Trang tin tổng hợp cá nhân

(QTM) Phân tích tấn công của hacker vào website Microsoft-UK

Do Hai An — Thu, 09 Aug 2007 04:01:49 +0000

Jonathan Spiteri

Phân tích chi tiết về một website bị tấn công như thế nào là cách tránh các cuộc tấn công tương tự.

Trang đăng ký sự kiện đối tác của website sự kiện Microsoft tại Anh đã bị làm mất thể diện bởi một hacker, kẻ tấn công này đã khai thác được lỗ hổng trong ứng dụng của một trong những tham số được sử dụng bởi biểu mẫu trên website, đường dẫn trước đây của website bị truy cập là:

http://www.microsoft.co.uk/events/net/eventdetail.aspx?eventid=8399 [taken offline]

Kẻ tấn công có tên là “rEmOtEr“, đã xâm nhập vào trang của Microsoft bằng cách lợi dụng lỗ hổng SQL Injection trong tham số được sử dụng bởi biểu mẫu nhúng trên URL của trang. Tham số riêng này không được lọc, do vậy nó đã cho phép hacker có thể đi qua được và xâm nhập vào cơ sở dữ liệu đang được sử dụng bởi biểu mẫu này.

Thêm vào đó, hacker đã khai thác các tên bảng và cột (trường dữ liệu) bên trong cơ sở dữ liệu được gọi và hiển thị trên trang – điều này có nghĩa là các văn bản hoặc thậm chí đoạn mã được chèn bên trong cột này sẽ được hiển thị trên trang.

Các hành động kẻ tấn công đã thực hiện để xem mật khẩu cơ sở dữ liệu

Dưới đây là bối cảnh xây dựng lại một cách vắn tắt để dẫn chứng một số bước được kẻ tấn công thực hiện để khai thác được lỗ hổng SQL Injection trong biểu mẫu đăng ký, bối cảnh này cho phép hacker có thể quan sát được usename và password trong hệ thống:

1. Các tham số của biểu mẫu được điền vào bằng các ký tự không bình thường (như “ ‘ ” và “–“) để xem sự tương tác của website. Các ký tự này thường được lọc ra bởi vì chúng được sử dụng trong SQL như các lệnh đặc biệt để thao tác với cơ sở dữ liệu. Các tham số đã kiểm tra gồm:

Các đầu vào hữu hình (textbox, danh sách dropdown,…) trong biểu mẫu (phương thức POST)

Các đầu vào vô hình từ mã nguồn HTML của trang (phương thức POST)

Các tham số được sử dụng trong URL (phương thức GET)

2. URL của website trong trường hợp này sử dụng hai tham số eventID và v2:

http://www.microsoft.co.uk/events/net/PreRegister.aspx?eventID=p83968&v2=1

Chỉ cần thêm một dấu nháy trên (‘) vào URL, kết quả sẽ thu được như hình 1 dưới đây:

http://www.microsoft.co.uk/events/net/PreRegister.aspx?eventID=p83968&v2=1’

Hình 1

Lợi dụng lỗi này, có thể xác nhận được 2 điều:

Server-Side error messages are ENABLED on the web server (Các thông báo lỗi trình chủ được CHO PHÉP trên web server) Các lỗi này thường được kích hoạt chỉ trong quá trình phát triển và kiểm tra lỗi. Khi website được đưa ra dùng thì thông báo lỗi trình chủ thường được vô hiệu hóa để không xuất hiện các thông tin nhậy cảm trên mạng.

The parameter v2 is NOT being filtered for malicious characters/code – (Tham số v2 KHÔNG được lọc mã/ký tự nguy hiểm) Điều này nghĩa là bất cứ thứ gì mà tham số này có thì nó sẽ đều được chuyển vào SQL Server đang sử dụng mà không được lọc.

Lỗi SQL dài này đã lộ rất nhiều thông tin nằm dưới cơ sở dữ liệu, các thông tin này có thể được hacker sử dụng để tấn công và thay đổi dữ liệu được lưu bên trong cơ sở dữ liệu này.

