intTypePromotion=1
zunia.vn Tuyển sinh 2024 dành cho Gen-Z zunia.vn zunia.vn
ADSENSE
 » 
 » 

Luận văn tốt nghiệp: Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet

Chia sẻ: Hoàng Thiện | Ngày: | Loại File: PDF | Số trang:169

Thêm vào BST
Báo xấu
303
lượt xem 78
download
 
  Download Vui lòng tải xuống để xem tài liệu đầy đủ

Luận văn được thực hiện với mục đích tìm hiểu, phân tích các lỗ hổng bảo mật trong các ứng dụng web (cùng với chương trình minh họa) để qua đó đề xuất các phương án sửa chữa. Song song đó, luận văn còn thực hiện một chương trình "Tự động phát hiện lỗ hổng trên ứng dụng Web" giúp ích cho những nhà lập trình Web ít kinh nghiệm tránh những sai sót trong quá trình tạo các ứng dụng.

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Luận văn tốt nghiệp: Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet

  1. Khoa CNTT BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN TP.HCM KHOA CÔNG NGHỆ THÔNG TIN BỘ MÔN MẠNG MÁY TÍNH DE LUẬN VĂN TỐT NGHIỆP ĐỀ TÀI: NGHIÊN CỨU MỘT SỐ VẤN ĐỀ VỀ BẢO MẬT ỨNG DỤNG WEB TRÊN INTERNET GVHD: Th.S. MAI VĂN CƯỜNG SVTH : NGUYỄN DUY THĂNG - 9912074 NGUYỄN MINH THU - 9912156 KHÓA HỌC: 1999-2003
  2. Khoa CNTT Lời cảm ơn Sau gần 6 tháng nỗ lực thực hiện, luận văn nghiên cứu “Các kĩ thuật tấn công và bảo mật ứng dụng Web trên Internet” đã phần nào hoàn thành. Ngoài sự cố gắng hết mình của bản thân, chúng em đã nhận được sự khích lệ rất nhiều từ phía nhà trường, thầy cô, gia đình và bạn bè. Trước hết chúng con xin cám ơn ba mẹ đã luôn động viên và tạo mọi điều kiện tốt để chúng con học tập và hoàn thành luận văn tốt nghiệp này. Chúng em xin cám ơn thầy cô trường Đại Học Khoa Học Tự Nhiên đã truyền đạt những kiến thức quý báu cho chúng em trong suốt quá trình học tập. Đặc biệt, chúng em xin bày tỏ lòng chân thành sâu sắc đến thầy Mai Văn Cường, người đã tận tình hướng dẫn và giúp đỡ chúng em trong quá trình làm luận văn tốt nghiệp. Xin cám ơn tất cả bạn bè đã và đang động viên, giúp đỡ chúng tôi trong quá trình học tập và hoàn thành tốt luận văn tốt nghiệp này.
  3. Khoa CNTT Lời nhận xét …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… …………………………………………………………………………………………… ……………………………………………………………………………………………
  4. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet MỤC LỤC GIỚI THIỆU……………………………………………………………………………… 7 Tổ chức của luận văn……………………………………………………………………... 9 PHẦN THỨ NHẤT: CƠ SỞ LÍ THUYẾT………………………………………………. 11 Chương 1: Giới thệu Ứng dụng Web…………………………………………………….. 12 I. KHÁI NIỆM ỨNG DỤNG WEB………………………………..…………………… 13 II. MÔ TẢ HOẠT ĐỘNG CỦA MỘT ỨNG DỤNG WEB………..…………………... 16 Chương 2: Các khái niệm, thuật ngữ liên quan ………………………………………….. 18 I. HACKER……………………………………………………………………………… 19 II. HTTP HEADER……………………………………………………………………... 19 III. SESSION…………………………….……………………………………………… 21 IV. COOKIE…………………………………………………………………………….. 22 V. PROXY………………………………………………………………………………. 25 Chương 3: Giới thiệu sơ lược về các kĩ thuật tấn công Ứng dụng Web………………….. 26 I. KIỂM SOÁT TRUY CẬP WEB……………………………………………………… 27 I.1. Thâm nhập hệ thống qua cửa sau………………………………………………….. 27 II. CHIẾM HỮU PHIÊN LÀM VIỆC…………………………………………………... 27 II.1. Ấn định phiên làm việc…………………………………………………………… 27 II.2. Đánh cắp phiên làm việc…………………………………………………………. 