Dăm Ba Cách Đánh Sập Trang Web Với Mã Html Cơ Bản (Kèm Ảnh), Cách Đánh Sập Một Trang Web Site

Mục lục nội dung

Tôi ban đầu học về bảo mật thông tin và mod từ mùa hè năm ngoái. Sau 1 năm kinh qua các cuộc thi CTF, wargame, giả lập kiểm tra xâm nhập (penetration testing simulation), bây giờ tôi vẫn đang tiếp tục nâng cao kỹ năng hacking bên cạnh đó học thêm nhiều điều mới về việc làm vậy nào để làm cho máy tính chuyển động lệch khỏi đầy đủ hành vi vào dự kiến.Bạn vẫn xem: biện pháp đánh sập một trang web

Nói ngắn gọn, kinh nghiệm về bảo mật của tôi luôn bị số lượng giới hạn trong các môi trường xung quanh giả lập. Và do ngay tự ban đầu, tôi luôn luôn tự ý thức rằng mình là một hack-er mũ trắng (whitehat), buộc phải tôi không khi nào “chỏ mũi” vào quá trình của người khác.Cho đến từ bây giờ thì mọi chuyện đã khác. Sau đó là câu chuyện cụ thể về phương pháp mà tôi vẫn hack vào một trong những Server đã được dùng để làm lưu trữ 40 websites và những kỹ năng và kiến thức tôi đã thu được.

Và phiên bản của kernel là?

Có thể bạn quan tâm:

Khi website bị hack, chúng ta thường nghĩ về mình dùng code bị lây lan mã độc (malware)!

Từ đó, những topic sau chúng ta sẽ dìm diện hiện tượng Website bị thủ thuật – vì sao và các phương pháp bảo mật bắt đầu nhất!

Chúng ta cũng sẽ quản lý plugin bảo mật thông tin i
Themes Security không tính tiền và Pro (trong VIP CLUB) để bổ sung các phương thức bảo mật kết quả nhất mang đến Word
Press.

Cuối chăm đề đã là các phương thức backup tự động hóa và restore khi gặp mặt sự vậy – cũng như hướng dẫn quét malware và hồi phục Website Word
Press bị lây lan mã độc!

Mục lục bài bác viết

Hack website là gì?

Hack là hành động thâm nhập bất hợp pháp vào hartware hoặc phần mềm.

Hack website là xâm nhập trái phép vào Website, truy cập vào các khu vực mà bạn dùng thông thường không được phép như hosting, trang quản lí trị, soạn thảo…

Hack trang web cũng bao hàm hành đụng can thiệp vào mã nguồn, database và chỉnh sửa nội dung và biến hóa các tính năng của website trái phép.

Mục đích thủ thuật Website là gì?

Vào những năm đầu của kỷ nguyên Web, thì những tay hacker tấn công khai thác các lỗ hổng bảo mật thông tin trên Website mục tiêu chỉ để thể hiện số má – hoặc phá hoại, rất có thể để cảnh báo các lỗ hổng bảo mật thông tin mà quản lí trị web ko biết.

Xem thêm: Top 5 Nhuộm Tóc Màu Vàng Tây Nam, Nhuộm Tóc Màu Vàng Tây Nam

Bạn hoàn toàn có thể thấy những vụ tiến công vào Website những chính phủ, tập đoàn lớn hoặc tiêu biểu vượt trội ở nước ta là tiến công vào Website của bộ Giáo dục & Đào tạo.

Các lỗ hổng bảo mật thông tin trên trang web – dù cần sử dụng mã nguồn gì thì cũng luôn luôn luôn tồn tại, vấn đề là nó dành được phát hiện hay là không thôi.

Đôi khi, các lỗ hổng bảo mật thông tin bắt mối cung cấp từ các lỗi cực kỳ sơ đẳng, ví dụ như lưu tin tức đăng nhập trên đồ vật tính, điện thoại cảm ứng thông minh rồi với ra tiệm sửa, … hoặc lỗ hổng vày code cẩu thả khiến ra…

So cùng với thời kỳ đầu, thì mục đích của gian lận Website hiện giờ 99% là vì tiền, như đánh cắp dữ liệu để bán lại, ăn uống cắp tin tức thẻ tín dụng/ ghi nợ nhằm rút tiền, thủ thuật mướn cho các đối thủ cạnh tranh không lành mạnh, phân phát tán nội dung cho các thế lực xấu….

