Các bước tấn công và phòng thủ hệ thống

Việc phòng chống xâm nhập của hacker đối với những người quản trị mạng, theo seamoun thì những người quản trị mạng phải đóng vai trò là người tấn công vào chính hệ thống mình. Đặt mình vào vị trí của người tấn công và suy nghĩ
nếu mình là người tấn công mình sẽ làm gì, làm như thế nào, các bước tiến hành ra sao ???... Xâm nhập bằng một cách thì bảo vệ phải nghĩ ra 10 cách hoặc hơn . Thường thì phá dễ hơn làm mà.

Sau đây là các bước thông thường mà hacker thực hiện đối với một hệ thống:
Thu tập thông tin về hệ thống --> Scanning ---> Xâm nhập và có quyền điều khiển trên hệ thống --> Duy trì quyền điều khiển trên hệ thống ---> Xoá dấu vết. (<-- Biết rồi khổ lắm nói mãi !!! ). Bài đầu tiên seamoun sẽ đề cập trực tiếp đến các cách thức thu tập hệ thống và demo sử dụng những công cụ mà seamoun rất thích khi thực hiện thu tập hệ thống (Công cụ cho mỗi phần rất rất nhiều, những công cụ seamoun demo là những công cụ seamoun cho là dế sử dụng và hiệu quả. Định viết dùng mà thấy nó viết hay quá nên dùng của nó cho rồi, viết làm gì cho mệt !!!! Để thời gian code cái khác kiếm money !!!).

1. Thu tập thông tin hệ thống có thể phân ra làm hai loại

+ Thụ động (Passive Reconnaissance): theo seamoun thì có thể gọi bằng một cái tên mộc mạt là "cưỡi ngựa xem hoa hệ thống". Việc thu tập thông tin ở loại này là khảo sát sơ bộ tổ chức như là thông tin chung, vị trí địa lý, điện thoại, email của các cá nhân, người điều hành, ... trong tổ chức. Các bạn hỏi tại sao phải thu tập những thông tin như điện thoại, email của những người trong tổ chức này làm cái quái gì ? Nó sẽ rất hữu ích khi thực hiện social engineering attack (seamoun sẽ đề cập sau này).

+ Chủ động (Active Reconnaissance) loại này thì thu tập trực tiếp những thông tin sát với hệ thống hơn như là (dãy) địa chỉ IP, domain, DNS.
Lưu ý : Tất cả việc thu tập thông tin này rất quan trọng đối với hacker vì giúp hacker xác định những con đường nào mà dễ tấn công vào hệ thống nhất. Giống như đi tán gái vậy, tán trực tiếp "em gái" thì chỉ có bể đầu . Phải khảo sát nhà em đó ở đâu, có bao nhiêu anh em, cha mẹ như thế nào, tìm hiểu sở thích em nó qua những người bạn thân của em gái đó ... (Nói sai chủ đề, để chủ đề này cho mấy Tú ông miền Nam và Bắc nói chắc siêu hơn seamoun ).

Quá trình thu tập thông tin có thể mô tả thành 7 bước. (PHân loại chỉ mang tính chất tương đối).
B1: Thu tập thông tin ban đầu
B2: Xác định phạm vi của mạng.
B3: Kiểm tra máy có "sống" không ?
B4: Khám phá những cổng đã mở .
B5: Nhận diện hệ điều hành.
B6: Liệt kê những dịch vụ dựa trên các cổng mà đã kiểm tra.
B7: Xây dựng một sơ đồ mạng

Trong 7 bước trên thì bước 1, 2 được gộp lại và có tên gọi là footprinting.
1.1 Công cụ đầu tiên mình giới thiệu phục vụ cho việc thu tập thông tin là Google. Nói đến Google thì không cần nói gì nhiều về khả năng tìm kiếm của nó và nếu đề cập chi tiết về Google Hacking thì nói cả ngày không hết. Ở đây seamoun chỉ nói những phần chính mà liên quan đến hacking.

Một số kỹ thuật khi sử dụng google: sử dụng các kỹ thuật tìm kiếm nâng cao giúp bạn xác định rõ hơn về những thông tin mình cần quan tâm. Ví dụ:

+ site:<domain>: tìm kiếm với việc chỉ định rõ website hoặc domain. Website mà muốn tìm kiếm phải được chỉ định rõ sau dấu “:”. Ví dụ ô text tìm kiếm gõ : site:vickigroup.com. và tiếp đến là từ khóa bạn muốn tìm, thì Google nó sẽ tìm kiếm những thông tin có chứa từ khóa và chỉ trong phạm vi domain vickigroup.com

+ filetype:<phần mở rộng>: Tìm kiếm thông tin trong kiểu file mà mình mong muốn. Và khi thực hiện không kèm theo dấu ".". Bạn chỉ cần gõ filetype:txt nếu như kiểu file muốn tìm kiếm có phần mở rộng là .txt. Ví dụ filetype:txt là chỉ tìm trong file có phần mở rộng .

