Giới thiệu khai thác lỗ hổng Cross Site Port Attacks (Phần 2)

Thảo luận trong 'Web Security' bắt đầu bởi zozo, 19/01/15, 10:01 AM.

  1. zozo

    zozo W-------

    Tham gia: 16/01/15, 10:01 AM
    Bài viết: 11
    Đã được thích: 2
    Điểm thành tích:
    16
    Ở bài viết trước, tôi đã giới thiệu về lỗ hổng Cross Site Port Attacks, nguyên nhân và các hướng khai thác lỗ hổng này. Tiếp theo tôi sẽ trình bày ngắn gọn về một số cách phòng chống lỗ hổng này.

    III. Các cách phòng chống

    Xử lí dữ liệu trả về: Xác nhận tính hợp lệ của dữ liệu trả về nhận được từ tài nguyên trên máy chủ bên ngoài. Kiểm tra, phân tích dữ liệu nhận được và đảm bảo dữ liệu đó là hợp lệ trước khi hiển thị cho client.

    Xử lí lỗi và hiện thị thông báo: Hiển thị thông báo lỗi chung chung cho client trong trường hợp xảy ra lỗi. Nếu xác nhận kiểu nội dung không hợp lệ thì có thể hiển thị lỗi như “Invalid Data retrieved”. Đảm bảo rằng thông báo lỗi là như nhau khi request không thành công và dữ liệu nhận được không hợp lệ. Điều này sẽ ngăn chặn việc lợi dụng các thông báo lỗi để xác định cổng đóng hay mở.

    Hạn chế các cổng kết nối của giao thức http: Giao thức http có thể kết nối qua các cổng như 80, 443, 8080, 8090,… Tuy nhiên ta có thể hạn chế, chỉ cho giao thức http kết nối qua một số cổng – điều này không phải lúc nào cũng là thông minh nhưng hạn chế các cổng để kết nối tới http có thế giảm thiểu khả năng tấn công của hacker.

    Lập danh sách đen các địa chỉ IP: Địa chỉ IP nội bộ, localhost và hostnames nội bộ có thể đưa vào danh sách đen để ngăn chặn ứng dụng web bị lợi dụng để lấy dữ liệu hay tấn công những thiết bị này.

    Vô hiệu hóa các giao thức không mong muốn: Chỉ cho phép giao thức http và https thực hiện requests tới remote servers. Ngăn chặn ứng dụng web thực hiện request bằng các giao thức khác như file:///, gopher://, ftp://,

    IV. Kết luận

    XSPA là một lỗ hổng bảo mật web nguy hiểm. Do đó, đối với những người lập trình web cần hiểu rõ nguyên nhân và các khắc phục sao cho hiệu quả. Những người quản trị cần có những cấu hình cần thiết để tránh nguy cơ và giảm thiểu tác hại trong trường hợp ứng dụng web có lỗi để khai thác XSPA.
     
    Last edited by a moderator: 19/01/15, 10:01 PM
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
    Cord thích bài này.
  2. MrQuậy

    MrQuậy Moderator Thành viên BQT

    Tham gia: 24/09/13, 04:09 PM
    Bài viết: 2,215
    Đã được thích: 178
    Điểm thành tích:
    63
    Re: Giới thiệu khai thác lỗ hổng Cross Site Port Attacks (Phần 2)

    àk cho mình hỏi sao Cross Site Port Attacks mà bên dưới kết luận lại là XSPA?
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  3. whf

    whf Super Moderator Thành viên BQT

    Tham gia: 06/07/13, 03:07 AM
    Bài viết: 1,111
    Đã được thích: 729
    Điểm thành tích:
    113
    Re: Giới thiệu khai thác lỗ hổng Cross Site Port Attacks (Phần 2)

    XSPA là viết tắt của Cross Site Port Attacks tương tự như lỗi Cross-Site Scripting thì gọi tắt là XSS để không bị nhầm với CSSCascading Style Sheet.
    Theo mình biết là thế còn chính xác hơn bác đợi chủ topic vào trả lời nhé :)
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  4. MrQuậy

    MrQuậy Moderator Thành viên BQT

    Tham gia: 24/09/13, 04:09 PM
    Bài viết: 2,215
    Đã được thích: 178
    Điểm thành tích:
    63
    Re: Giới thiệu khai thác lỗ hổng Cross Site Port Attacks (Phần 2)

    Uk. Mình cũng biết vậy :D mà để bác chủ thớt vào trả lời thử :D
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  5. DDos

    DDos Administrators Thành viên BQT

    Tham gia: 22/10/13, 08:10 PM
    Bài viết: 1,692
    Đã được thích: 374
    Điểm thành tích:
    83
    Re: Giới thiệu khai thác lỗ hổng Cross Site Port Attacks (Phần 2)

    Chính xác là vậy đó bạn....
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  6. zozo

    zozo W-------

    Tham gia: 16/01/15, 10:01 AM
    Bài viết: 11
    Đã được thích: 2
    Điểm thành tích:
    16
    Re: Giới thiệu khai thác lỗ hổng Cross Site Port Attacks (Phần 2)

    Đúng rùi bạn ạ
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan