Bỏ Sót Lỗi Khi Tìm Kiếm Lỗ Hổng Bảo Mật - Phần 1: Những Lỗ Hổng Thường Bị Bỏ Qua

Trong suốt quá trình làm việc ở vị trí vận hành Burp Suite, tôi đã tham gia vào hơn một trăm dự án khác nhau, từ các chương trình tìm kiếm lỗ hổng bảo mật (bug bounty) đến việc lướt web hàng ngày để phát hiện các lỗ hổng. Đối tượng tôi thường kiểm tra chủ yếu là các ứng dụng web, thuộc nhiều lĩnh vực như quản lý tổ chức, thương mại điện tử, diễn đàn, mạng xã hội, mua bán nội dung số, hẹn hò, nhắn tin và nhiều lĩnh vực khác.

Số lượng lỗ hổng bảo mật mà tôi phát hiện được cũng khá đa dạng, nhưng luôn ở lại trong tâm trí tôi là những suy nghĩ: "Liệu mình đã kiểm tra hết tất cả các lỗi có thể? Có thể mình đã bỏ sót một số lỗi không?".

Tìm Sót Lỗi: Hiện Tượng Thường Gặp

Việc bỏ sót lỗi hay không tìm ra lỗi hoàn toàn có thể xảy ra. Tôi từng chứng kiến nhiều lần mình và đồng nghiệp cùng kiểm tra một chức năng, nhưng chỉ mình không tìm thấy lỗ hổng bảo mật. Định nghĩa về việc bỏ sót lỗi là khi lỗ hổng bảo mật có thể phát hiện nhưng bị bỏ qua do sự chủ quan hoặc không cẩn thận. Điều này khác biệt với việc không tìm thấy lỗ hổng do thiếu năng lực trong kiểm tra.

Thường Xuyên Bỏ Sót Lỗi

Những lỗ hổng mà tôi thường bỏ sót thường thuộc dạng "low hanging fruits", và trong bài viết này, tôi sẽ chia sẻ về những lỗ hổng đó.

1. Lỗi Truy Cập Không Cần Xác Thực (Un-auth access)

Nguyên Nhân

Lỗi này là một trong những lỗi tôi từng bỏ sót nhiều nhất, phần lớn là do sự chủ quan:

• Chỉ kiểm tra API: Khi thực hiện kiểm thử các ứng dụng web tương tác với server qua API, tôi thường tập trung vào kiểm tra các API. Đôi khi, một số trang hiển thị dữ liệu nhạy cảm trực tiếp trên HTML mà không cần xác thực, điều này dẫn đến việc bỏ sót lỗ hổng truy cập không cần xác thực.
• Chỉ kiểm tra với API quan trọng: Tôi thường chỉ thực hiện kiểm tra thủ công với những API quan trọng, trong khi những API khác có thể bị bỏ sót lỗ hổng.

Cách Khắc Phục

Để tránh bỏ sót lỗi truy cập không cần xác thực, tôi thực hiện những biện pháp sau:

• Luôn kiểm tra lại checklist kiểm tra lỗ hổng.
• Kiểm tra đầy đủ từng API và URL, không bỏ sót bất kỳ cái nào.
• Sử dụng các extension của Burp Suite giúp tự động kiểm tra un-auth.

2. Lỗi Clickjacking

Nguyên Nhân

Clickjacking là một lỗi mà tôi thường không nghĩ đến trong quá trình kiểm tra, dẫn đến việc hoàn toàn bỏ sót lỗi này. Mặc dù lỗ hổng Clickjacking có mức độ nguy hiểm khác nhau tùy thuộc vào ngữ cảnh, nhưng nó vẫn có thể gây ra hậu quả lớn nếu bị khai thác trên các trang web quan trọng.

Cách Khắc Phục

Để không bỏ sót lỗi Clickjacking trong tương lai, tôi đã áp dụng các biện pháp:

• Thêm kiểm tra Clickjacking vào checklist lỗ hổng cần kiểm tra.
• Chú ý đến các cảnh báo từ Burp Suite và kiểm tra header của ứng dụng.
• Sử dụng các công cụ kiểm tra Clickjacking như clickjacker.io hoặc tự tạo một trang HTML để thực hiện kiểm tra.

Kết Luận

Khắc phục những lỗi bỏ sót trong việc tìm kiếm lỗ hổng bảo mật là rất quan trọng nhằm đảm bảo an toàn cho các ứng dụng web. Các chuyên gia bảo mật nên luôn cẩn trọng và kiên nhẫn để thực hiện kiểm tra một cách tỉ mỉ và hệ thống.

Đón chờ phần 2 trong bài viết tiếp theo, nơi tôi sẽ chia sẻ thêm về những lỗi bảo mật phổ biến khác mà tôi đã từng bỏ sót.
source: viblo