Tin tức an ninh - Session hijacking - Trường Cao Đẳng Công Nghệ Thông Tin Hữu Nghị Việt Hàn

Chia sẻ: Trần Thị Em | Ngày: | Loại File: PDF | Số trang:64

Thêm vào BST

Báo xấu

168
lượt xem 14
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Tháng 11 năm 2010 được nhớ đến như là tháng Firesheep phát nổ trên khán đài máy tính, sự vui sướng của sinh viên đại học ở khắp mọi nơi. Việc thêm vào của trình duyệt firefox làm nó dễ dàng chiếm được quyền truy cập của bất kì một tài khoản facebook nào trong khi họ kết nối đến internet bằng cách sử dụng mở, kết nối Wi-Fi là không an toàn.

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Tin tức an ninh - Session hijacking - Trường Cao Đẳng Công Nghệ Thông Tin Hữu Nghị Việt Hàn

BỘ THÔNG TIN VÀ TRUYỀN THÔNG Trường Cao Đẳng Công Nghệ Thông Tin Hữu Nghị Việt Hàn GVHD: Lê Tự Thanh CEH SVTH: Trần Ngọc Khải
TIN TỨC AN NINH eSecurity Planet Firesheep sửa chữa dễ dàng như HTTPS - Tháng 11 năm 2010 được nhớ đến như là tháng Firesheep phát nổ trên khán đài máy tính, sự vui sướng của sinh viên đại học ở khắp mọi nơi. Việc thêm vào của trình duyệt firefox làm nó dễ dàng chiếm được quyền truy cập của bất kì một tài khoản facebook nào trong khi họ kết nối đến internet bằng cách sử dụng mở, kết nối Wi-Fi là không an toàn. - Tất nhiên, một phiên tấn công lỗ hổng thì firesheep đã biết rõ cách tấn công và phạm vi bảo mật cho tất cả thời gian, những gì giúp cho firesheep có cuộc tấn công ngoạn mục dễ dàng. Và thật không công bằng khi làm nổi bật việc facebook rất dễ bị tấn công nếu chỉ vì các trang cộng đồng nổi tiếng khác, như: Flickr, Foursquare cũng như Wordpress thì quá nhạy cảm với firesheep. CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 2 CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI
NỘI DUNG CHÍNH  Session Hijacking là gì?  Session Hijacking mức ứng dụng  Các kỹ thuật chiếm quyền điều khiển  Session Hijacking mức mạng phiên chính  Tấn công TCP/IP  Brute Forcing  Công cụ chiếm quyền điều khiển phiên  Spoofing vs. Hijacking  Biện pháp đối phó  Quá trình chiếm quyền điều khiển phiên  Kiến trúc IPSec  Các loại chiếm quyền điều khiển phiên  Thâm nhập thử nghiệm  Session Hijacking trong mô hình OSI CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 3
LƯU ĐỒ MODULE Khái niệm Session Session Session Hijacking Hijacking Hijacking mức ứng mức mạng dụng Công cụ Thâm chiếm quyền Biện pháp nhập thử điều khiển đối phó nghiệm phiên CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 4
Session Hijacking là gì? Session Hijacking đề cập đến việc khai thác một phiên máy Kẻ tấn công đánh cắp session tính hợp lệ nơi mà kẻ tấn công ID hợp lệ đang được sử dụng chiếm một phiên làm việc giữa để vào hệ thống và thăm dò 2 máy tính dữ liệu Trong Session Hijacking TCP, kẻ tấn công chiếm Khi hầu hết các xác thực chỉ 1 phiên TCP giữa 2 máy xảy ra lúc bắt đầu của phiên TCP, điều này cho phép kẻ tấn công truy cập vào máy CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 5
Mối nguy hiểm từ Hijacking Hầu hết các Chiếm Mối đe dọa biện pháp đối quyền điều đánh cắp nhận phó không làm khiển là dễ dạng, mất thông việc trừ khi bạn dàng khởi tin, gian lận, … dùng mã hóa động Bạn có thể bảo Hầu hết các vệ và chống lại máy tính sử nó chỉ 1 phần, dụng giao thức trừ khi bạn TCP/IP dễ chuyển qua dàng bị tấn giao thức bảo công mật khác CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 6
Tại sao Session Hijacking lại thành công? Không khóa tài khoản Session ID yếu hệ Sesion Ids không hợp thuật toán lệ Phiên không giới hạn Xử lí không an toàn thời gian kết thúc Truyền dữ liệu văn bản Session Ids nhỏ tường minh CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 7 7
Các kỹ thuật Session Hijacking chính Brute Forcing Kẻ tấn công cố thử các ID khác nhau cho đến khi thành công Stealing Kẻ tấn công dùng các kỹ thuật khác nhau để lấy cắp các Session ID Calculating Sử dụng các ID không được tạo ra ngẫu nhiên, kẻ tấn công cố gắng tính toán các Session ID CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 8
