[CEH-Module 13] Phần 1: Hacking Web Server – Khái niệm, Các loại tấn công

Tóm tắt

Web Server là chương trình được sử dụng để lưu trữ các trang web. Máy chủ web có thể được triển khai trên phần cứng riêng biệt hoặc được cài đặt trên host dưới dạng chương trình. Nhu cầu sử dụng web tăng cao, ứng dụng web ngày càng linh hoạt và có khả năng hỗ trợ các khách hàng lớn hơn.

Trong chương này, chúng ta sẽ thảo luận về các lỗ hổng của máy chủ Web, các kỹ thuật, công cụ tấn công và các phương pháp giảm thiểu chúng.

---

Khái niệm

Máy chủ Web là một chương trình lưu trữ các trang Web, bao gồm cả phần cứng và phần mềm. Nó cung cấp các tệp và nội dung khác trên trang web qua Giao thức truyền siêu văn bản (HTTP). Như chúng ta đã biết, việc sử dụng internet và intranet đã tăng lên, các dịch vụ web đã trở thành một phần của mạng.

Nó được sử dụng để gửi tệp, liên lạc qua email và các mục đích khác. Máy chủ web hỗ trợ các loại tiện ích mở rộng ứng dụng khác nhau trong khi tất cả chúng đều hỗ trợ HTML để phân phối nội dung cơ bản. Máy chủ Web có thể được phân biệt theo mô hình bảo mật, hệ điều hành và các yếu tố khác.

Vấn đề bảo mật Web Server

Bảo mật với máy chủ web có thể bao gồm các cuộc tấn công cấp độ mạng và tấn công cấp hệ điều hành. Thông thường, kẻ tấn công nhắm vào bất kỳ lỗ hổng và sai sót nào trong cấu hình máy chủ web và khai thác những sơ hở đó:

• Quyền của thư mục tệp không đúng
• Cấu hình mặc định
• Bật các dịch vụ không cần thiết
• Thiếu an ninh
• Lỗi
• Chứng chỉ SSL bị định cấu hình sai
• Gỡ lỗi được bật

Quản trị viên máy chủ đảm bảo về việc loại bỏ tất cả các lỗ hổng và triển khai các biện pháp bảo mật mạng như IPS/IDS, Firewall. Một khi máy chủ Web bị xâm nhập, nó sẽ ảnh hưởng đến tất cả tài khoản người dùng, từ chối các dịch vụ cung cấp, thay đổi giao diện, điểm tựa để khởi động các cuộc tấn công khác, truy cập tài nguyên và đánh cắp dữ liệu,…

Kiến trúc máy chủ web nguồn mở

Open source web server là mô hình máy chủ Web được lưu trữ trên máy chủ khác hoặc máy chủ bên thứ ba qua internet. Một số máy chủ web nguồn mở phổ biến và được sử dụng rộng rãi nhất là:

• Apache HTTP Server
• NGINX
• Apache Tomcat
• Lighttpd
• Node.js

Kiến trúc máy chủ web IIS

Internet information services (IIS) là một dịch vụ của Windows cung cấp nền tảng xử lý yêu cầu. Kiến trúc bao gồm Windows Activation Services (WAS), Web Server Engine và các đường ống xử lý tích hợp. IIS chứa nhiều thành phần xử lý một số chức năng như lắng nghe yêu cầu, quản lý quy trình, đọc cấu hình, v.v.

Các thành phần của IIS

• Protocol Listener

Protocol Listener có trách nhiệm nhận các yêu cầu giao thức cụ thể, chuyển tiếp các yêu cầu này đến IIS để xử lý và trả lại phản hồi cho người dùng.

• HTTP.sys

Trình nghe HTTP được triển khai dưới dạng một trình điều khiển thiết bị chế độ hạt nhân được gọi là ngăn xếp giao thức HTTP (HTTP.sys). Nó chịu trách nhiệm lắng nghe các yêu cầu HTTP và chuyển tiếp đến IIS để xử lý, sau đó trả về các phản hồi đã xử lý cho người dùng.

• World Wide Web Publishing Service (WWW Service)
• Windows Process Activation Service (WAS)

Trong phiên bản cũ của IIS, dịch vụ phát hành web toàn cầu (WWW) làm nhiệm vụ xử lý chức năng, từ phiên bản 7 trở lên, có thêm dịch vụ WAS được sử dụng. Các dịch vụ này chạy svchost.exe trên máy cục bộ và dùng chung các tệp nhị phân.