3. Hacker đã thu được nhiều thông tin có giá trị trực tiếp từ cơ sở dữ liệu bằng cách sử dụng các lệnh SQL Command để xâm nhập thông qua tham số này bằng cách thử và lỗi. Kẻ tấn công cũng được trợ giúp nhiều hơn với các thông báo lỗi được hiển thị trên trang.

SQL Command 1 having 1=1— đã được gửi nối với tham số v2 để chất vấn SQL chính được gửi đến cơ sở dữ liệu. Hành động này đã bổ sung thêm một điều kiện cho chất vấn SQL, luôn luôn đúng (1=1), và trong trường hợp này nó không rõ ràng với SQL Server bởi vì lệnh GROUP BY sinh ra lỗi dưới đây:

http://www.microsoft.co.uk/events/net/PreRegister.aspx?eventID=p83968&v2=1 having 1=1–

Kết quả là nhiều thông tin cơ sở dữ liệu đã bị lộ!

Tên bảng MultivenueLists và một số tên cột như recordID và venueStatus đã bị lộ, từ đó kẻ tấn công khai thác được sâu hơn về cấu trúc cơ sở dữ liệu.

Lưu ý:
Trong các cột Structured Query Language (SQL) được đề cập đến bằng kí hiệu TABLE(chấm)COLUMN (ví dụ MultivenueLists.recordID).

4. Khi hacker biết được tên bảng và cột, anh ta sẽ xâm nhập vào một số văn bản bên trong một cột, cụ thể bằng việc thêm vào câu lệnh như 1 update MultivenueLists set venueStartDate=’hacked by rEmOtEr’;– vào đầu ra của tham số v2 trong URL:

…ster.aspx?eventID=p83968&v2=1 update MultivenueLists set venueStartDate=’hacked by rEmOtEr’;–

Hình 2: Trang thu được không có lỗi, nhưng văn bản đã chèn vào trong
cơ sở dữ liệu sẽ được hiển thị trên trang.

5. Sử dụng câu lệnh UNION SELECT, hacker có thể thu được danh sách tên người dùng và mật khẩu từ hệ thống bằng cách đoán tên của hai cột (người dùng và mật khẩu) và bảng (người dùng – users).

Đây là SQL Command được sử dụng cho tham số v2 để thu được username:

…ster.aspx?eventID=p83968&v2=-1 union select 1,2,3,4,username,6,7 from users–

Hình 3

Đây là SQL Command cho tham số v2 để thu được mật khẩu:

…ster.aspx?eventID=p83968&v2=-1 union select 1,2,3,4,password,6,7 from users—

Hình 4

6. Sử dụng sự kết hợp các truy vấn với userID, hacker có thể xác định được mật khẩu nào đi với tên người dùng nào.

Các hành động kẻ tấn công đã thực hiện để thay đổi nội dung của trang

Dưới đây là bối cảnh được xây dựng lại một cách vắn tắt để dẫn chứng một số bước được kẻ tấn công thực hiện để khai thác được lỗ hổng SQL Injection trong biểu mẫu đăng ký:

1. Khi hacker biết được đầy đủ các thông tin để đưa mã của mình vào cơ sở dữ liệu website, anh ta chuẩn bị một trang HTML đơn giản trên máy chủ từ xa của người thứ ba để tấn công.

2. Sử dụng các lệnh tương tự như được dùng để hiển thị văn bản trong trang, hacker chèn vào sau URL một website HTML đơn giản được giữ bởi một máy chủ từ xa của người thứ ba:

3. Trang biểu mẫu trên site Microsoft cũng được tạo ra theo cách tương tự như vậy, nó tải lên các văn bản từ cơ sở dữ liệu khi người dùng duyệt trên trang (điển hình của hệ thống CMS). Khi văn bản này được thay thế bởi liên kết xhref ở trên thì nó sẽ hiển thị toàn bộ nội dung của trang từ máy chủ mở rộng.