1. Dùng “referrer attack”, kẻ tấn công cố thu hút Brute forcing người dùng nhấp vào 1 đường dẫn đến trang web Dùng tấn công brute force, kẻ tấn công cố gắng đoán khác(1 đường dẫn session ID đến khi hắn đoán được một session ID mysite,www.mysite.com) 2. Ví dụ, GET /index.html HTTP/1.0 Host: Ví dụ, trên các www.mysite.com địa chỉ, kẻ tấn Referrer: công cố gắng www.mywebmail.com/vi đoán 1 session ewmsg.asp?msgid=6896 ID 45&SID=2556x54VA75 1. Sử dụng giao thức HTTP giới 3. Kẻ tấn công đã lấy được Các Session ID Session ID của người có thể bị lấy cắp thiệu tiêu đề 2. Kiểm tra lưu lượng mạng dùng gửi khi trình duyệt bằng cách dùng gửi đường dẫn giới thiệu những kỹ thuật 3. Sử dụng các cuộc tấn công Cross-Site Scripting chứa 1 session ID của khác nhau như: người dùng đến trang 4. Gửi Trojans trong các nạn nhân web của kẻ tấn công CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 9
Tấn công Brute Forcing  Sử dụng các cuộc tấn công Brute Force, kẻ tấn công cố đoán session ID đến khi hắn tìm thấy session ID chính xác  Có thể dãy những giá trị cho session ID phải bị giới hạn để cuộc tấn công bruteforce được thực hiện thành công CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 0
Tấn công HTTP tham chiếu Tấn công tham chiếu, kẻ tấn công cố gắng thu hút người dùng click vào một liên kết đến một trang web khác. Ví dụ, GET /index.html HTTP/1.0 Host: www.mysite.com Referrer: www.mywebmail.com/viewmsg.asp?msgid=68 9645&SID=2556x54VA75 Trình duyệt gửi URL tham chiếu chứa các session ID cho kẻ tấn công, và kẻ tấn công sử dụng session ID của người dùng CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 1
Sự khác nhau giữa Spoofing và Hijacking Tấn công Spoofing Hijacking Kẻ tấn công giả mạo làm người dùng khác hoặc máy (nạn nhân) để Session hijacking là quá trình truy cập chiếm 1 phiên hoạt động hiện tại Kẻ tấn công không chiếm 1 Kẻ tấn công dựa vào người sử phiên hoạt động hiện có. Thay vào dụng hợp pháp để được kết nối và đó hắn bắt đầu 1 phiên làm việc xác thực mới bằng cách sử dụng thông tin lấy cắp của nạn nhân CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 2
Quá trình chiếm quyền điều khiển phiên Bắt đầu truyền các gói dữ liệu đến máy chủ Lệnh xâm nhập mục tiêu Dự đoán Session ID Chiếm phiên Đồng bộ hóa Phá vỡ kết nối của máy nạn nhân Theo dõi Theo dõi dòng dữ liệu và dự đoán sequence number Đánh hơi Đặt mình vào giữa nạn nhân và mục tiêu (bạn phải có khả năng đánh hơi mạng) CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 3
Phân tích gói của một tấn công chiếm phiên cục bộ CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 4
Các loại Session Hijacking Trong 1 tấn công active, kẻ tấn công tìm phiên đang hoạt động và chiếm nó Với tấn công passive, kẻ tấn công chiếm quyền điều khiển 1 phiên, nhưng ngừng lại, xem và ghi lại tất cả các lưu lượng truy cập được gửi ra CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 5
Session Hijacking trong mô hình OSI Hijacking mức mạng Hijacking mức ứng dụng Mức mạng có thể định nghĩa Mức ứng dụng là kiểm soát trên là đánh chặn các gói tin trong phiên người dùng của HTTP quá trình truyền tải giữa máy bằng cách lấy session ID chủ và máy khách trên 1 phiên TCP và UDP CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 6
LƯU ĐỒ MODULE Khái niệm Session Session Session Hijacking Hijacking Hijacking mức ứng mức mạng dụng Công cụ Thâm chiếm quyền Biện pháp nhập thử điều khiển đối phó nghiệm phiên CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 7
Session Hijacking mức ứng dụng Trên 1 tấn công Session Hijacking, 1 mã thông báo phiên thì bị đánh cắp hoặc mã thông báo phiên hợp lệ thì được dự đoán sẽ bị truy cập trái phép vào máy chủ web Một mã thông báo phiên có thể Predictable Man-in-the- bị xâm hại bằng Session Sniffing session token middle attack nhiều cách khác nhau Man-in-the- Client-side browser attack attacks CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 8
Thăm dò Phiên Kẻ tấn công dùng thăm dò để chiếm 1 mã thông báo hợp lệ gọi là “Session ID” Kẻ tấn công lúc này dùng mã thông báo phiên hợp lệ để truy cập trái phép vào máy chủ web CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 1 9
Dự đoán Session Token Nó là phương Dự đoán 1 pháp dùng cho dự session ID cũng đoán 1 session ID được biết như là hoặc mạo danh Session người dùng để sử Hijacking dụng trang web Sử dụng kỹ thuật session hijacking, kẻ Bằng cách đoán tấn công có khả giá trị session năng gửi các yêu cầu duy nhất hoặc đến trang web với suy ra 1 session các đặc quyền của ID hoàn thành thành viên bị xâm cuộc tấn công phạm CEH - SESSION HIJACKING - TRẦN NGỌC KHẢI 2 0