Lỗ hổng bảo mật website là gì?

Lổ hổng bảo mật website chính là lí do website của bạn hay của công ty bị hack.

Nếu bạn đã đọc bài viết 

 của chúng tôi, bạn hẳn đã rõ việc bị hack website có thể tốn kém và gây ức chế đến nhường nào. Tuy nhiên, chúng tôi không viết bài viết đó để nhắc nhở mỗi người chủ website hay doanh nghiệp hãy chuẩn bị tinh thần cho tình huống website của mình bị hack.

Điều mà chúng tôi mong mỏi, dưới tư cách những người kỹ sư bảo mật tâm huyết, là trang bị kiến thức cho bạn để tránh những 

 xảy ra.

Nhưng chỉ kiến thức thì chưa đủ. Chúng tôi sẽ cho bạn một giải pháp cụ thể để bạn 

 những lỗ hổng bảo mật còn tồn tại trong website của mình thông qua infographic dưới đây:

(Nội dung tóm tắt ở bên dưới)

> Đăng ký CyStack Scanning miễn phí 14 ngày 

tại đây

 <

Định nghĩa

Lỗ hổng bảo mật là những điểm yếu nằm trong thiết kế và cấu hình của hệ thống, lỗi của lập trình viên hoặc sơ suất trong quá trình vận hành.

Cách thức hoạt động

• Hacker sử dụng các công cụ dò quét để phát hiện một loạt các website có cấu hình bảo mật kém hoặc website trên các nền tảng phổ biến như WordPress hay Joomla có các lỗ hổng đã được công bố nhưng chưa được chủ website xử lý.
• Tin tặc sẽ lợi dụng chúng để tấn công, cài đặt mã độc và phá hoại các website.

Các lỗ hổng phổ biến

• SQL Injection:
• Cho phép kẻ tấn công lợi dụng lỗ hổng của việc kiểm tra dữ liệu đầu vào và các thông báo lỗi do hệ quản trị cơ sở dữ liệu trả về để inject (tiêm vào) và thi hành các câu lệnh SQL bất hợp pháp.
• SQL Injection cho phép xóa, chèn, cập nhật, v.v. trên cơ sở dữ liệu của website, thậm chí là server.

Local file inclusion

• Website thường sử dụng các biến để lưu địa chỉ của file, ví dụ như ở trang thông báo lỗi, địa chỉ thật của file chứa thông tin về lỗi sẽ được lưu ở 
  http://example.com/error.php?page=404.php
• Lỗ hổng này xảy ra khi giá trị của biến này được thay thế bằng đường dẫn tới một file khác, từ đó hacker có thể truy cập trái phép vào những file nhạy cảm hoặc thực thi các file độc hại trên web server

Cross Site Scripting (XSS)

• Cho phép hacker chèn những đoạn script độc hại (thường là Javascript hoặc HTML) vào website và thực thi trong trình duyệt của người dùng.
• Hacker có thể dùng XSS để gửi những đoạn script độc hại tới một người dùng bất kỳ để lấy cookie, keylogging hoặc lừa đảo.

Server-Side Template Injection

Template là một thành phần thường được sử dụng trong các website và email. Lỗ hổng này là khi lập trình viên cho phép dữ liệu đầu vào của người dùng được chèn vào template mà không có biện pháp bảo vệ. Không giống XSS, Template Injection đặc biệt nguy hiểm ở chỗ cho phép tấn công trực tiếp vào server và thực thi mã từ xa.

Giải pháp

CyStack Scanning

Các điểm nổi bật:

• Phát hiện sớm: Phát hiện lỗ hổng bảo mật trong suốt quá trình phát triển phần mềm
• Hoàn toàn tự động: Không cần đến sự can thiệp của các chuyên gia bảo mật
• Hỗ trợ khắc phục: Đưa ra giải pháp và trực tiếp hỗ trợ bạn khắc phục các lỗ hổng bảo mật
• CyStack Fuzzing: kiểm thử website với hơn 100.000 kịch bản để phát hiện >200 loại lỗ hổng
• Schedule Scan: tự động quét lỗ hổng vào khung thời gian phù hợp để không gây gián đoạn website.

Hỗ trợ nền tảng mã nguồn mở: Các kiểu quét dành riêng cho nền tảng WordPress, Joomla, Drupal,… giúp quét hiệu quả và nhanh hơn.