4. Đây là những gì trang web thể hiện khi bị tấn công:

Hình 5

Nguyên nhân của sự tấn công

Có một sự phối hợp trong hai thành phần gây ra tấn công này – ngoại trừ động cơ từ kẻ tấn công quyết tâm muốn ghé thăm một chút vào trang biểu mẫu trên website của Microsoft – đó là:

1. SQL Injection – Một trong những tham số trong URL được gửi trực tiếp đến cơ sở dữ liệu mà không cần lọc trước đó. Điều này là một kênh cho kẻ tấn công tương tác trực tiếp với cơ sở dữ liệu.

2. Các thông báo lỗi – Từ các thông báo lỗi trên website, kẻ tấn công có thể tìm ra được cấu trúc của cơ sở dữ liệu. Điều này giúp hacker trong việc chọn các lệnh SQL để chèn mã của mình vào cơ sở dữ liệu từ đó thay đổi nội dung của trang.

Làm thế nào để ngăn chặn?

Cách tốt nhất để ngăn chặn tấn công này là thường xuyên kiểm tra các lỗ hổng của website. Bằng cách đó, các lỗ hổng SQL injection này có thể được phát hiện và vá trước khi website bị tấn công.

Làm thế nào để website của bạn được an toàn

Phần lớn website phức tạp thường khó khăn trong việc kiểm tra các lỗ hổng cho mỗi trang. Trang bị tấn công trên site của Microsoft chỉ là một phần nhỏ nằm trong một website lớn có thể bị bỏ sót- lỗi thông thường nếu bạn thực hiện công việc thẩm định bảo mật thủ công.

Sự phức tạp này có thể được khắc phục bằng sử dụng một bộ quét ứng dụng website một cách tự động như Acunetix Web Vulnerability Scanner. Với công cụ như vậy bạn hoàn toàn có thể sử dụng nó để quét mỗi tham số trên trang và trên các biểu mẫu trên website của bạn, với hành trăm lỗ hổng một cách tự động. Cách này sẽ làm giảm tính phức tạp và thời gian cần thiết để thực hiện công việc thẩm định bảo mật trên mỗi website.

Sử dụng một bộ quét ứng dụng website tự động cũng có nghĩa là bất cứ ai thực hiện thẩm định đều không yêu cầu nhiều đến hiểu biết về kỹ thuật lỗ hổng web, thay vì đó mà người dùng chỉ cần chạy ứng dụng để quét website và thu được báo cáo lỗi.

Văn Linh (Theo Windows Security)

Xe ga Attila Elizabeth

Do Hai An — Wed, 08 Aug 2007 04:09:13 +0000

Attila mới có đèn tròn, máy 135cm3, tự động tắt máy khi dừng và rồ gas sẽ chạy bình thường để tiết kiệm nhiên liệu, đèn tự điều chỉnh khi xe chuyển hướng để ánh sáng luôn tập trung, sử dụng bóng 55w Halogen, contermet và hộp điều khiển điện tử rất đẹp, đá chống tự động, mở yên và nắp xăng tự động (Contac có chức năng : mở máy – yên – xăng – khóa (khi khóa xe chuyển sang chế độ tự bảo vệ chống trộm), tốc độ tối đa lến đến 140km/h (mặt đồng hồ 180km/h), bình quân 45km/ 1lit ở tốc độ cao, 55km/1l ở tốc độ 40km/h – 60km/h…
Rất nhiều tính năng độc đáo từ loại xe mới này của SYM, chạy rất đầm và trớn cao do có sử dụng bánh đà, két nước, nhớt 1 lít cao cấp.
cuối cùng giá là 29T
(from bikervietnam.com.vn)

