Bài giảng An ninh mạng: Bài 10 - Bùi Trọng Tùng

Bài giảng An ninh mạng - Bài 10: An toàn dịch vụ web - Một số dạng tấn công khác. Sau khi học xong chương này, người học có thể hiểu được một số kiến thức cơ bản về: Clickjacking, Phân tích hành vi nhấp chuột (click), Clickjacking – Cách thức thực hiện, Clickjacking – Một số kỹ thuật, phòng chống clickjacking, phòng chống clickjacking – Frame Bursting,…
Nội dung trích xuất từ tài liệu:
Bài giảng An ninh mạng: Bài 10 - Bùi Trọng Tùng BÀI 10. AN TOÀN DỊCH VỤ WEB MỘT SỐ DẠNG TẤN CÔNG KHÁC Bùi Trọng Tùng, Viện Công nghệ thông tin và Truyền thông, Đại học Bách khoa Hà Nội 1 1. CLICKJACKING Bùi Trọng Tùng, Viện Công nghệ thông tin và Truyền thông, Đại học Bách khoa Hà Nội 2 CuuDuongThanCong.com https://fb.com/tailieudientucntt 1 Nút “Like” hoạt động như thế nào? 3 Nút “Like” hoạt động như thế nào? • Yêu cầu:  Đọc cookie của tên miền facebook.com  Tích hợp được trên các website khác với facebook.com  Các script trên website được tích hợp không thể tự động nhấp nút “Like” (giả mạo thao tác nhấp chuột)  Cách ly nút “Like” với các thành phần khác của website How? 4 CuuDuongThanCong.com https://fb.com/tailieudientucntt 2 Nút “Like” hoạt động như thế nào? • Chính sách SOP ngăn cản các script giả mạo thao tác nhấp chuột 5 Clickjacking • Clickjacking: hình thức tấn công đánh lừa người dùng nhấp chuột một cách vô ý vào một đối tượng trên website Claim your free iPad 6 CuuDuongThanCong.com https://fb.com/tailieudientucntt 3 Phân tích hành vi nhấp chuột (click) • Người dùng tin tưởng vào thao tác nhấp chuột (click) như thế nào? Tin tưởng vào thị giác Tin tưởng vào thao tác gồm tin Nhìn thấy mục tiêu tưởng vào thị giác vào tương tác Nhìn thấy con trỏ chuột 1. Kiểm tra mục tiêu 2. Chuẩn bị 3. Nhấp chuột nhấp chuột Tin tưởng vào tương tác Targetclicked = Targetchecked Pointerclicked = Pointerchecked 7 Clickjacking – Cách thức thực hiện • “Evil site”: trang web chứa mã độc thực hiện tấn công Clickjacking • Người dùng bị đánh lừa để tương tác với trang mục tiêu “good site” • Chèn frame chứa nội dung “good site” vào “evil site” • Phủ/chèn một đối tượng web giả mạo lên trang “good site” (và có thể ẩn một vài đối tượng “good site”) • Các dạng tấn công: Đánh lừa thị giác  Giả mạo, che giấu đối tượng web  Giả mạo, che giấu con trỏ chuột  Chèn chuỗi tương tác khi nhấp chuột 8 CuuDuongThanCong.com https://fb.com/tailieudientucntt 4 Clickjacking – Một số kỹ thuật • Che giấu đối tượng mục tiêu:  Kỹ thuật 1: Sử dụng thuộc tính CSS opacity để che giấu đối tượng web cần click(mục tiêu) và z-index khi hiển thị đối tượng web dùng để đánh lừa  Kỹ thuật 2: Phủ đối tượng dùng để đánh lừa lên đối tượng mục tiêu. Sử dụng thuộc tính CSS pointer-events: none để vô hiệu hóa thao tác nhấp chuột trên đối tượng dùng để đánh lừa opacity: 0.1 pointer-event: none Click Event z-index: -1 Click Event 9 Clickjacking – Một số kỹ thuật • Partial Overlays: Chèn trang web mục tiêu vào iframe và phủ lên đối tượng mục tiêu bằng các đối tượng giả mạo: sử dụng thuộc tính CSS z-index hoặc thuộc tính Flash Window Mode wmode=direct • Cropping: Chèn trang web mục tiêu vào iframe và cắt xén nội dung xung quanh z-index: 1 Paypal iframe Paypal iframe Cropping 10 CuuDuongThanCong.com https://fb.com/tailieudientucntt 5 Clickjacking – Một số kỹ thuật • Ẩn con trỏ chuột thật, thay thế bằng con trỏ chuột giả: sử dụng thuộc tính CSS cursor: none. Sử dụng Javascript để con trỏ giả mô phỏng sự di chuyển của con trỏ thật Real Cursor Icon Fake Cursor Icon cursor: none #mycursor { cursor: none; background: url('images/custom-cursor.jpg') } ...