn công chèn các đoạn mã JavaScript vào ứng dụng web. Khi đầu vào này không được lọc, chúng sẽ được thực thi mã độc trên trình duyệt của người dùng. Kẻ tấn công có thể lấy được cookie của người dùng trên hệ thông hoặc lừa người dùng đến các trang web độc hại.

Cách ngăn chặn:

Có một cách bảo mật web đơn giản đó là không trả lại thẻ HTML cho người dùng. Điều này còn giúp chống lại HTML Injection – Một cuộc tấn công tương tự mà hacker tấn công vào nội dung HTML – không gây ảnh hưởng nghiêm trọng nhưng khá rắc rối cho người dùng. Thông thường cách giải quyết đơn giản chỉ là Encode (chuyển đổi vê dạng dữ liệu khác) tất cả các thẻ HTML. Ví dụ thẻ <script> được trả về dưới dạng <script&gt.

4. Security Misconfiguration
Trong thực tế, máy chủ website và các ứng dụng đa số bị cấu hình sai. Có lẽ do một vài sai sót như:

  • Chạy ứng dụng khi chế độ debug được bật.
  • Directory listing
  • Sử dụng phần mềm lỗi thời (WordPress plugin, PhpMyAdmin cũ)
  • Cài đặt các dịch vụ không cần thiết.
  • Không thay đổi default key hoặc mật khẩu
  • Trả về lỗi xử lý thông tin cho kẻ tấn công lợi dụng để tấn công, chẳng hạn như stack traces.
Cách ngăn chặn:

Có một quá trình xây dựng ứng dụng an toàn. Cần một quá trình audit lỗ hổng bảo mật trên máy chủ trước khi triển khai.

5. Insecure Direct Object References
Đây là trường hợp điển hình của việc cho rằng đầu vào của người dùng là tin cậy từ đó dẫn đến lỗ hổng bảo mật. Lỗ hổng này xảy ra khi chương trình cho phép người dùng truy cập các tài nguyên (dữ liệu, file, database). Nếu không thực hiện quá trình kiểm soát quyền hạn (hoặc quá trình này không hoàn chỉnh) kẻ tấn công có thể truy cập một cách bất hợp pháp vào các dữ liệu nhạy cảm, quan trọng trên máy chủ.

Cách ngăn chặn:

Thực hiện phân quyền người dùng đúng cách và nhất quán với sự áp dụng triệt để các Whitelist.

6. Sensitive data exposure
Lỗ hổng này thuộc về khía cạnh crypto và tài nguyên. Dữ liệu nhạy cảm phải được mã hóa mọi lúc, bao gồm cả khi gửi đi và khi lưu trữ – không được phép có ngoại lệ. Thông tin thẻ tín dụng và mật khẩu người dùng không bao giờ được gửi đi hoặc được lưu trữ không được mã hóa. Rõ ràng thuật toán mã hóa và hashing không phải là một cách bảo mật yếu. Ngoài ra, các tiêu chuẩn an ninh web đề nghị sử dụng AES (256 bit trở lên) và RSA (2048 bit trở lên).

Cần phải nói rằng các Session ID và dữ liệu nhạy cảm không nên được truyền trong các URL và cookie nhạy cảm nên có cờ an toàn.

Cách ngăn chặn:

  • Sử dụng HTTPS có chứng chỉ phù hợp và PFS (Perfect Forward Secrecy). Không nhận bất cứ thông tin gì trên các kết nối không phải là HTTPS. Có cờ an toàn trên cookie.
  • Bạn cần hạn chế các dữ liệu nhạy cảm có khả năng bị lộ của mình. Nếu bạn không cần những dữ liệu nhạy cảm này, hãy hủy nó. Dữ liệu bạn không có không thể bị đánh cắp.
  • Không bao giờ lưu trữ thông tin thẻ tín dụng, nếu không muốn phải đối phó với việc tuân thủ PCI. Hãy đăng ký một bộ xử lý thanh toán như Stripe hoặc Braintree.
  • Nếu bạn có dữ liệu nhạy cảm mà bạn thực sự cần, lưu trữ mã hóa nó và đảm bảo rằng tất cả các mật khẩu được sử dụng hàm Hash để bảo vệ. Đối với Hash, nên sử dụng bcrypt. Nếu bạn không sử dụng mã hoá bcrypt, hãy tìm hiểu về mã Salt để ngăn ngừa rainbow table attack.
Không lưu trữ các khóa mã hóa bên cạnh dữ liệu được bảo vệ. Việc này giống như khóa xe mà cắm chìa luôn ở đó. Bảo vệ bản sao lưu của bạn bằng mã hóa và đảm bảo các khóa của bạn là riêng tư.