Nhãn hiệu : ATTILA ELIZABETH VT5
Số chứng nhận : 223/VAQ06 – 01/07
Xuất xứ : Đài Loan và Việt Nam
Loại phương tiện : Mô tô hai bánh
Năm bắt đầu sản xuất : 2007
Cơ sở sản xuất : Công ty HH chế tạo CN và gia công chế biến hàng XK VN
Địa chỉ : Khóm 5, Tam Hiệp, Biên Hoà, Đồng Nai
Điện thoại/ fax : 061-81208/034-827171 /061-812686
Thông số chung:
Mã số khung : RLGKA12ED*D
Trọng lượng bản thân : 113 kG
Phân bố – Bánh trước : 43.5 kG
- Bánh sau : 69.5 kG
Trọng lượng toàn bộ : 223 kG
Số người cho phép chở : 2 Người
Kích thước xe : Dài x Rộng x Cao : 1795 x 668 x 1100 mm
Chiều dài cơ sở : 1260 mm
Loại nhiên liệu : Xăng không chì có trị số ốc tan 92
Động cơ :
Nhãn hiệu : SYM VMVT5
Loại : Xăng 4 kỳ, 1 xi lanh, làm mát bằng không khí
Thể tích : 124.6 cm3
Công suất lớn nhất/ tốc độ quay : 6.5 kW/ 7500 v/ ph
Hệ thống phanh :
Phanh trước /sau : Phanh đĩa/Phanh kiểu tang trống
Cỡ lốp :
Lốp trước / sau: 100/90 – 10 /100/90 – 10

(Tổng hợp từ muare.vn)

Tiết kiệm điện cho windows Vista

Do Hai An — Wed, 08 Aug 2007 01:17:32 +0000

CHương trình này tiết kiệm 70% pin của bạn. Chạy ở task bar chiếm 5.5M bộ nhớ và 0% CPU

Cài đặt
Giải nén và chạy file MSI
Yêu cầu
Microsoft Windows Vista Home Premium hoặc cao hơn, chạy trên máy laptop.
Chú ý
+ Bạn cần cài đặt: .Net Framework 2 trước khi cài chương trình này.

Link tải: http://www.4shared.com/file/21577159/cffbdd70/VBS101.html

Thêm 2 trang .gov.vn bị hack

Do Hai An — Tue, 07 Aug 2007 02:38:46 +0000

1/8/2007:

khuyenhoc.quangtri.gov.vn/index.htm

2/8/2007:

rsc.gov.vn (đã fix)

Nguồn: zone-h.org

XAMPP 1.6.3

Do Hai An — Tue, 07 Aug 2007 02:02:05 +0000

Xampp đã được update lên bản 1.6.3 bao gồm:

Apache HTTPD 2.2.4 + Openssl 0.9.8e
MySQL 5.0.45
PHP 5.2.3
PHP 4.4.7
phpMyAdmin 2.10.3
Zend Optimizer 3.3.0
1.6.3 Patch

http://www.apachefriends.org/en/xampp.html

Nghiêm cấm thờ cúng, hút thuốc tại công sở

Do Hai An — Tue, 07 Aug 2007 01:43:03 +0000

Thủ tướng Nguyễn Tấn Dũng vừa ký quyết định ban hành quy chế văn hóa công sở tại các cơ quan hành chính nhà nước.

Quy chế nghiêm cấm việc hút thuốc lá trong phòng làm việc, trừ trường hợp liên hoan, lễ tết, tiếp khách ngoại giao nhưng phải được sự đồng ý của lãnh đạo cơ quan; không được lập bàn thờ, thắp hương, không đun nấu trong phòng làm việc. Chính phủ nghiêm cấm việc thu phí gửi phương tiện giao thông của người đến giao dịch, làm việc; cấm quảng cáo thương mại tại công sở.

Quy chế nêu rõ, cán bộ, công chức, viên chức phải đeo thẻ khi thực hiện nhiệm vụ, phải tỏ thái độ lịch sự, tôn trọng người đến làm việc, không được nói tục, không được sử dụng tiếng lóng, không được quát nạt người đến làm việc…

(Theo Tuổi Trẻ)

Red Hat trì hoãn ra mắt Linux cho PC để bàn

Do Hai An — Mon, 06 Aug 2007 09:04:26 +0000

Red Hat Inc cuối tuần qua cho biết sẽ hoãn kế hoạch ra mắt phiên bản hệ điều hành Linux cho PC để bàn sang tháng 9. Theo kế hoạch trước đây phiên bản hệ điều hành mã nguồn mở cạnh tranh với Microsoft Windows sẽ ra mắt trong tháng 8 này.