27 III. LỢI DỤNG CÁC THIẾU SÓT TRONG VIỆC KIỂM TRA DỮ LIỆU NHẬP HỢP LỆ……….……………………………………………………………………………....... 27 III.1. Kiểm tra tính đúng đắn của dữ liệu bằng ngôn ngữ phía trình duyệt………….... 28 III.2. Tràn bộ đệm……………..………………………………………………………. 28 III.3. Mã hóa URL…………………………………………………………………….. 28 III.4. Kí tự Meta……………………………………………………………………….. 28 III.5. Vượt qua đường dẫn…………………………………………………………….. 29 III.6. Chèn mã lệnh thực thi trên trình duyệt nạn nhân……………………………….. 29 III.7. Thêm câu lệnh hệ thống………………….……………………………………... 29
  5. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet III.8. Chèn câu truy vấn SQL…………………….…………………………………… 30 III.9. Ngôn ngữ phía máy chủ………………................................................................ 30 III.10. Kí tự rỗng….…………………………………………………………………... 30 III.11. Thao tác trên tham số truyền…………………………………………………... 30 IV. ĐỂ LỘ THÔNG TIN………………………………………………………………. 31 V. TỪ CHỐI DỊCH VỤ………………….…………………………………………….. 31 PHẦN THỨ HAI: CÁC KĨ THUẬT TẤN CÔNG VÀ BẢO MẬT ỨNG DỤNG WEB.. 33 Chương 4: Thao tác trên tham số truyền………………………………………………… 34 I. THAO TÁC TRÊN URL…………………………………………………………….. 35 I.1. Khái niệm…………………………………………………………………………. 35 I.2. Một số biện pháp khắc phục………………………………………………………. 36 II. THAO TÁC TRÊN BIẾN ẨN FORM………………………………………………. 36 II.1. Khái niệm………………………………………………………………………… 36 II.2. Một số biện pháp khắc phục……………………………………………………... 38 III. THAO TÁC TRÊN COOKIE……………………………………………………… 39 III.1. Khái niệm ………………………………………………………………………. 39 III.2. Một số biện pháp khắc phục…………………………………………………….. 40 IV. THAO TÁC TRONG HTTP HEADER……………………………………………. 41 IV.1. Khái niệm……………………………………………………………………….. 41 IV.2. Một số biện pháp khắc phục…………………………………………………….. 42 Chương 5: Chèn mã lệnh thực thi trên trình duyệt nạn nhân (Cross Side Scripting)……. 43 I. KĨ THUẬT TẤN CÔNG CROSS-SITE SCRIPTING (XSS)………………………... 44 II. PHƯƠNG PHÁP TẤN CÔNG XSS TRUYỀN THỐNG…………………………... 46 III. MỘT SỐ WEBSITE TÌM THẤY LỖ HỔNG XSS………………………………... 50 IV. TẤN CÔNG XSS BẰNG FLASH…………………………………………………. 51 V. CÁCH PHÒNG CHỐNG…………………………………………………………… 54 Chương 6: Chèn câu truy vấn SQL (SQL Injection)……………………………………. 56 I. KHÁI NIỆM SQL INJECTION……………………………………………………... 57 II. GIỚI THIỆU MÔ HÌNH CƠ SỞ DỮ LIỆU………………………………………... 57
  6. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet III. CÁC CÁCH TẤN CÔNG…………………………………………………………. 58 III.1. Kĩ thuật tấn công SQL Injection………………………………………………... 58 III.2. Tấn công dưa vào câu lệnh SELECT…………………………………………… 60 III.3. Tấn công dưa vào câu lệnh HAVING…………………………………………... 62 III.4. Tấn công dưa vào câu lệnh kết hợp UNION…………………………………… 62 III.5. Tấn công dưa vào lệnh INSERT………………………………………………... 69 III.6. Tấn công dưa vào STORED PROCEDURE…………………………………… 70 III.7. Nâng cao………………………………………………………………………... 70 III.7.1. Chuỗi kí tự không có dấu nháy đơn…………………………………………. 70 III.7.2. Tấn công 2 tầng……………………………………………………………… 71 III.7.3. Tránh sự kiểm soát…………………………………………………………... 74 III.7.4. Dùng Extended Stored Procedure…………………………………………… 75 III.7.4.1. Dùng Extended Stored Procedure có sẵn trong hệ thống SQL Server…... 75 III.7.4.2. Dùng Extended Stored Procedure tự tạo…………………………………. 