Transcript Security Testing on Web application

Security Testing On Web Applications
Security Testing On Web Applications
1. Security Testing trên ứng dụng web là gì?
2. Đặc điểm về security trên ứng dụng web
3. Các phương pháp tấn công liên quan đến
security trên ứng dụng web
4. Các phương pháp thực hiện security
testing trên ứng dụng web
5. Một số công cụ hỗ trợ thực hiện Security
testing trên ứng dụng web
Security Testing trên web là gì?
• Là một trong những nhánh nhỏ của
security testing (desktop, mobile,…)
• Được thực hiện trên môi trường web
• Nhằm kiểm tra các lỗ hổng và các lỗi về
security trên các ứng dựng web
Đặc điểm
• Ứng dụng Web rất phổ biến và đa dạng
=> Đa dạng về cách thiết kế, vận hành =>
Có nhiều nguy cơ, rủi ro khác nhau
• Ứng dụng Web chạy được trên nhiều môi
trường khác nhau => Khó kiểm soát và
quản lý tất cả các rủi ro
• Số lượng người dùng ngày càng đông đảo
=> Nguy cơ bị tấn công, mất kiểm soát
ngày càng lớn
Các phương pháp tấn công
•
•
•
•
•
•
Buffer overflow attack - Tràn bộ đệm
Parameter Tampering - Chèn tham số
SQL injection
Cross Site Scripting (XSS)
Cookie Poisoning
Session attack
Các phương pháp tấn công
• Buffer overflow attack - Tràn bộ đệm
Tình trạng tràn bộ đệm xảy ra khi dữ liệu được gửi
đến ứng dụng nhiều hơn mong đợi. Kỹ thuật tấn
công này có thể làm cho hệ thống bị tê liệt hoặc làm
cho hệ thống mất khả năng kiểm soát.
Các phương pháp tấn công
• Parameter Tampering - Chèn tham số
Đây là cách thức tấn công bằng cách đưa tham số
trực tiếp vào địa chỉ URL để truy cập thông tin không
dành cho người dùng (người dùng thao tác qua giao
diện trên trình duyệt không thể thấy được các thông
tin này). Cách tấn công này có thể thực hiện với:
HTML Form Field Manipulation, URL Manipulation,
HTTP Header Manipulation.
Các phương pháp tấn công
• SQL injection
Kĩ thuật tấn công này lợi dụng những lỗ hổng trên
ứng dụng(không kiểm tra kĩ những kí tự nhập từ
người dùng). Nó được thực hiện bằng cách thêm
các mã vào các câu lệnh hay câu truy vấn SQL
(thông qua những textbox) trước khi chuyển cho ứng
dụng web xử lý. Server sẽ thực hiện và trả về cho
trình duyệt (kết quả câu truy vấn hay những thông
báo lỗi) nhờ đó mà các tin tặc có thể đăng nhập mà
không cần username và password, điều hành từ xa,
kết xuất, xoá, sửa cở sở dữ liệu và lấy root của SQL
server.
Các phương pháp tấn công
• Cross Site Scripting (XSS)
Cross-Site Scripting là một kĩ thuật tấn công bằng
cách chèn vào các website động (ASP, PHP, CGI,
JSP ...) những thẻ HTML hay những đoạn mã script
nguy hiểm có thể gây nguy hại cho những người sử
dụng khác.
Các phương pháp tấn công
• Cookie Poisoning
Phương thức tấn công này tham chiếu đến
cookie và sửa đổi dữ liệu của nó và quay trở
lại dùng cookie bị sửa đổi để truy cập tới tài
khoản đó.
Các phương pháp thực hiện
• Code review
• Sử dụng công cụ thực hiện test tự động
• Tự thiết kế test case và thực hiện bằng tay
Một số công cụ hỗ trợ
• Websecurify (www.websecurify.com)
• Selenium (seleniumhq.org)
• WebScarab
(www.owasp.org/index.php/Category:OWA
SP_WebScarab_Project )
• Paros Proxy (www.parosproxy.org)
Cám ơn các bạn đã lắng nghe!