Information disclosure vulnerabilities - Các lỗ hổng tiết lộ thông tin (phần 4)

IV. Tầm ảnh hưởng của các lỗ hổng tiết lộ thông tin

1. Nguy hiểm mang lại

Các thông tin nhạy cảm tiết lộ thường sẽ tạo tiền đề để kẻ tấn công có thể thực hiện tấn công bằng những lỗ hổng khác. Chẳng hạn, một số thông tin nhạy cảm tiết lộ từ thông báo lỗi có thể là dấu hiệu cho những lổ hổng như SQL Injection, Server-side Template Injection, ... Đối với một phần mã nguồn bị lộ giúp kẻ tấn công có thể tìm kiếm các cách khai thác trực tiếp trong source code, hoặc xây dựng một cuộc tấn công Deserialize, ... Những phiên bản hệ điều hành, phiên bản công nghệ bị lộ có thể giúp kẻ tấn công tìm kiếm một số CVE (Common Vulnerabilities and Exposures) áp dụng với chính phiên bản đó.

2. Vai trò của thu thập thông tin trong Penetration Testing

Pentest, viết tắt của penetration testing (kiểm tra xâm nhập), là hình thức đánh giá mức độ an toàn của một hệ thống IT bằng các cuộc tấn công mô phỏng thực tế. Người xưa có câu: "Biết người biết ta, trăm trận trăm thắng". Giai đoạn thu thập thông tin đóng vai trò vô cùng quan trọng trong quá trình pentest (thường áp dụng với pentest blackbox khi chưa có thông tin gì về mục tiêu).

Trong giai đoạn này, các pentester sẽ thu thập tất cả những thông tin cần thiết về đối tượng. Khi lượng thông tin thu thập được càng nhiều, cũng đồng nghĩa rằng chúng ta càng hiểu rõ về mục tiêu. Từ đó có thể xây dựng một chiến thuật, kế hoạch tấn công hợp lí, toàn diện, giảm thời gian và tiết kiệm công sức.

V. Một số công cụ hỗ trợ tìm kiếm các lổ hổng Information disclosure

Các lỗ hổng tiết lộ thông tin có thể xuất hiện ở bất kì đâu và rất đa dạng. Nếu chỉ tìm kiếm thủ công sẽ khó có thể thu thập đầy đủ các thông tin cần thiết. Bởi vậy, chúng ta có thể kết hợp tìm kiếm thủ công cùng với một số công cụ hỗ trợ, các công cụ tôi giới thiệu đều có ưu, nhược điểm riêng, tùy vào sở thích vào thói quen các bạn có thể lựa chọn những công cụ phù hợp với mình nhất!

1. Extension Wappalyzer của Google Chrome

Wappalyzer là một công cụ giúp phát hiện các công nghệ sử dụng bởi một trang web, ví dụ như: CMS trang web đang sử dụng, framework, nền tảng thương mại điện tử (ecommerce platform), các thư viện Javascript, ...

Bên cạnh Wappalyzer còn có nhiều extension khác các bạn có thể tự mình khám phá thêm.

2. Một số tính năng được hỗ trợ trong Burp Suite

Một vài tính năng, công cụ giúp ích cho việc tìm kiếm các thông tin nhạy trong Burp Suite như:

Tính năng Search (Trong tùy chọn Repeater): tìm kiếm một số từ khóa nhạy cảm như: SQL, Select, template, invalid, ...

Tính năng Find comments (Trong tùy chọn Target): hiển thị tất cả comments trong Response.

Công cụ Discover content (Trong Engagement tools): click chuột phải chọn Engagement tools và sử dụng công cụ Discover content, công cụ giúp chúng ta quét các thư mục của trang web đang nhắm tới (targeting)

3. Một số phần mềm, công cụ scan khác

Với các phần mềm, công cụ thu thập thông tin có Nessus, Nuclei, Screaming Frog, ...

Với scan thư mục thì điển hình có thể kể đến như Dirsearch hoặc Gobuster scan dựa trên các list thư mục đa dạng, ...

VI. Ngăn ngừa tiết lộ thông tin

Trước hết, các nhà phát triển ứng dụng cần phân biệt được các thông tin thông thường và thông tin nhạy cảm.
Chú ý thiết lập quyền truy cập nghiêm ngặt đối với vai trò của mỗi người dùng.
Không để lộ các file backup, đường dẫn nhạy cảm.
Lập trình viên cần xử lý tốt các trường hợp ngoại lệ có thể xảy ra.
Luôn sử dụng và cập nhật các công nghệ áp dụng lên phiên bản mới nhất.
Thường xuyên kiểm tra, rà soát sản phẩm.

VII. Các tài liệu tham khảo

Viblo WebSecurity