+ link:<domain>: Tìm kiếm những site nào có chứa liên kết đến domain mà mình chỉ định. Ví dụ link:vickigroup.com. Thì nó sẽ ra những site có chứa liên kết đến vickigroup.com.

+ cache:<domain>: Tìm kiếm trong cache của google. Cái này rất hay khi đọc các tutorial của các site mà khi đăng kí thành viên nó bắt trả tiền. Hê hê. Có thể xem trong cache khỏi tốn money.

+ intitle: Nó sẽ tìm kiếm phần Title của document.

+ inurl: Nó sẽ tìm kiếm trong phạm vi url.
Việc kiếm hợp giữa các yếu tố tìm kiếm trên rất quan trọng, giúp hacker xác định rõ những thông tin và phạm vi mà mình quan tâm.

Demo nhỏ sử dụng công cụ tìm kiếm Google.com. Seamoun sẽ sử dụng google để tìm kiếm những site nào đặt con backdoor web r57.php.

Như các bạn thấy trong demo thì thấy rất nhiều site bị đặt backdoor r57.php quá !. pó tay !!! . Tương tự các bạn có thể tìm lỗi khác bằng cách kết hợp các kỹ thuật tìm kiếm như mình đã nêu trên.

1.2 Giai đoạn này tiếp cận gần hơn hệ thống mà mình cần quan tâm. Ví dụ trong tay mình có đích tấn công là domain abc.com. Vậy công việc của hacker sẽ làm gì tiếp theo ?. Có thể thực hiện các hành động sau
+ Whois để tìm ra người chủ domain và các thông tin liên quan
+ Thẩm vấn DNS.
+ Xác định phạm vi của mạng với domain đó.

Những khái niệm WHois là gì, DNS là gì, ... Seamoun đề nghị các bạn đọc thêm để biết, ở đây seamoun không trình bày những khái niệm này.
Những công cụ liên quan đến đến vấn đề trên là rất rất nhiều tools. Ở đây Seamoun chia phần công cụ này làm 2 phần: phần 1 sử dụng nhưng công cụ đơn giản và phần 2 là sử dụng những công cụ chuyên dụng.

Demo 1 sử dụng các công cụ
1. Trang web samspade.org
2. nslookup của Windows
3. Sử dụng http://arin.net/whois và http://ws.arin.net/whois/ <-- Thực chất thì cũng chẳng cần vào arin.net làm gì nếu các bạn nắm rõ range của IP được cấp phát cho từng vùng. Ở ví dụ sau IP là 210.245.31.22 thì có thể sử dụng ngay http://ws.arin.net/whois/ không cần đến http://arin.net/whois. Nhưng mình demo khi các bạn không biết nó nằm ở vùng nào thì cứ xuất phát từ http://arin.net/whois

Demo 2 Sử dụng các công cụ
1. Smart Whois
2. Necrosoft Advanced DIG

Demo 3. Sử dụng NeoTracePro.

Nghỉ phát ! Phần thứ II mình sẽ giới thiệu về Social Engineering

2. Social Engineering

Là phương thức tấn công đơn giản dựa trên yếu tố con người để xâm nhập vào hệ thống.
Hình thức của Social Engineering được chia thành hai loại

1. Humman-based: Tức là dựa trên khả năng giao tiếp của hacker đối với victim. Ví dụ như hacker có thể đóng giả một người chủ tài khoản và gọi điện đến ngân hàng để yêu cầu nhân viên ngân hàng cung cấp thông tin về tài khoản mà hacker có định chiếm đoạt.

2. Computer-based: Tức là sử dụng phương tiện là máy tính để có được thông tin mà hacker mong đợi. Nó khác với hình thức ở trên là :

Hình thức Humman-based có thể hacker đối thoại trực tiếp với victim hoặc các help desk ... để có được thông tin mình cần (phụ thuộc vào nghệ thuật giao tiếp, nói ngọt người ta dễ tin ). Hình thức computer-based là sử dụng những phương tiên như là email, scam page để lừa victim. Ví dụ của hình thức Computer-based là hacker có thể tạo một email có đường link đến các scam page về bankaccount chẳng hạn, và khi victim đọc thì có thể bị dẫn đến những scam page và cung cấp những thông tin quan trọng cho hacker. Ngoài ra nó còn có một tên gọi cho hình thức này là phishing

2.1 Humman-based nó có thể thuộc một trong những dạng sau
+ Đóng giả là một nhân viên hợp lệ trong một tổ chức: Hacker có thể đóng giả một nhân viên hợp lệ trong tổ chức từ đó moi thông tin khi đang đóng vai trò là nhân viên đó.