76 III.7.4.3. Nhập tập tin văn bản vào bảng…………………………………………… 77 IV. CÁCH PHÒNG CHỐNG………………………………………………………… 77 IV.1. Kiểm tra dữ liệu……………………………………………………………….. 78 IV.2. Khoá chặt SQL Server (SQL Server Lockdown)……………………………... 81 Chương 7: Chiếm hữu phiên làm việc (Session Management)………………………… 83 I. TỔNG QUAN VỀ SESSION ID…………………………………………………….. 84 II. ẤN ĐỊNH PHIÊN LÀM VIỆC……………………………………………………... 85 II.1. Tấn công Session ID trên tham số URL………………………………………… 88 II.2. Tấn công Session ID trong biến ẩn form………………………………………... 89 II.3. Tấn công Session ID trong cookie………………………………………………. 89 II.4. Cách phòng chống………………………………………………………………. 91 III. ĐÁNH CẮP PHIÊN LÀM VIỆC………………………………………………….. 92 III.1. Tấn công kiểu dự đoán phiên làm việc (Prediction sessionID)………………… 93 III.2. Tấn công kiểu vét cạn phiên làm việc (Brute force ID)………………………... 93 III.3. Tấn công kiểu dùng đoạn mã để đánh cấp phiên làm việc……………………... 94
  7. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet III.4. Cách phòng chống………………………………………………………………. 94 III.5. Sự khác biệt giữa đánh cắp phiên làm việc (session hijacking) và ấn định phiên làm việc (session fixation)……………………………………………………………... 94 Chương 8: Tràn bộ đệm (Buffer Overflow)…………………………………………….. 97 I. KHÁI NIỆM…………………………………………………………………………. 98 II. SƠ ĐỒ TỔ CHỨC CỦA BỘ NHỚ…………………………………………………. 99 II.1. Stack……………………………………………………………………………... 100 II.2. Push và Pop……………………………………………………………………… 101 II.3. Cách làm việc của hàm………………………………………………………….. 102 II.4. Shell code………………………………………………………………………... 104 III. MỘT SỐ CÁCH GÂY TRÀN BỘ ĐỆM QUA ỨNG DỤNG WEB………………. 106 IV. CÁC CÁCH PHÒNG CHỐNG……………………………………………………. 106 Chương 9: Từ chối dịch vụ (DoS)………………………………………………………. 108 I. KHÁI NIỆM………………………………………………………………………….. 109 II. NHỮNG KHẢ NĂNG BỊ TẤN CÔNG BẰNG DOS………………………………. 109 III. CÁC KĨ THUẬT TẤN CÔNG…………………………………………………….. 110 III.1. Khái niệm về Tcp bắt tay ba chiều……………………………………………… 110 III.2. Lợi dụng TCP thực hiện phương pháp SYN flood truyền thống……………….. 112 III.3. Tấn công vào băng thông……………………………………………………….. 113 III.3.1. Kiểu tấn công thứ 1………………………………………………………….. 113 III.3.2. Kiểu tấn công thứ 2………………………………………………………….. 113 III.4. Kiểu tấn công vào tài nguyên hệ thống…………………………………………. 117 IV. BIỆN PHÁP PHÒNG CHỐNG……………………………………………………. 117 Chương 10: Một số kĩ thuật tấn công khác……………………………………………... 119 I. MÃ HÓA URL (URL Encoding) …………………………………………………… 120 I.1. Khái niệm………………………………………………………………………… 120 I.2. Một số biện pháp phòng chống…………………………………………………... 121 II. KIỂU TẤN CÔNG VƯỢT ĐƯỜNG DẪN………………………………………… 121 II.1. Khái niệm……………………………………………………………………….. 121
  8. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet II.2. Một số biện pháp phòng chống………………………………………………….. 122 III. TẤN CÔNG DỰA VÀO KÍ TỰ RỖNG…………………………………………... 123 III.1. Khái niệm……………………………………………………………………….. 123 III.2. Một số biện pháp phòng chống…………………………………………………. 123 IV. NGÔN NGỮ PHÍA TRÌNH CHỦ…………………………………………………. 123 IV.1. Khái niệm……………………………………………………………………….. 123 IV.2. Cách tấn công…………………………………………………………………… 125 IV.3. Biện pháp phòng chống………………………………………………………… 125 Chương 11: Tổng kết quá trình tấn công của Hacker…………………………………... 