Và tốt nhất là hack cho những mục đích kiếm tiền trực tiếp: chèn link chuyển hướng tới site tìm tiền, chèn nội dung lừa đảo, chèn quảng cáo, chèn link cho các chiến dịch Blackhat SEO…

Khi mới ban đầu tạo Website, chúng ta thường nghĩ về Web đó chỉ nên web mẫu, gồm bị thủ thuật cũng ko sao. Nhưng khi một website bị thâm nám nhập, tin tặc sẽ tải mã độc lên hosting và âm thầm lây lây lan lên cục bộ các Website khác sau này, ….

Khi một trang web bị chiếm phần quyền, thì hacker hoàn toàn có thể dùng các phương pháp tấn công Local Attack rất phổ biến để thực thi những lệnh tấn công toàn cục các Website không giống trên cùng gói Hosting.

Vô số tai hại xảy ra khi 1 website bảo mật thông tin kém ở trên thuộc hosting/vps với các Websites đặc biệt quan trọng khác, không chỉ lây nhiễm mã độc mà lại còn khiến cho nguy cơ những Website khác bị Google cấm cửa chỉ vị một site thử nghiệm vô thưởng vô vạc bạn tạo nên trước đó.

Các phương thức hack Website thịnh hành nhất 2019

Dù phương thức thực hiện thủ thuật Website cực kì đa dạng, nhưng phổ biến qui, tất cả các bề ngoài phổ phát triển thành chiếm đa số các vụ tiến công bảo mật!

Có 2 kiểu tiến công là:

Dù là kiểu tấn công nào, thì cuối cùng, tác dụng thường là trang web của các bạn sẽ bị chèn mã độc, để hacker hoàn toàn có thể để lại một backdoor cho phép họ thâm nhập sau này, hoặc mã độc lặng lẽ thực hiện các tác vụ tổn hại trên website.

Chúng ta sẽ tò mò về Mã độc bên trên Website – Malware trong topic tiếp theo.

1. Tấn công Dò mật khẩu – Brute Force Attack

Đây là kiểu tiến công tưởng là cơ bản – nhưng tác dụng cao nhất.

Brute Force Attack là kiểu tấn công bằng cách thức dò mật khẩu, với các thuật toán tự động hóa thử các chuỗi mật khẩu không giống nhau, bao gồm số, chữ cái – chữ cái và số….

Về lý thuyết, nếu bao gồm đủ thời gian, thì Brute Force ở đầu cuối sẽ tìm được mật khẩu chủ yếu xác.

Không buộc phải như nhiều người dân nghĩ Brute Force Attack là ‘đoán’ mật khẩu, mà thực tế có những chương trình với thuật toán dò mật khẩu ‘máu lạnh’ – cùng với xác xuất bắt được những mật khẩu yếu rất cao.

Nếu các bạn dùng tài khoản kiểu admin/ password, admin/ 123456, admin/ 123abc… thì xem như bái Website cho hacker rồi.

Để kiểm tra xem thời gian trung bình dò một mật khẩu, bạn cũng có thể kiểm tra sinh hoạt đây:

Password check – Kespersky Lab

Với một trong những phần mềm mà hacker nào cũng hoàn toàn có thể viết hoặc tìm được trên mạng, được hacker hỗ trợ một dải IP hay danh sách domain rước từ những nguồn tất cả sẵn, thì list Website bị xâm nhập nhiều như lá mùa thu, toàn bộ bắt mối cung cấp từ thói quen tạo tài khoản rất ngây thơ mà lại vẫn còn một vài lượng lớn người dùng mắc phải.

Thông thường phương thức tấn công dò mật khẩu đăng nhập Brute Force Attack được thực hiện bằng cách gởi thông tin username/ password trực tiếp tới trang đăng nhập Word
Press, khoác định là ten-mien/wp-admin hoặc ten-mien/wp-login.php.

Để chống chống, họ thường đổi băng thông đăng nhập (dùng plugin i
Themes Security chẳng hạn), hoặc thêm thiên tài mật khẩu 2 lớp (Two Factor Authentication), hoặc thêm Captcha checkbox….