+ Đóng giả là một người quan trọng trong tổ chức (Ví dụ như sếp chẳng hạn). Ví dụ hacker đóng giả giám đốc một công ty A và gửi một message đến thư ký "Tôi là sếp ... Hoàng đây ! Tôi bỏ quên điện thoại điện ở nhà nên tôi dùng số này, cô có thể gửi ...<thông tin quan trọng> ... đến số máy này !!!". Nói chung là trăm phương nghìn kế để nghĩ ra cách giả mạo. Chắc seamoun nghĩa bị lừa rồi mới biết chứ 1001 kiểu lừa không có kiểu lừa nào giống nhau cả.

+ Đóng giả client gọi đến customer support: Ví dụ hacker muốn chiếm đoạt một domain nào đó nó có thể dùng email để phishing victim gửi thông tin quan trọng đó là hình thức social engineering computer-based. Hacker có thể đóng giả là người chủ domain gọi đến customer support và đưa ra những thông tin của victim mà hacker tìm được qua quá trình footprinting để xác nhận với người customer support sau đó có thể yêu cầu gửi password về email của hacker ...

+ Shoulder surfing : Hình thức này có nghĩa là hacker "dòm" user hoặc admin đang gõ phím. Ví dụ như thư ký cho giám đốc làm nội gián chẳng hạn. Khà khà :->

+ Dumpster diving: Hình thức này có nghĩa là lục loại thông tin từ trash, ... để có được những thông tin quan trọng. Do vậy trên máy tính nên delete vĩnh viễn những tài liệu quan trọng. Nếu như backup tài liệu quan trọng thì cũng nên encrypt những tài liệu đó.
Như đã đề cập ban đầu Social Engineering phụ thuộc vào yếu tố con người do vậy theo seamoun social engineering là con đường dễ nhất, đơn giản nhất mà hacker có thể sử dụng để có được những thông tin quan trọng. Hình thức tấn công này nó luôn tồn tại vì nó phụ thuộc vào yếu tố con người, nếu như một customer support hay là nhân viên trong tổ chức không được đề cập đến kiểu tấn công này, và trainning cho nhân viên cách cách phòng chống thì rất rất dễ bị tấn công bởi hình thức này. Nhìn thì đơn giản không cần kỹ thuật nhưng seamoun nghĩ những thằng hacker nào mà hack thành công nhờ social engineering thì nó là cao thủ về nghệ thuật giao tiếp cũng những giỏi về mấy trò viết thư dụ victim. Chắc cũng tán gái giỏi .

Không biết có ai trong HVA bị hình thức này tấn công không ? Chứ seamoun thì bị rồi, đóng giả anh JAL nói chuyện với mình ngon ơ, cách đây cũng phải 2 năm. Đoạn chat mất tiêu chứ không gửi lên đây cho mọi người xem cho vui.

Khi thương mại điện tử phổ biến ở Việt Nam thì hình thức tấn công này chắc là sử dụng nhiều đây ! Cách phòng chống hữu hiệu nhất chỉ có trainning và trainning ... cho customer và staff biết và hiệu về social engineering attack.

Ví dụ một email mà hacker dụ victim để có được bank account. Seamoun lấy từ trang web http://www.millersmiles.co.uk/). Công nhận la mấy thằng nước ngoài viết thư dụ có nghệ thuật dễ sợ. Hổng biết có ai bị mấy cái email tiếng việt viết dụ chưa gửi lên đây để anh em biết mà lường trước được sự việc.

"We regret to inform you, that we had to lock your PayPal Access because we have reasons to believe that your account may have been compromised by outside parties."

Dear member ,

We regret to inform you, that we had to lock your PayPal Access because we have reasons to believe that your account may have been compromised by outside parties. In order to protect your sensitive information, we temporaly suspended your account.

To reactivate your account, click on the link below and confirm your identity by completing the secure form what will appear.

https://www.paypal.com/us/cgi-bin/ webscr?cmd=_login-submit

We have seen unusual attempts for logging in regarding your personal account, therefore this confirmation regarding your account its only for security reasons.


Phần tiếp đến seamoun sẽ giới thiệu về Scanning và Enumeration !!!