Ông Gerry Riveros – giám đốc quản lý sản phẩm của Red Hat – khẳng định Red Hat Global Desktop Linux ra mắt trong tháng 9 sẽ bao gồm phần mềm hệ điều hành và các chương trình ứng dụng tương thích tốt với PC để bàn và máy tính xách tay.

Tháng 5 vừa qua Red Hat cho biết hiện hãng đang phối với với Intel để phát triển các phần mềm cho máy tính để bàn có tính năng tương đương với Microsoft Windows. Phí bản quyền sử dụng phần mềm đã bao gồm cả phí dịch vụ hỗ trợ bản cập nhật bảo mật cho một 1 năm.

Thị trường mục tiêu của Red Hat Global Desktop Linux là thị trường các nước đang phát triển, đặc biệt là chính phủ các nước và các doanh nghiệp nhỏ không có đủ khả năng đầu tư cho Microsoft Windows.

Ngoài Microsoft Windows, Red Hat Global Desktop Linux còn một đối thủ cạnh tranh nặng ký khác là phiên bản hệ điều hành miễn phí Ubuntu Linux.

Ông Riveros cho biết kế hoạch ra mắt bị trì hoãn là điều kiện tốt để Red Hat nghiên cứu và bổ sung thêm các công nghệ mới, ví dụ công nghệ cho phép người dùng có thể xem đa định dạng video trên PC …

Hoàng Dũng

Theo Reuters, VnMedia

Sử dụng Linux trên Windows

Do Hai An — Sun, 05 Aug 2007 02:40:12 +0000

Bạn quen dùng windows nhưng vẫn muốn tham khảo môi trường của Linux nhưng bạn:

- Không biết hoặc ngại cài Linux

- Muốn dùng cả 2 HĐH cùng một lúc

Cách giải quyết tốt nhất là:

- Tải chương trình VMware player http://www.vmware.com/download/player/
- Tải bản vmware cài sẵn của Ubuntu http://isv-image.ubuntu.com/vmware/Ubuntu-7.04-desktop-i386.zip

Sau khi tải về bạn cài VMware player và giải nén file Ubuntu-7.04-desktop-i386.zip

Bạn chạy VMware player và open file ubuntu đã giải nén. Thế là xong.

Có thể làm việc với Yahoo, Microsoft để quản lý blog

Do Hai An — Sat, 04 Aug 2007 01:29:59 +0000

Trước việc một học sinh quay cảnh các bạn nữ thay đồ rồi tung lên blog của mình, vấn đề quản lý blog lại càng trở nên cấp thiết. Phóng viên đã có cuộc trao đổi với ông Vũ Xuân Thành– Chánh Thanh tra Bộ Văn hóa & Thông tin.

Ông Vũ Xuân Thành cho biết:

Blog thuộc loại hình công nghệ, rất mới mẻ đối với công tác quản lý hiện nay. Phải khẳng định rằng có rất nhiều blog tốt, có tính giáo dục cao đối với lớp trẻ nhưng bên cạnh đó, đang xuất hiện ngày càng nhiều blog “đen”.

Qua nghiên cứu, chúng tôi thấy rằng blog “đen” có hai loại: Vi phạm thuần phong mỹ tục và phản ánh quan điểm trái ngược với quan điểm của Đảng, Nhà nước ta.

Loại blog “đen” thứ nhất vẫn phổ biến hơn. Đối với loại blog “đen” thứ nhất, chủ nhân blog đã thể hiện hết mình nên đã vô tình hoặc cố ý biến những trang này thành phương tiện truyền bá văn hoá đồi trụy, trái với thuần phong mỹ tục của người Việt Nam.