Nhưng, còn một loại Brute Force Attack khác, chính là qua XML-RPC!

XML-RPC là 1 trong những giao thức gọi thủ tục từ xa, chất nhận được thực hiện những request HTTP theo một tập lệnh XML được mã hóa.

Điểm để biệt là của XML-RPC là cách tiến hành system.multicall, có thể chấp nhận được gởi nhiều tổng hợp tham số trong những request.

XML-RPC không chỉ dùng trong Word
Press mà lại còn hỗ trợ trên nhiều CMS và ngôn từ lập trình Web thông dụng khác. XML-RPC hiện giờ không còn quá cần thiết, chỉ có một số trong những ít plugin còn cần nhân kiệt này (như Jetpack). Tuy nhiên nó hiện tại vẫn được kích hoạt auto trong Word
Press Core.

Trong Word
Press, XML-RPC là tính năng cho phép kết nối với Word
Press từ các ứng dụng bên phía ngoài để đăng bài (như Word
Press Apps bên trên Apple ứng dụng Store..)

Đây là anh tài có từ bỏ thời việc kết nối Internet còn chậm, người tiêu dùng soạn thảo sẵn nội dung bài viết trên máy tính và dùng XML-RPC để liên kết với Website với đăng bài bác thay vì chưng mở trình ưng chuẩn web và soạn thảo thẳng như hiện tại nay.

Từ năm 2015, hacker đã lợi dụng phương thức system.multicall của XML-RPC để tiến hành các truy nã vấp dò password quản trị.

Nôm na là, tin tặc sẽ giữ hộ tới XML-RPC một lệnh wp.get
Categories nhằm truy xuất dữ liệu hạng mục – để thực hiện lệnh này, yên cầu phải login quyền Adminstrator, tận dụng phương thức system.multicall mà lại XML-RPC hỗ trợ, hacker hoàn toàn có thể gởi kèm lệnh đó cùng rất hàng trăm cặp username/password khác nhau.

Như vậy, chỉ từng một HTTP request tới XML-RPC, hacker sẽ test được đến vài trăm cặp user/pass, nên phương thức tấn công này còn có cường độ cấp trăm lần đối với cách tiến công Brute Force Attack qua trang login (ten-mien/wp-admin, ten-mien/wp-login.php,…).

Cách tấn công này cũng quan trọng chặn bằng cách thức đổi đường dẫn đăng nhập hoặc Two Authentication, Captcha Checkbox… Vì khả năng XML-RPC lúc bật rất có thể gởi request trực tiếp nhưng mà không đề nghị qua bất kể lớp bảo mật thông thường nào.

Vì cường độ tấn công lớn, lỗ hổng XML-RPC còn được dùng cho mục tiêu tấn công lắc đầu dịch vụ (DDos).

Để chống tình trạng này, họ sẽ buộc phải tắt XML-RPC thủ công bằng tay từ hosting, hoặc tắt 1 phần – chặn system.multicall bằng những plugin.

Việc này sẽ được hướng dẫn chi tiết trong topic các phương pháp bảo mật trong cùng siêng đề này.

2. Tiến công vào những lỗ hổng bảo mật trên Hosting

Có vô số các dịch vụ Hosting/ VPS giá bèo như mang lại trên thị trường, với thông số kỹ thuật quảng cáo hầm hố – nhưng đằng sau đó thỉnh thoảng chỉ là 1 ‘tay mơ’ thuê sever để cung cấp hosting hoặc tienthanh.edu.vn những gói reseller hosting quality thấp cung cấp lại.

Hosting không chỉ có tài năng nguyên phần cứng, cơ mà các technology đảm bảo an ninh cho website càng đặc biệt hơn nhiều.

Nếu một thiết bị chủ, vps hoặc gói hosting bị tin tặc thâm nhập, thì mọi phương pháp bảo mật trên Website trở đề nghị vô nghĩa.

Tai sợ ở chỗ, nếu Website bị lan truyền malware trên hosting cũ, các bạn move qua hosting mới mà không gỡ sạch sẽ mã độc vào code và database thì đông đảo thứ vẫn không không giống gì.

