Nguyên nhân gây ra các lỗ hổng bảo mật website

Giang

946

18-05-2018

Hầu hết các website bị gặp vấn đề về bảo mật là do kỹ thuật lập trình, tính bảo mật kém của các ứng dụng, phần mềm dành cho website. Giả sử như ứng dụng chat với khách hàng online trên wesite online. Nếu ứng dụng chat đó chưa được rà soát lỗ hổng thì có thể có khả năng ứng dụng đó sẽ chứa lỗ hổng bảo mật. Trên thực tế, việc kiểm tra thử nghiệm tính bảo mật của website, phần mềm và các ứng dụng còn đang rất  hạn chế.

Vậy nguyên nhân gây ra các lỗ hổng bảo mật website là gì? Hãy cùng Bizfly Cloud điểm qua các nguyên nhân phổ biến sau đây nhé.

Nguyên nhân 1: Phần mềm, ứng dụng miễn phí

• Những phần mềm miễn phí tải về máy tính bị nhiễm virus, có những loại virus bạn chỉ cần CCleaner, bkav, hoặc phần mềm diệt virus thông thường có thể tránh được sự cố bảo mật về website, máy tính cá nhân. Tuy nhiên có những phần mềm bạn không thể xóa được mà cần phải nhờ sự giúp đỡ của những người có chuyên môn.
• Ứng dụng miễn phí cũng vậy, những ứng dụng này sẽ ngấm ngầm sao lưu dữ liệu thông tin của bạn gửi tới những kẻ xấu và bạn có thể bị mất tiền nếu muốn chuộc lại. Và gần đây nhất không đâu xa, quý I đầu năm 2017, hàng loạt vụ báo cáo về việc bị nhiễm phần mềm tống tiền Ransomware ảnh hưởng tới website, iphone, thiết bị IoT.

Nguyên nhân 2: Do một số ngôn ngữ lập trình có tính bảo mật web thấp

• Ngôn ngữ lập trình backend dễ học nhất là PHP. Hầu hết các website ở Việt Nam được lập trình bằng php, wordpress. Các lập trình viên hay designer thường nhầm lẫn giữa 2 phương thức bảo mật GET và POST, do đó website có thể bị nhòm ngó nếu lập trình sai.
• Thực tế, ngay cả những người không cần nền tảng về lập trình cũng có thể học được và tạo ra được những website, những phần mềm đơn giản. Vì cú pháp, function đơn giản nên có thể vì vậy mà tính bảo mật chưa cao.
• Lỗi bảo mật trong website wordpress cũng không ngoại trừ. Nhắm vào những phần mềm SEO free, plugin for seo, các hacker đã tấn công người dùng 1 cách thầm lặng. Một trong những plugin cho Seo wordpress bị nhiễm mã độc mà bạn cần gỡ bỏ ngay chính là WP-Base-SEO.

Các plugin wordpress có thể tiềm ẩn lỗi bảo mật website

• Vậy làm thế nào để tăng cường tính bảo mật cho website được code bằng PHP? Câu trả lời là bạn hãy dùng framework. Framework giúp tăng cường tính bảo mật website mà mọi người yêu thích dùng nhất là Laravel, tiếp đó là symfony, thứ 3 là CodeIgniter.

Nguyên nhân 3: Lỗ hổng trong XSS,session

Bên cạnh những lỗi bảo mật website thường gặp trên còn có lỗ hổng trong XSS. Bằng cách gửi đường link tới session, user name, khi người dùng click vào thì website của bạn đã bị nhiễm virus. Bị lỗi này coi như toàn bộ website của bạn bị hacker điều khiển, từ đó hackers có thể lợi dụng để tấn công chính site này và những site khác nếu chúng bị bảo mật khác như CSRF. Đây là hình thức tấn công website nguy hiểm cao nhưng khả năng khai thác thấp vì phải lừa được người dùng.

Nguyên nhân 4: Lỗ hổng bảo mật trong cơ sở dữ liệu, kết nối web 2.0, javascipt, AJAX

Những lỗi bảo mật website hay gặp trong javascript là  vô tình sử dụng toán tử gán, nhầm lẫn giữa phép cộng và phép nối, lỗi ở câu lệnh return, kết thúc định nghĩa bằng dấu phẩy không chính xác.

Ngay thậm chí website Google Việt Nam cũng bị hack

Nguyên nhân 5: Lỗi chuyển tiếp và điều hướng không xác định

• Đây là lỗi vấn đề đầu vào (lỗi về input). Giả sử rằng trang web đích có một module redirect.php có thể lấy URL như một tham số GET. Khi thực hiện thao tác với tham số này trên targetite.com, trang web của bạn có thể chuyển hướng tới phần mềm malwareinstall.com. Người dùng thường cảm thấy tin cậy khi click vào targetite.com/blahblahblah nhưng ít ai ngờ đây là cơ hội cho các phần mềm độc hại lợi dụng tấn công website. Ngoài ra, kẻ tấn công có thể chuyển hướng trình duyệt sang 'targetite.com/deleteprofile?confirm=1'.

404 error

• Điều đáng nói là khi nhồi nhét những input không xác định được người dùng có thể làm phần header trở nên tệ hại.
• Giải pháp bảo mật cho website khi bị lỗi điều hướng, chuyển tiếp như sau:

Không làm chuyển hướng tất cả vì thực sự không cần thiết.

Có một danh sách tĩnh các vị trí phù hợp để redect.

Theo Bizfly Cloud chia sẻ

>> Có thể bạn quan tâm: Phát hiện lỗ hổng bảo mật mới trong phần mềm diệt virus khiến máy tính của bạn dễ bị tin tặc tấn công