127 I. THU THẬP THÔNG TIN Ở MỨC HẠ TẦNG CỦA MỤC TIÊU………………… 128 II. KHẢO SÁT ỨNG DỤNG WEB…………………………………………………… 131 III. TẤN CÔNG……………………………………………………………………….. 132 Chương 12: Tổng kết các biện pháp phòng chống……………………………………... 134 I. VỚI NHỮNG NHÀ QUẢN TRỊ MẠNG…………………………………………… 135 II. VỚI NHỮNG NHÀ THIẾT KẾ ỨNG DỤNG WEB………………………………. 137 III. VỚI NGƯỜI SỬ DỤNG ỨNG DỤNG WEB……………………………………... 139 PHẦN THỨ BA: CHƯƠNG TRÌNH WEB CHECKER……………………………….. 140 Chương 13: Chương trình Web Checker……………………………………………….. 141 I. ĐẶC TẢ CHƯƠNG TRÌNH WEB CHECKER…………………………………….. 142 I.1. Tổng quan………………………………………………………………………... 142 I.2. Yêu cầu…………………………………………………………………………... 142 I.2.1. Yêu cầu chức năng……………………………………………………………. 142 I.2.1. Yêu cầu phi chức năng………………………………………………………... 143 II. KIẾN TRÚC CHƯƠNG TRÌNH WEB CHECKER……………………………….. 143 II.1. Kiến trúc chương trình Web Checker…………………………………………... 143 II.2. Giao tiếp giữa chương trình với trình chủ Web…………………………………. 144 III. CÀI ĐẶT…………………………………………………………………………... 145 III.1. Ngôn ngữ cài đặt……………………………………………………………….. 145 III.2. Phương pháp cài đặt……………………………………………………………. 145
  9. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet III.2.1. Sử dụng mô hình giao diện dạng Dialog……………………………………. 145 III.2.2. Sử dụng ActiveX Control (Microsoft Web Browser)………………………. 145 III.2.3. Sử dụng giao diện lập trình Window Socket 2……………………………… 146 III.2.4. Một số lớp và hàm chính được cài đặt trong chương trình…………………. 146 III.3. Mô tả chương trình và cách sử dụng…………………………………………… 151 III.3.1. Màn hình chương trình……………………………………………………… 151 III.3.2. Cách sử dụng………………………………………………………………... 152 IV. ĐÁNH GIÁ CHƯƠNG TRÌNH…………………………………………………… 153 IV.1. Những vấn đề đạt được……………………………………………………….. 153 IV.2. Những vấn đề hạn chế………………………………………………………… 153 KẾT LUẬN……………………………………………………………………………... 155 I. NHỮNG VẤN ĐỀ ĐẠT ĐƯỢC……………………………………………………. 156 II. HƯỚNG PHÁT TRIỂN……………………………………………………………. 157 PHỤ LỤC……………………………………………………………………………….. 158
  10. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet GIỚI THIỆU Ngày nay, khi Internet được phổ biến rộng rãi, các tổ chức, cá nhân đều có nhu cầu giới thiệu thông tin của mình trên xa lộ thông tin cũng như thực hiện các phiên giao dịch trực tuyến. Vấn đề nảy sinh là khi phạm vi ứng dụng của các ứng dụng Web ngày càng mở rộng thì khả năng xuất hiện lỗi và bị tấn công càng cao, trở thành đối tượng cho nhiều người tấn công với các mục đích khác nhau. Đôi khi, cũng chỉ đơn giản là để thử tài hoặc đùa bỡn với người khác. Cùng với sự phát triển không ngừng của Internet và các dịch vụ trên Internet, số lượng các vụ tấn công trên Internet cũng tăng theo cấp số nhân. Trong khi các phương tiện thông tin đại chúng ngày càng nhắc nhiều đến những khả năng truy nhập thông tin của Internet, thì các tài liệu chuyên môn bắt đầu đề cập nhiều đến vấn đề bảo đảm và an toàn dữ liệu cho các máy tính được kết nối vào mạng Internet. Theo số liệu của CERT (Computer Emegency Response Team - "Đội cấp cứu máy tính"), số lượng các vụ tấn công trên Internet được thông báo cho tổ chức này là ít hơn 200 vào năm 1989, khoảng 400 vào năm 1991, 1400 vào năm 1993, và 2241 vào năm 1994, và năm 2001 là 5315 vụ. Những vụ tấn công này nhằm vào tất cả các máy tính có mặt trên Internet, các máy tính của tất cả các công ty lớn như AT&T, IBM, các trường đại học, các cơ quan nhà nước, các tổ chức quân sự, nhà băng... Một số vụ tấn công có quy mô khổng lồ (có tới 100.000 máy tính bị tấn công). Hơn nữa, những con số này chỉ là phần nổi của tảng băng. Một phần rất lớn các vụ tấn công không được thông báo, vì nhiều lý do, trong đó -Trang 7-