3. Hack lỗ hổng bảo mật thông tin trên Code

Đây là cách thức tấn công Website phổ cập nhất, nó là vì sao chính khiến cho ‘bảo mật Website’ là cuộc chiến trường kỳ, không lúc nào có End
Game.

Mọi ngôn ngữ lập trình đều sở hữu điểm mạnh, nhược điểm nên luôn luôn có những phương thức bảo mật để né bị hacker lợi dụng.

Vấn đề là những phần mềm, mã mối cung cấp website quan yếu tự tạo thành mà được code bởi ‘cơm’, nên những lỗ hổng bảo mật – từ bỏ sơ đẳng đến hiếm gặp ngày ngày được tạo ra.

Một chúng ta mới học tập lập trình, nảy ra ý tưởng về một app với anh tài ‘thú vị’, bèn code tức thì và gửi nó lên Store, đa số người thấy ứng dụng thú vị yêu cầu tải về dùng.

Một anh chàng mới học làm cho Web Word
Press, suy nghĩ ra một hào kiệt hay, code tức thì một plugin và giới thiệu cho cộng đồng dùng. Thấy plugin gọn gàng nhẹ nhưng hay, nhiều người thiết đặt và áp dụng một phương pháp thích thú…

Nhưng, code không đơn giản dễ dàng chỉ là triển khai ‘tính năng như thế nào đó’ như mọi fan tưởng. Cùng một tính năng, tuy nhiên nếu thiếu hiểu biết nhiều về các cơ chế bảo mật thông tin trong lập trình, chúng ta hoàn toàn rất có thể tạo ra các lỗ hổng để hacker tấn công vào Website.

Rất các ứng dụng, addons/ plugins/ extension… được tạo thành từ mọi developer tay mơ, kèm theo đó là rất nhiều lỗi sơ đẳng về bảo mật, cách xử lý hiệu năng và các lỗi tương thích…

Với người dùng bình thường, bọn họ chỉ thân yêu tới tác dụng hay chứ đâu cần phải biết nó có bình yên không.

Trong quả đât Word
Press, hàng tỷ Website vẫn vô tứ dùng các plugin chỉ gồm vài đánh giá trên WP Repository, gần như plugin được share trong phần lớn nhóm fan dùng bé dại (ví dụ những plugin do người tiêu dùng VN tạo nên để thêm nhân tài cho Woo, Flatsome…).

Mọi Coder đều có những lúc bất cẩn, nhà quan. Chưa kể có những vấn đề phát sinh từ thực tế sử dụng nên lỗ hổng bảo mật trong Code luôn luôn luôn xuất hiện.

Vô số những trang Web khủng (kể cả web trong phòng Trắng) chạm chán sự cầm bảo mật, như Facebook cách đây không lâu – tin tặc lợi dụng một vài tính năng để đánh cắp – xâm phạm data của bạn dùng.

Trong Word
Press, từ bỏ mã nguồn Word
Press core, những theme béo Newspaper by Tagdiv, Porto, Avada hay các plugin Revolution Slider, liên hệ Form 7, Fancy Box… mọi từng gồm có lỗi bảo mật nghiêm trọng.

Nên cái quan trọng nhất không phải là chọn CMS, theme, plugin… nào không tồn tại lỗi bảo mật – mà là “lỗi bảo mật xuất hiện lúc nào và cách nào để phòng né – hạn chế và khắc phục lỗi bảo mật”

Để hiểu hơn về tiến công vào lỗ hổng bảo mật trên mã nguồn, chúng ta sẽ điểm qua các phương thức tấn công thịnh hành nhât nhiện ni qua lỗi bảo mật thông tin trên code.

Dựa vào lỗi bảo mật trong code truy nã vấn cơ sở tài liệu SQL, hacker chỉ cần cố tình sử dụng những giá trị và truy vấn đặc biệt để truy xuất – chỉnh sửa – thêm – xóa các dữ liệu trong database.

Trong hình là một trong những ví dụ về tiến công lỗ hổng SQL, khi code không có cơ chế kiểm tra bảo mật thông tin chặc chẽ, truy tìm vấn cùng với tham số luôn luôn đúng “1=1” sẽ khiến server trả về tất cả các hiệu quả hiện tất cả trên database.