7. Missing function level access control
Đây chỉ là sai sót trong vấn đề phân quyền. Nó có nghĩa là khi một hàm được gọi trên máy chủ, quá trình phân quyền không chính xác. Các nhà phát triển dựa vào thực tế là phía máy chủ tạo ra giao diện người dùng và họ nghĩ rằng khách hàng không thể truy cập các chức năng nếu không được cung cấp bởi máy chủ.

Tuy nhiên, kẻ tấn công luôn có thể yêu cầu các chức năng “ẩn” và sẽ không bị cản trở bởi việc giao diện người dùng không cho phép thực hiện các chức năng này. Hãy tưởng tượng trong giao diện người dùng chỉ có bảng điều khiển/admin và nút nếu người dùng thực sự là quản trị viên. Không có gì ngăn cản kẻ tấn công phát hiện ra những tính năng này và lạm dụng nó nếu không phân quyền.

Cách ngăn chặn:

Ở phía máy chủ, phải luôn được phân quyền một cách triệt để từ khâu thiết kế. Không có ngoại lệ – mọi lỗ hổng sẽ dẫn đến đủ các vấn đề nghiêm trọng.
 

Facebook Comments

Similar threads
Thread starter Title Forum Replies Date
C Các Bác Cho Em Hỏi Lỗi insert dữ liệu lên phpmyadmin PHP 2
P Lỗi Thread Prefixes mong các bạn giúp đỡ Vbulletin 11
Admin UC 9.0 mới, fix lỗi tất cả các bản cũ, load, tải nhanh Crack, hack, mod, ghép game, ứng dụng 0
Admin Hướng dẫn sửa lỗi phải nhập lại pass các tài khoản trên meego khi cài android Thủ thuật ĐTDĐ 1
H Share Cách khắc phục các lỗi khi kiểm tra w3c validator để seo tốt hơn Phpbb3x 0
Myshare Hướng dẫn Cách khắc phục các lỗi khi kiểm tra w3c validator để seo tốt hơn Thảo luận SEO 1
Admin Hướng dẫn khắc phục lỗi màn hình xanh trên windows 8 do xung đột với Avast (Các bản Avast download trước ngày Sử dụng, chia sẻ, hỏi đáp 1
Myshare Game pc Hướng dẫn sửa các lỗi hay gặp trên garena plus garena plus Thủ thuật máy tính 2
KhangSkull Help Style mobile lỗi mất các thẻ div Vbulletin 6
congtust24 Chi tiết và ý nghĩa tất cả các lỗi http (Show All HTTP Error Status Codes) Kiến thức lập trình 1
Admin [Hướng dẫn] Tự sửa các lỗi đơn giản trên máy in Thủ thuật máy tính 0
Admin Cách disable tất cả các plugin, mod để vào admincp trong trường hợp diễn đàn bị lỗi Vbulletin 9
zing4u.org [HELP]Các admin vào giúp mình sửa lỗi forum với :"> Mã nguồn wap 3
H Chia sẻ phần mềm giúp con học Online tại nhà hiệu quả cho các bậc phụ huynh Tin tức CNTT 0
H Phần mềm PC Phần mềm số một trong việc chặn các web đen, web game độc hại gây ảnh hưởng đến con trẻ Phần mềm 0
H Xin ý kiến các cao nhân Tin tức CNTT 0
tunglamed Các cách đổi esim MobiFone và cảnh báo lừa đảo chiếm đoạt sim thông qua đổi esim Thông tin các mạng di động 0
tunglamed MOBIEDU dành tặng ưu đãi tri ân các thầy cô nhân dịp 20/11 Điện thoại di động 0
L Xin xin các pro giúp vBulletin Vbulletin 3
tm02019 Xin source Full wordpress cho web giới thiệu về các dịch vụ dạy online Wordpress 0
tunglamed MobiFone tặng thêm ngày sử dụng cho các thuê bao trả trước tại các vùng dịch Điện thoại di động 8