  11. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet có thể kể đến nỗi lo bị mất uy tín, hoặc đơn giản những người quản trị hệ thống không hay biết những cuộc tấn công đang nhằm vào hệ thống của họ. Điển hình là cuộc tấn công vào phần mềm thương mại của IBM tháng 3/2001, hai hacker đã tìm thấy lỗ hổng trên ứng dụng mà bất cứ ai với một trình duyệt Web cũng có thể lấy tài khoản của người dùng, thậm chí cả người quản trị. Không chỉ số lượng các cuộc tấn công tăng lên nhanh chóng, mà các phương pháp tấn công ngày càng tinh vi và có tổ chức. Mặt khác, việc quản trị các hệ thống mạng đòi hỏi nhà quản trị hệ thống có kiến thức và kinh nghiệm về hệ thống mạng chắc chắn, do đó sự yếu kém trong quản lý sẽ tạo nhiều điều kiện cho các hacker khai thác. Cũng theo CERT, những cuộc tấn công thời kỳ 1988-1989 chủ yếu là đoán tên người sử dụng-mật khẩu (UserID/password) hoặc sử dụng một số lỗi của các chương trình và hệ điều hành (security hole) làm vô hiệu hệ thống bảo vệ, tuy nhiên các cuộc tấn công vào thời gian gần đây còn bao gồm cả các thao tác như giả mạo địa chỉ IP, theo dõi thông tin truyền qua mạng, chiếm các phiên làm việc từ xa (telnet hoặc rlogin), cài trojan hay worm để kiểm soát hay điều khiển máy tính…vì thế, nhu cầu bảo vệ thông tin trên Internet là cần thiết nhằm mục đích bảo vệ dữ liệu, bảo vệ thông tin người dùng và bảo vệ hệ thống. Khi nói đến vấn đề bảo mật, hầu hết các chuyên gia bảo mật đều chú trọng đến sự an toàn của hệ thống mạng và hệ điều hành. Để bảo vệ cho hệ thống, phương pháp thường được chọn là sử dụng firewall. Tuy nhiên, theo tuyên bố của CSI/FBI : 78% nơi bị hại có sử dụng firewall và 59% thì bị tấn công thông qua Internet, cụ thể hơn là theo báo cáo của CSI/FBI Computer Crime và Security Survey thì tổng số thiệt hại do những ứng dụng Web bị tấn công từ năm 1997 đến năm 2000 là 626 triệu đôla Mỹ. -Trang 8-
  12. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet Với những công cụ tự động tìm lỗ hổng tuy giúp rất nhiều cho những nhà lập trình Web nhưng vẫn không thể ngăn chặn toàn bộ vì công nghệ Web đang phát triển nhanh chóng (chủ yếu chú trọng đến yếu tố thẩm mĩ, yếu tố tốc độ…) nên dẫn đến nhiều khuyết điểm mới phát sinh. Sự tấn công không nằm trong khuôn khổ vài kĩ thuật đã phát hiện, mà linh động và tăng lên tùy vào những sai sót của nhà quản trị hệ thống cũng như của những người lập trình ứng dụng. Luận văn được thực hịên với mục đích tìm hiểu, phân tích các lỗ hổng bảo mật trong các ứng dụng web (cùng với chương trình minh họa) để qua đó đề xuất các phương án sửa chữa. Song song đó, luận văn còn thực hiện một chương trình “Tự động phát hiện lỗ hổng trên ứng dụng Web” giúp ích cho những nhà lập trình Web ít kinh nghiệm tránh những sai sót trong quá trình tạo các ứng dụng. Tổ chức của luận văn Luận văn gồm 13 chương chia thành 3 phần: Phần thứ nhất: CƠ SỞ LÍ THUYẾT Phần này gồm có 3 chương: + Chương 1 : Giới thiệu về ứng dụng Web + Chương 2 : Một số khái niệm, thuật ngữ liên quan. + Chương 3: Sơ lược các kĩ thuật tấn công ứng dụng Web Phần thứ hai:CÁC KĨ THUẬT TẤN CÔNG VÀ BIỆN PHÁP PHÒNG CHỐNG Phần này gồm có 9 chương từ chương 4 đến chương 12 trong đó 7 chương đầu bàn luận về các kĩ thuật tấn công, cuối mỗi chương là biện pháp phòng chống cho từng kĩ thuật. Chương 11 nói về quá trình tấn công của hacker và đến chương 12 là nội dung các biện pháp phòng chống chung nhất. -Trang 9-
  13. Khoa CNTT Nghiên cứu một số vấn đề về bảo mật ứng dụng Web trên Internet Phần thứ ba : CHƯƠNG TRÌNH “WEB CHECKER” Là gồm chương cuối trình bày, giải thích về chương trình Kết thúc luận văn là phần kết luận, tóm lược lại những vấn đề đã trình bày và một số hướng phát triển trong tương lai và danh mục các tài liệu tham khảo. -Trang 10-
  14. Khoa CNTT Phần I: Cơ sở lý thuyết PHẦN THỨ NHẤT CƠ SỞ LÍ THUYẾT -Trang 11-
  15. Khoa CNTT Chương 1: Giới thiệu Ứng dụng Web Chương 1 GIỚI THIỆU ỨNG DỤNG WEB Nội dung: I. Khái niệm về ứng dụng Web II. Mô tả cách hoạt động của một ứng dụng Web -Trang 12-
  16. Khoa CNTT Chương 1: Giới thiệu Ứng dụng Web CHƯƠNG 1: GIỚI THIỆU ỨNG DỤNG WEB DE Luận văn được thực hiện nhằm tìm hiểu về các kĩ thuật tấn công trang Web và đề ra cách phòng chống. Do đó, trong chương đầu tiên luận văn sẽ giới thiệu sơ lược một số khái niệm cơ bản và đây chính là nền tảng để xây dựng nội dung cho những phần sau. I. KHÁI NIỆM ỨNG DỤNG WEB Ứng dụng Web là một ứng dụng chủ/khách sử dụng giao thức HTTP để tương tác với người dùng hay hệ thống khác. Trình khách dành cho người sử dụng thường là một trình duyệt Web như Internet Explorer hay Netscape Navigator. Cũng có thể là một chương trình đóng vai trò đại lý người dùng hoạt động như một trình duyệt tự động. Người dùng gửi và nhận các thông tin từ trình chủ thông qua việc tác động vào các trang Web. Các chương trình có thể là các trang trao đổi mua bán, các diễn đàn, gửi nhận e-mail… Tốc độ phát triển các kỹ thuật xây dựng ứng dụng Web cũng phát triển rất nhanh. Trước đây những ứng dụng Web thường được xây dựng bằng CGI (Common Gateway Interface) được chạy trên các trình chủ Web và có thể kết nối vào các cơ sở dữ liệu đơn giản trên cùng máy chủ. Ngày nay ứng dụng Web thường được viết bằng Java (hay các ngôn ngữ tương tự) và chạy trên máy chủ phân tán, kết nối đến nhiều nguồn dữ liệu. Một ứng dụng web thường có kiến trúc gồm: -Trang 13-
  17. Khoa CNTT Chương 1: Giới thiệu Ứng dụng Web Hình 1.I-1. Kiến trúc một ứng dụng Web • Lớp trình bày: Lớp này có nhiệm vụ hiển thị dữ liệu cho người dùng, ngoài ra còn có thể có thêm các ứng dụng tạo bố cục cho trang web. • Lớp ứng dụng: là nơi xử lý của ứng dụng Web. Nó sẽ xử lý thông tin người dùng yêu cầu, đưa ra quyết định, gửi kết quả đến “lớp trình bày”. Lớp này thường được cài đặt bằng các kỹ thuật lập trình như CGI, Java, .NET , PHP hay ColdFusion, được triển khai trên các trình chủ như IBM WebSphere, WebLogic, Apache, IIS… • Lớp dữ liệu: thường là các hệ quản trị dữ liệu (DBMS) chịu trách nhiệm quản lý các file dữ liệu và quyền sử dụng. Mô hình hóa hoạt động của một ứng dụng Web: -Trang 14-
