Reading Time: 3 minutes

Chắc hẳn những người quan tâm tới bảo mật website đều đã nghe qua khái niệm lỗ hổng website (hay lỗ hổng bảo mật của website), nhưng không phải ai cũng hiểu rõ khái niệm này.

Infographic dưới đây sẽ giúp bạn có khái niệm cơ bản về lỗ hổng website và những rủi ro thường gặp khi lỗ hổng này bị khai thác bởi hacker.

Chú ý: Sản phẩm CyStack platform hiện tại đã được thay bằng:

• CyStack Scan: Quét lỗ hổng bảo mật website miễn phí (scan.cystack.net)
• CyStack Cloud Security: Giám sát an ninh website toàn diện (cloud.cystack.net)

Lỗ hổng bảo mật website là gì?

Định nghĩa lỗ hổng bảo mật

Lỗ hổng bảo mật là những điểm yếu nằm trong thiết kế và cấu hình của hệ thống, lỗi của lập trình viên hoặc sơ suất trong quá trình vận hành.

Cách thức hoạt động

• Hacker sử dụng các công cụ dò quét để phát hiện một loạt các website có cấu hình bảo mật kém hoặc website trên các nền tảng phổ biến như WordPress hay Joomla có các lỗ hổng đã được công bố nhưng chưa được chủ website xử lý.
• Tin tặc sẽ lợi dụng chúng để tấn công, cài đặt mã độc và phá hoại các website.

Các lỗ hổng phổ biến

SQL Injection

Cho phép kẻ tấn công lợi dụng lỗ hổng của việc kiểm tra dữ liệu đầu vào và các thông báo lỗi do hệ quản trị cơ sở dữ liệu trả về để inject (tiêm vào) và thi hành các câu lệnh SQL bất hợp pháp.

SQL Injection cho phép xóa, chèn, cập nhật, v.v. trên cơ sở dữ liệu của website, thậm chí là server.

Đọc thêm về lỗi SQL injection

Local file inclusion

• Website thường sử dụng các biến để lưu địa chỉ của file, ví dụ như ở trang thông báo lỗi, địa chỉ thật của file chứa thông tin về lỗi sẽ được lưu ở
• Lỗ hổng này xảy ra khi giá trị của biến này được thay thế bằng đường dẫn tới một file khác, từ đó hacker có thể truy cập trái phép vào những file nhạy cảm hoặc thực thi các file độc hại trên web server

Cross Site Scripting (XSS)

• Cho phép hacker chèn những đoạn script độc hại (thường là Javascript hoặc HTML) vào website và thực thi trong trình duyệt của người dùng.
• Hacker có thể dùng XSS để gửi những đoạn script độc hại tới một người dùng bất kỳ để lấy cookie, keylogging hoặc lừa đảo.

Server-Side Template Injection

Template là một thành phần thường được sử dụng trong các website và email. Lỗ hổng này là khi lập trình viên cho phép dữ liệu đầu vào của người dùng được chèn vào template mà không có biện pháp bảo vệ. Không giống XSS, Template Injection đặc biệt nguy hiểm ở chỗ cho phép tấn công trực tiếp vào server và thực thi mã từ xa.

Giải pháp cho lỗ hổng website

Hiện tại không có giải pháp nào chống lại 100% các lỗ hổng bảo mật website và phần mềm. Tuy nhiên, vẫn có một số phương pháp hạn chế việc hacker khai thác lỗ hổng gây ảnh hưởng xấu tới doanh nghiệp.

Phương pháp hạn chế lỗ hổng:

• Lập trình website an toàn. Điều này đòi hỏi nhân viên lập trình có kiến thức lập trình bảo mật.
• Sử dụng giao thức bảo mật, mã hóa an toàn.

Phương pháp tìm lỗ hổng:

• Quét lỗ hổng bảo mật bằng công cụ Scan website. Tham khảo công cụ scan website miễn phí của CyStack: scan.cystack.net.
• Đăng một chính sách báo cáo lỗ hổng lên website để khuyến khích Hacker mũ trắng báo cáo lỗ hổng cho bạn.
• Thuê một đội ngũ Pentester để tìm lỗ hổng bảo mật thủ công. Tham khảo dịch vụ Đánh giá an ninh ứng dụng web.
• Mở một chương trình Bug bounty.

Phương pháp quản lý lỗ hổng:

• Bảo mật website ở mức chuyên nghiện yêu cầu phải liên tục phát hiện ra các lỗ hổng mới song song với việc nâng cấp website.
• Các giải pháp giám sát và phát hiện lỗ hổng liên tục như Nessus Pro hay CyStack Cloud Security sẽ giúp nhà quản trị phát hiện sớm nhất rủi ro lỗ hổng trên website, server, dịch vụ đám mây.

Giải pháp quản lý lỗ hổng của bên thứ ba: Thuê một dịch vụ bảo mật website toàn diện sẽ bao gồm việc tìm kiếm – giám sát và sửa chữa lỗ hổng bảo mật. Đây là giải pháp phù hợp với các doanh nghiệp vừa và nhỏ, startup công nghệ cần tập trung nguồn lực vào phát triển kinh doanh. Tham khảo giải pháp của CyStack.