Lỗi SQL Injection chiếm phần một tỉ lệ lớn trong những vụ mod website, với gây ra tai hại rất nghiêm trọng bởi vì khi can thiệp được vào database, hacker gần như là nắm toàn quyền điều hành và kiểm soát website của bạn.

Hầu hết những CMS phổ cập đều đã từng có lần dính những lỗi SQLi, như Magento core, Joomla, Drupal… cùng v
Bulleting.

Trong Word
Pres, gần đây các plugin danh tiếng như Duplicate Page, nin-ja Form, Advanced Custom khung 7 DB, bb
Press,…

Nổi tiếng độc nhất vô nhị là những cuộc tiến công diện rộng lớn vào lỗ hổng SQLi trên WP Statistics và WP Next
GEN Gallery năm 2017, gây tác động cả trăm ngàn Websites.

Kiểu tấn công này nhằm mục tiêu vào lỗ ổng bảo mật thông tin trên code, tuy vậy dùng các lệnh thực thi phía Client Site (phía người dùng).

Các lệnh mà hacker dùng thường là các ngôn ngữ client side như Javascript(JS), VBScript xuất xắc Flash, HTML… hiện thời thì thịnh hành nhất là JS với HTML.

Mục đích của các đoạn mã JS, HTML là:

Hacker llừa người dùng nhấp vào những đường links của trang web họ sẽ đăng nhập.

Ví dụ người dùng đang đăng nhập vào vietcombank.com.vn, thì tin tặc sẽ gởi mang lại họ một con đường link tương tự như nhưng kèm những tham số để thực thi lện js do hacker tạo ra.

Cụ thể “https://vietcombank.com.vn/+ js code”

Nếu website được code nhát bảo mật, không check và làm cho sạch những tham số bên trên ULR, thì những lệnh “js code” của hacker sau thời điểm được xử lý vị Server vẫn trả về trình duyệt xúc tiến ngay bên trên trình coi sóc của người dùng, và lệnh “js code” này thường có trách nhiệm ăn cắp cùng gởi cookie trên trình lưu ý tới hệ thống của hacker.

Có cookie này tin tặc sẽ login vào chính tài khoản của người tiêu dùng trên vietcombank.com.vn mà không nhất thiết phải có username & mật khẩu.

Tất nhiên cookie chỉ từ hiệu lực trường hợp phiên thao tác làm việc (session) của người dùng vẫn còn, nếu người dùng đã singout khỏi vietcombank.com.vn trước khi nhấp vào liên kết do hacker gởi thì cookie đó không hề sử dụng nhằm login được nữa.

Cách tiến công này nhờ vào vào chuyên môn ‘lừa’ của hacker và sự không cẩn thận từ người dùng!

Stored XSS là kiểu tiến công mà các đoạn mã js được chèn vào code, database của website luôn. Khi người dùng truy cập vào những tác vụ tương ứng, mã js sẽ triển khai và đánh tráo cookie hoặc đưa các thông tin lừa đảo, redirect sang trọng web xấu..

Kiểu tấn công này kết quả cao bởi vì không bắt buộc lừa người tiêu dùng nhấp vào links nào cả, chỉ cần họ vào website có tác vụ bị gài mã js là ok.

Việc đưa mã độc js vào code/ database thường được tiến hành qua những tính năng đề nghị lưu tài liệu như form liên hệ, khung bình luận, reviews….

Nếu quy trình code những tính năng này, developer không thực hiện công việc bảo mật như kiểm tra xác xắn kiểu tài liệu được nhập – loại bỏ các ký tự nguy hiểm… thì thay do đưa những nội dung phù hợp pháp như văn bản bình luận, tấn công giá… thì hacker sẽ nhập vào các đoạn mã js.

Trong Word
Press, Stored XSS là lỗi được khai thác thường xuyên nhất, hoàn toàn có thể kể đến Word
Press phiên bản 5.0.x, Social Warfare, Jetpack, Akismet, bb
Press…

Một kỹ thuật tiến công XSS mới, được cho phép hacker chuyển đổi cấu trúc DOM của trang web, khi người tiêu dùng nhấp vào phần nội dung cấp dưỡng này, các đoạn mã js ô nhiễm sẽ thực thi.