  18. Khoa CNTT Chương 1: Giới thiệu Ứng dụng Web Hình 1.I-2. Mô hình hoạt động của một ứng dụng Web Trong đó: • Trình khách ( hay còn gọi là trình duyệt): Internet Explorer, Netscap Navigator • Trình chủ: Apache, IIS, …. • Hệ quản trị cơ sở dữ liệu: SQL Server, MySQL, DB2, Access…. Bên cạnh đó, một giải pháp dùng để bảo vệ một hệ thống mạng thường được sử dụng là bức tường lửa, nó có vai trò như là lớp rào chắn bên ngoài một hệ thống mạng, vì chức năng chính của firewall là kiểm soát luồng thông tin giữa các máy tính. Có thể xem firewall như một bộ lọc thông tin, nó xác định và cho phép một máy tính này có được truy xuất đến một máy tính khác hay không, hay một mạng này có được truy xuất đến mạng kia hay không. Người ta thường dùng firewall vào mục đích: • Cho phép hoặc cấm những dịch vụ truy xuất ra ngoài. -Trang 15-
  19. Khoa CNTT Chương 1: Giới thiệu Ứng dụng Web • Cho phép hoặc cấm những dịch vụ từ bên ngoài truy nhập vào trong. • Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập. Firewall hoạt động dựa trên gói IP do đó kiểm soát việc truy nhập của máy người sử dụng II.MÔ TẢ HOẠT ĐỘNG CỦA MỘT ỨNG DỤNG WEB Đầu tiên trình duyệt sẽ gửi một yêu cầu (request) đến trình chủ Web thông qua các lệnh cơ bản GET, POST… của giao thức HTTP, trình chủ lúc này có thể cho thực thi một chương trình được xây dựng từ nhiều ngôn ngữ như Perl, C/C++… hoặc trình chủ yêu cầu bộ diễn dịch thực thi các trang ASP, JSP… theo yêu cầu của trình khách. Tùy theo các tác vụ của chương trình được cài đặt mà nó xử lý, tính toán, kết nối đến cơ sở dữ liệu, lưu các thông tin do trình khách gửi đến…và từ đó trả về cho trình khách 1 luồng dữ liệu có định dạng theo giao thức HTTP, nó gồm 2 phần: • Header mô tả các thông tin về gói dữ liệu và các thuộc tính, trạng thái trao đổi giữa trình duyệt và WebServer. • Body là phần nội dung dữ liệu mà Server gửi về Client, nó có thể là một file HTML, một hình ảnh, một đoạn phim hay một văn bản bất kì. Theo mô hình ở hình 1.I-2, với firewall, luồng thông tin giữa trình chủ và trình khách là luồng thông tin hợp lệ. Vì thế, nếu hacker tìm thấy vài lỗ hổng trong ứng dụng Web thì firewall không còn hữu dụng trong việc ngăn chặn hacker này. Do đó, các kĩ thuật tấn công vào một hệ thống mạng ngày nay đang dần tập trung vào những sơ suất (hay lỗ hổng) trong quá trình tạo ứng dụng của những nhà phát triển Web hơn là tấn công trực tiếp vào hệ thống mạng, hệ điều hành. Tuy nhiên, hacker cũng có thể -Trang 16-
  20. Khoa CNTT Chương 1: Giới thiệu Ứng dụng Web lợi dụng các lỗ hổng Web để mở rộng sự tấn công của mình vào các hệ thống không liên quan khác. -Trang 17-
ADSENSE

CÓ THỂ BẠN MUỐN DOWNLOAD

LV.26: Bộ 320 Luận Văn Thạc Sĩ Y Học
320 tài liệu
1247 lượt tải
THÔNG TIN
TRỢ GIÚP
HỖ TRỢ KHÁCH HÀNG
Theo dõi chúng tôi

Chịu trách nhiệm nội dung:

Nguyễn Công Hà - Giám đốc Công ty TNHH TÀI LIỆU TRỰC TUYẾN VI NA

LIÊN HỆ

Địa chỉ: P402, 54A Nơ Trang Long, Phường 14, Q.Bình Thạnh, TP.HCM

Hotline: 093 303 0098

Email: support@tailieu.vn

Giấy phép Mạng Xã Hội số: 670/GP-BTTTT cấp ngày 30/11/2015 Copyright © 2022-2032 TaiLieu.VN. All rights reserved.

 

Đồng bộ tài khoản
7=>1