Top 10 rủi ro an ninh của ứng dụng web năm 2013 (Phần 2)

[whooshgoo]

Ở bài trước ta đã cùng nhau tìm hiểu về ý nghĩa mang lại của “OWASP Top 10” cũng như sự thay đổi về danh sách các lỗ hổng giữa “OWASP Top 10 – 2010” với “OWASP Top 10 – 2013”. Ở bài này chúng ta sẽ tiếp tục đi hết chặng còn lại của danh sách rủi ro có nguy cơ cao nhất nằm trong top 10 OWASP.

​

II. OWASP Top 10 – Rủi ro an ninh ứng dụng - 2013

4. A4 – Insecure Direct Object References (Đối tượng tham thiếu an toàn)

4.1. Nguyên nhân

Do việc phân quyền yếu các tập tin, thư mục hay cơ sở dữ liệu quan trọng dẫn đến việc người dùng có thể truy cập dữ liệu của người dùng khác.

4.2. Lỗ hổng dặc trưng

• Insecure Direct Object References…

4.3. Nguy cơ an ninh

• Kẻ tấn công có thể truy cập dữ liệu bất hợp pháp và thu thập các thông tin nhạy cảm như Credit Card, mã khách hàng, thông tin cá nhân, ...
• ...

5. A5 - Security Misconfiguration (Sai sót cấu hình an ninh)

5.1. Nguyên nhân

Do việc cấu hình an ninh lỏng lẻo tại các tầng trong kiến trúc web như nền tảng, OS, máy chủ ứng dụng, webserver, database, … khiến cho kẻ tấn công có thể khai thác vào các ứng dụng, ví dụ để lộ ra những thông tin quan trọng khi trao đổi các gói tin.

5.2. Lỗ hổng đặc trưng

• Error Codes
• Insecure Configuration Management

5.3. Nguy cơ an ninh

• Cho phép kẻ tấn công có quyền truy cập bất hợp pháp đến những chức năng hay dữ liệu hệ thống. Thậm chí kẻ tân công còn có thể chiếm quyền toàn bộ hệ thống nếu lấy được các thông tin tài khoản quản trị, …

6. A6 - Sensitive Data Exposure (Lộ lọt dữ liệu nhạy cảm)

6.1. Nguyên nhân

Các dữ liệu nhạy cảm không được lưu trữ và bảo vệ cẩn thận, dẫn đến khi bị kẻ tấn công khai thác gây ra những ảnh hưởng to lớn cho hệ thống máy chủ, doanh nghiệp và khách hàng.

6.2. Lỗ hổng đặc trưng

• Cleartext Storage of Sensitive Information
• Cleartext Transmission of Sensitive Information

6.3. Nguy cơ an ninh

• Kẻ tấn công có thể lấy được các thông tin nhạy cảm không được bảo vệ và sử dụng các thông tin đó để phục vụ cho cho các mục đích xấu.

7. A7 - Missing Function Level Access Control

7.1. Nguyên nhân

Do thiếu các điều khoản trong việc phân quyền quản trị các mức, dẫn đến việc kẻ tấn công có thể lợi dụng và truy ra các điểm yếu trên hệ thống hay lợi dụng để leo thang đặc quyền.

7.2. Lỗ hổng đặc trưng

• Path Traversal

7.3. Nguy cơ an ninh

• Kẻ tấn công có thể lợi dụng để leo thang đặc quyền, từ đó có thể thực hiện các hành động với mục đích xấu.

8. A8 - Cross-Site Request Forgery (CSRF)

8.1. Nguyên nhân

Lợi dụng sơ hở của nạn nhân, kẻ tấn công có thể lừa nạn nhân thực hiện các hành động nguy hiểm mà nạn nhân không hề hay biết, ví dụ như chuyển tiền từ tài khoản nạn nhân sang tài khoản kẻ tấn công, thông qua các lỗ hổng XSS.

8.2. Lỗ hổng đặc trưng

• Cross-Site Request Forgery (CSRF)

8.3. Nguy cơ an ninh

• Kẻ tấn công có thể lừa nạn nhân thực hiện việc thay đổi dữ liệu mà chỉ nạn nhân được phép thay đổi hoặc thực thi những chức năng mà chỉ chính nạn nhân mới được phép thực thi.

9. A9 - Using Known Vulnerable Components

9.1. Nguyên nhân

Do việc sử dụng mà không kiểm duyệt các thư viện, plugin, module, ứng dụng… có tồn tại các lỗ hổng đã được công khai, từ đó kẻ tấn công có thể lợi dụng để tấn công vào hể thống và thực hiện các mục đích xấu.

9.2. Lỗ hổng đặc trưng

• Using Known Vulnerable Components

9.3. Nguy cơ an ninh

• Kẻ tấn công có thể khai thác các lỗ hổng để thực hiện các hành vi xấu như đánh cắp các dữ liệu nhạy cảm, chiếm quyền server,…

10. A10 - Unvalidated Redirects and Forwards

10.1. Nguyên nhân

Việc chuyển hướng không an toàn người dùng đến một đường dẫn bên ngoài có thể bị kẻ tấn công lợi dụng để chuyển hướng nạn nhân đến một trang đích được chuẩn bị sẵn của kẻ tấn công..

10.2. Lỗ hổng đặc trưng

• Open Redirects

10.3. Nguy cơ an ninh

• Đánh cắp dữ liệu người dùng hoặc các thông tin nhạy cảm
• Lừa nạn nhân cài đặt các phần mềm độc hại.