Nó giống như với Reflected XSS dẫu vậy thay do gởi về vps để xử trí và phản hồi lại mang lại trình duyệt, thì DOM-based XSS thực thi ngay bên trên trình chăm chút mà không cần thiết phải gởi về Servers để cách xử trí lệnh.

Ví dụ hacker có thể gởi một đường liên kết tới nạn nhân, nàn nhân click vào thì trên Website bị XSS sẽ có một Popup yêu mong “nhập Password” để đăng nhập hoặc login để dìm phần thưởng chẳng hạn (mà thông tin bạn nhập vào đang gởi cho tin tặc thay vì chưng gởi về server).

Kỹ thuật XSS Attack và chống XSS Attack là giữa những kỹ thuật cơ phiên bản trong bảo mật.

Lỗi XSS được tạo ra không yêu cầu bởi trình độ chuyên môn của developer non cơ mà thường là do thói quen thuộc viết code cẩu thả, thiếu hụt sự siêng tâm.

Vì code bởi ‘cơm’ phải lỗi XSS gồm thể gặp mặt ở bất kỳ coder nào, buộc phải XSS attack vẫn còn đó là loại tấn công phổ cập – hiệu quả trong tương lai.

Nạn nhân trực tiếp của XSS Attack chính là người dùng, tuy thế nạn nhân gián tiếp với bị ảnh hưởng nặng nề đó là Website bám lỗi XSS.

Người cần sử dụng sẽ quay sườn lưng với Website sau khi bị tấn công, ăn cắp dữ liệu…

Nếu mã độc được gửi vào database (Stored XSS) thì Google và các trình để mắt sẽ cấm cửa luôn luôn trang website hoặc toàn bộ Website.

Cách thức tấn công CSRF dễ nhầm lẫn cùng với XSS, vì nó dùng thủ đoạn lừa người tiêu dùng thực hiện nay một tác vụ cơ mà chỉ có họ mới tất cả quyền thực hiện.

Tuy nhiên, với XSS – kẻ tấn công thực hiện những lệnh bởi JS ngay lập tức trên trình duyệt fan dùng. Còn cùng với CSRF – kẻ tấn công gởi các lệnh tới nhằm lừa người tiêu dùng thực hiện tại – những lệnh này hoàn toàn có thể là những tác vụ thực hiện trên Server.

Ví dụ, nhiều người đang đăng nhập vào https://wpbanquyen.com, hacker sẽ gởi cho bạn một links như sau:

https://wpbanquyen.com/account?new_password=abc123Sau khi nhấp vào link, chúng ta đã tiến hành đổi pass sang abc123 mà không hề biết, lệnh này chỉ có bạn khi đăng nhập mới bao gồm quyền thực thi. Nắm là hacker dùng pass new để login vào thông tin tài khoản của bạn.

Cách này cũng dùng để chiếm chiếm tiền. Ví dụ ai đang login vào thông tin tài khoản ở ngân hàng Vietcombank, và khi đó, hacker bằng cách nào kia gởi cho bạn một đường links với một cái ảnh (được set kích thước 0.0 nhằm ẩn tấm ảnh đi):

Khi nhấp vào links này, bạn thực hiện lệnh đưa 1000 vào thông tin tài khoản tienthanh.edu.vn trên cùng hệ thống ngân sản phẩm Vietcombank…

Hiện nay các Website lớn đều có cơ chế chống tấn công CSRF, nhưng vẫn còn đó vô số lổ hổng để tin tặc lợi dụng, nên cuộc chiến bảo mật luôn rất căng thẳng.

Điển hình mới đó là phiên phiên bản Word
Press 5.0.x, lỗi CSRF chất nhận được hacker đăng cài một comment kèm đường links (tính năng pingback/trackpack). Ví như quản trị – Administrator nhấp vào đường links đó, sẽ thực thi các lệnh mà hacker muốn với quyền Administrator.

Lỗi bảo mật này còn có hiệu lực với hồ hết user quyền Editor. Vì những quyền Editor, Adminstrator hoàn toàn có thể thực hiện tại các bình luận với các thẻ HTML như , RELATED ARTICLESMORE FROM AUTHOR