---

Tấn công máy chủ web

DoS/DDoS Attacks

Tấn công DoS/DDoS là các kỹ thuật đã được định nghĩa ở chương 9. Nó được sử dụng để làm tràn ngập yêu cầu giả với máy chủ web dẫn đến sự cố không khả dụng hoặc từ chối dịch vụ cho tất cả người dùng.

DNS Server Hijacking

Bằng cách xâm nhập máy chủ DNS, kẻ tấn công sửa đổi cấu hình DNS chuyển hướng yêu cầu của máy chủ web mục tiêu đến máy chủ độc hại do kẻ tấn công sở hữu hoặc kiểm soát.

DNS Amplification Attack

Tấn công Khuếch đại DNS được thực hiện bằng phương pháp đệ quy DNS. Kẻ tấn công lợi dụng tính năng này và giả mạo yêu cầu tìm kiếm tới máy chủ DNS. Máy chủ DNS phản hồi yêu cầu tới địa chỉ giả mạo, tức là địa chỉ của mục tiêu. Bằng cách khuếch đại quy mô và sử dụng botnet, kết quả là một cuộc tấn công từ chối dịch vụ phân tán.

Directory Traversal Attacks

Trong tấn công này, kẻ tấn công cố gắng sử dụng phương pháp thử và lỗi để truy cập các thư mục bị hạn chế bằng cách sử dụng chuỗi dấu chấm và dấu gạch chéo. Bằng cách truy cập các thư mục ở ngoài thư mục gốc, kẻ tấn công tiết lộ thông tin nhạy cảm về hệ thống.

Man-in-the-Middle/Sniffing Attack

Như đã định nghĩa ở các chương trước, kẻ tấn công tự đặt mình vào giữa máy khách và máy chủ để đánh hơi các gói tin, trích xuất thông tin nhạy cảm từ giao tiếp bằng cách chặn và thay đổi các gói tin.

Phishing Attacks

Sử dụng Phishing, kẻ tấn công trích xuất các thông tin đăng nhập từ trang web giả mạo trông giống như một trang web hợp pháp. Thông tin này được kẻ tấn công sử dụng để mạo danh thành người dùng hợp pháp trên máy chủ mục tiêu mục tiêu.

Website Defacement

Sau khi xâm nhập vào máy chủ web thành công, kẻ tấn công sẽ chỉnh sửa nội dung, thay đổi giao diện, để lại lời nhắn hoặc chế nhạo, v.v. Nó có thể được thực hiện bằng một số kỹ thuật như SQL Injection để truy cập trang web và deface nó.

Web server Misconfiguration

Một phương pháp khác là tìm lỗ hổng trong trang web và khai thác chúng. Kẻ tấn công có thể tìm các cấu hình sai, các lỗ hổng của hệ thống và các thành phần của máy chủ web. Xác định các điểm yếu về cấu hình mặc định, chức năng từ xa, cấu hình sai, chứng chỉ mặc định và gỡ lỗi để khai thác chúng.

HTTP Response Splitting Attack

Tấn công phân tách phản hồi HTTP, kẻ tấn công gửi các yêu cầu phân tách phản hồi đến máy chủ mục tiêu. Kết quả là máy chủ sẽ chia thành hai phản hồi. Phản hồi thứ hai nằm trong tầm kiểm soát của kẻ tấn công, vì vậy người dùng có thể được chuyển hướng đến trang web độc hại.

Web Cache Poisoning Attack

Tấn công đầu độc bộ nhớ đệm là kỹ thuật trong đó kẻ tấn công xóa sạch bộ nhớ cache thực của máy chủ web và lưu trữ các truy cập giả bằng cách gửi một yêu cầu thủ công vào bộ nhớ cache. Điều này sẽ chuyển hướng người dùng đến trang web độc hại.

SSH Brute-force Attack

Brute-force đường hầm SSH cho phép kẻ tấn công sử dụng đường hầm được mã hóa để liên lạc giữa các máy chủ. Bằng cách brute forcing thông tin đăng nhập SSH, kẻ tấn công có thể truy cập trái phép vào đường hầm SSH.

Các cuộc tấn công ứng dụng web

• Cookie Tampering
• DoS Attack
• SQL Injection
• Session hijacking
• Cross-Site Request Forgery (CSRF) attack
• Cross-Site Scripting (XSS) attack
• Buffer Overflow