tunglamed MobiFone tặng miễn phí 50 phút thoại cho các tỉnh giãn cách theo Chỉ thị 16 Điện thoại di động 7
tunglamed Mưa Voucher giải nhiệt mùa hè dành riêng cho các Khách hàng của MobiFone Điện thoại di động 9
tunglamed Ưu đãi hấp dẫn chào hè dành cho các thuê bao MobiFone gọi thoại quốc tế Điện thoại di động 4
tunglamed MobiFone tặng gói cước sinh nhật SN28 cho các thuê bao thay sim 4G Điện thoại di động 0
lancan Hướng dẫn Windows 10: Thu nhỏ tất cả các cửa sổ khác ngoại trừ một cái đang sử dụng Thủ thuật máy tính 0
Thichquangboom Fshare cải tiến đồng loạt các tính năng trang quản lý nâng cao tiện ích cho người dùng Tin tức CNTT 0
haopro Mixtap Tổng Hợp Các Track Vinahouse Hot Nhất 2020 Do Anh Em Bay Phòng Bình Chọn Âm nhạc 0
haopro Nonstop Nhạc Sàn Giáng Sinh 2021 Tổng hợp các Track Huyền Thoại Remix BASS Cực Mạnh Quậy Tung Noel Âm nhạc 0
T Tin vui cho các anh em muốn du học ngành kỹ thuật/công nghệ Tin tức CNTT 1
Admin Đáp án chính thức các môn thi tốt nghiệp THPT năm 2020 từ bộ GD và ĐT Tin tức, sự kiện thường ngày 0
nguyenphuong Share UnPacKing Ebook. Ebook dành cho các bạn tham gia vào con đường cracker Sử dụng, chia sẻ, hỏi đáp 0
B xin lại các code link đã bị die Johncms 2
Admin Hướng dẫn xóa khoảng cách các sản phẩm trên trang chủ Woocommerce Wordpress 0
tunglamed MobiFone chiết khấu 5% giá trị thanh toán trực tuyến trên các công cụ thanh toán trực tuyến Thông tin các mạng di động 0
B MobiFone tặng gói cước C120 cho các y bác sĩ và các lực lượng phòng chống dịch Covid-19 tuyến đầu Thông tin các mạng di động 2
N MobiFone tặng 9000 voucher ưu đãi cho các TB sử dụng DV quốc tế Thông tin các mạng di động 2
haopro NST Nhạc DJ - Vinahouse 2020 Tuyển Tập Các Track Bay Phòng Hay Đứng Đầu BXH Tik Tok Việt Nam Âm nhạc 0
M Share Dowload Google Camera cho các dòng máy Xiaomi - update liên tục Thủ thuật ĐTDĐ 0
MrTrieu Các anh em từ những năm 2012 - 2013 hiện tại còn ai không? Trò chuyện linh tinh 15
N Đồng hồ thông minh Tio - “người vệ sĩ tí hon” của các bạn nhỏ Thông tin các mạng di động 15
T Hàn Quốc ban hành “tự do quy định” cho các công ty crypto Tin tức CNTT 0
T Các nhà đầu tư bỏ qua bitcoin tập trung vào blockchain Tin tức CNTT 0
R MobiFone triển khai miễn phí đăng ký eSim cho các thuê bao Thông tin các mạng di động 17
N Tận hưởng phòng khách hạng thương gia tại các sân bay dành cho Hội viên Kết nối dài lâu của Mobifone Thông tin các mạng di động 6
haopro NST Nhạc DJ - Vinahouse 2019 tổng hợp các track nhạc lú nghe mà muốn lú theo nhạc Âm nhạc 0
haopro Nonstop 2019 tuyển tập các track Vinahouse cục bay gửi tặng các cơ trưởng đang bay Âm nhạc 0
T DeFi và Credit trên Blockchain mang phi tập trung các khoản vay ? Tin tức CNTT 0
haopro NST Nhạc DJ - Vinahouse 2019 Tổng hợp các track Vinahey BASS dập liên lục mệt tym VL Âm nhạc 0
T Công nghệ Blockchain phát triển qua các thời kỳ ? Tin tức CNTT 0

Similar threads

New posts New threads New resources

Top