Điều nguy hiểm ở chỗ đây là phương tiện trên Internet nên nội dung này sẽ có rất nhiều người tiếp nhận trong thời gian nhanh nhất. Quan điểm của Thanh tra Bộ VH&TT là dứt khoát phải quản lý để phong trào blog phát triển tốt hơn.

Thanh tra Bộ VH&TT đã giao cho Phòng Thanh tra báo chí – xuất bản nghiên cứu các loại blog, thực trạng của blog hiện nay, sau đó trình lãnh đạo Bộ để trình Chính phủ cho ra đời thông tư quản lý blog giữa các Bộ VH&TT, Công an và BC&VT.

Thanh tra Bộ VH&TT đã hình dung ra cách quản lý loại hình nhật ký này chưa, thưa ông?

Đây là loại hình dịch vụ trên Internet nhưng cũng là một loại hình thông tin trên Internet. Như tôi đã nói đây là vấn đề kỹ thuật, rất mới mẻ và khó khăn cho cơ quan quản lý và cơ quan thực thi như Thanh tra. Lực lượng Thanh tra ngành văn hóa thông tin cũng chưa đáp ứng được yêu cầu quản lý loại hình này do không thể có đủ lực lượng am hiểu về kỹ thuật.

Với những trang blog đặt ở Việt Nam thì việc quản lý có thể thực hiện được. Tuy nhiên với những trang đặt ở nước ngoài như Yahoo! chẳng hạn thì ở thời điểm này chúng tôi chưa thể quản lý được.

Nhưng chúng ta vẫn có thể làm việc với Yahoo hoặc Microsoft để phối hợp thực hiện việc quản lý?

Việc đó có thể thực hiện được khi thông tư liên quan đến quản lý blog chính thức được ban hành và phải có sự chỉ đạo vì một mình cơ quan thanh tra không thể làm nổi. Khi đó, Cục Báo chí cũng phải vào cuộc.

Khi xây dựng thông tư quản lý blog, Thanh tra Bộ VH&TT có tham khảo những nước đang thực hiện việc này, như Trung Quốc chẳng hạn?

Hiện tại, chúng tôi chưa có chương trình đi khảo nghiệm ở nước ngoài. Nhưng rõ ràng nếu muốn quản lý loại hình nhật ký blog, phải tổ chức học tập nước ngoài để có thể áp dụng vào thực tế tại Việt Nam. Đương nhiên, không thể mang nguyên mô hình quản lý như nước ngoài bởi cơ sở hạ tầng, thuần phong mỹ tục của họ khác ta.

Theo Tiền Phong

Bị điện giật chết vì… sờ máy tính

Do Hai An — Fri, 03 Aug 2007 03:56:28 +0000

Một sinh viên 20 tuổi tại Thượng Hải, Trung Quốc vừa bị điện giật chết do tháo vỏ máy tính trong lúc máy vẫn đang ro ro chạy.

Theo tờ Thượng Hải Nhật Báo, có vẻ như nạn nhân đã tháo vỏ máy tính để làm mát cho bộ CPU – bởi lẽ anh ta không muốn bật điều hòa nhiệt độ trong phòng lên.

Nguồn: Reuters

Tuy nhiên do bất cẩn, đôi chân ướt đẫm mồ hôi của nạn nhân đã chạm vào dây điện bên trong máy tính và gây ra chập mạch.

Theo lời cảnh sát và các nhân viên y tế có mặt tại hiện trường, họ đã phát hiện thấy máu trong lỗ mũi nạn nhân, cùng nhiều vết thâm tím trên chân.

“Dòng điện bên trong máy tính có thể lên cao tới 380 volt, đủ để giật chết người“, một chuyên gia giấu tên cho biết. “Nếu như nạn nhân rút phích cắm vài phút trước khi tháo vỏ máy, có lẽ thảm kịch đã không xảy ra“.

Trọng Cầm

Theo Shanghai Daily, VietNamNet