Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "SELECT". Trong SQL, SELECT là câu lệnh truy vấn dùng để đọc các bản ghi từ một hay nhiều bảng, có thể kèm WHERE để lọc và ORDER BY để sắp xếp; đây cũng là câu lệnh mà các kỹ thuật SQL injection thường nhắm tới khi muốn rút dữ liệu ra ngoài. "UPDATE" dùng để sửa giá trị của các bản ghi đã có, không nhằm trả dữ liệu về. "DELETE" dùng để xoá bản ghi khỏi bảng. "INSERT" dùng để thêm bản ghi mới vào bảng. Các lệnh UPDATE, DELETE, INSERT đều thuộc nhóm thao tác làm thay đổi dữ liệu, trong khi câu hỏi hỏi về việc lấy dữ liệu ra để xem, nên chỉ SELECT phù hợp với yêu cầu.

Đáp án đúng: "These session ID names can be used to fingerprint the application framework employed.". Mỗi framework phổ biến đặt tên mặc định cho cookie phiên, ví dụ PHPSESSID của PHP, JSESSIONID của Java EE hay ASP.NET_SessionId của ASP.NET; chỉ cần nhìn tên cookie, kẻ tấn công đã biết ứng dụng chạy trên nền tảng nào để tra các lỗ hổng đã biết của nền tảng đó, đây là fingerprinting (lấy dấu vân tay ứng dụng). Đổi tên mặc định làm việc nhận diện khó hơn. "These session ID names are not published in public documents." sai vì ngược lại, các tên này được công bố rộng rãi trong tài liệu của framework, chính vì thế chúng mới dễ bị dùng để nhận diện. Ý "are used randomly and make integration of frameworks impossible" sai vì tên session ID là cố định chứ không ngẫu nhiên, và tên của nó không ảnh hưởng tới việc tích hợp. Ý "typically contain a short length of numerical numbers and can be easily cracked" nhầm giữa tên cookie với giá trị session ID; khả năng chống đoán nằm ở giá trị ngẫu nhiên đủ dài, còn đổi tên không làm giá trị khó đoán hơn.

Đáp án đúng: "The attacker infers database behavior without visible error messages". Blind SQL injection (chèn SQL mù) xảy ra khi ứng dụng có lỗ hổng chèn SQL nhưng không đưa dữ liệu hay thông báo lỗi ra trang, nên kẻ tấn công phải suy luận từ khác biệt gián tiếp như trang trả về đúng hoặc sai (boolean-based) hay thời gian phản hồi bị trễ (time-based). "The server returns data in the same channel used for injection" sai vì đó là mô tả chèn SQL in-band, như kiểu UNION hay error-based, ngược với kiểu mù. "The attacker uses stored procedures to exfiltrate data" sai vì lạm dụng stored procedure (thủ tục lưu sẵn) là một kỹ thuật khai thác riêng, không phải đặc trưng định nghĩa của kiểu mù. "The server responds with HTTP 500 errors due to command injection" sai vì lỗi HTTP 500 hiển thị là dấu hiệu lộ lỗi, và command injection (chèn lệnh hệ điều hành) là loại lỗ hổng khác với chèn SQL. Phòng thủ chung cho mọi dạng chèn SQL là truy vấn tham số hoá.

Đáp án đúng: "To enable client-server communication". HTTP (HyperText Transfer Protocol, giao thức truyền siêu văn bản) là giao thức tầng ứng dụng theo mô hình yêu cầu và phản hồi: trình duyệt (client) gửi yêu cầu với phương thức như GET hay POST, máy chủ web trả về mã trạng thái, tiêu đề và nội dung. Hiểu cơ chế này là nền tảng để phân tích lỗ hổng ứng dụng web. "To store web application data" sai vì lưu trữ dữ liệu là việc của cơ sở dữ liệu hoặc hệ thống tệp phía máy chủ, HTTP chỉ chuyên chở dữ liệu. "To manage DNS records" là chức năng của hệ thống DNS và máy chủ tên miền, dùng để phân giải tên thành địa chỉ IP. "To provide encryption for emails" thuộc về các cơ chế như S/MIME hay PGP; bản thân HTTP không mã hóa, muốn mã hóa web phải dùng HTTPS với TLS.

Đáp án đúng: "Default credential attack". Thiết bị mạng mới thường xuất xưởng với tài khoản và mật khẩu mặc định được công bố trong tài liệu của nhà sản xuất; tấn công bằng thông tin đăng nhập mặc định (default credential attack) lợi dụng việc quản trị viên quên đổi chúng. Chính sách buộc cấu hình bảo mật nâng cao, như đổi mật khẩu và tắt dịch vụ thừa, trước khi đưa thiết bị vào mạng sản xuất chặn trực tiếp mối đe dọa này. "Kerberos vulnerability" liên quan tới giao thức xác thực Kerberos trong miền Active Directory, ví dụ kerberoasting, không phụ thuộc việc router mới được làm cứng. "Session hijacking" (chiếm phiên) là đánh cắp hoặc giả mạo mã phiên của một phiên đã xác thực, được chống bằng mã hóa và quản lý phiên chứ không bằng cấu hình ban đầu của thiết bị. "Redirect attack" chuyển hướng lưu lượng hoặc người dùng tới đích độc hại, ví dụ qua thông điệp ICMP redirect hay lỗi chuyển hướng mở trên web, không phải trọng tâm của chính sách này.

Đáp án đúng: "SMS phishing". SMS phishing, còn gọi là smishing (lừa đảo qua tin nhắn), là hình thức phishing gửi qua tin nhắn văn bản, dụ nạn nhân bấm liên kết và nhập thông tin nhạy cảm như tài khoản ngân hàng; tin báo trúng bitcoin kèm liên kết đúng là kịch bản này. "vishing" sai vì voice phishing (lừa đảo qua giọng nói) dùng cuộc gọi điện thoại, không phải tin nhắn có liên kết. "whaling" sai vì whaling nhắm vào nhân vật cấp cao như giám đốc điều hành, còn tình huống ở đây là tin nhắn đại trà gửi tới một nạn nhân bất kỳ. "watering hole" sai vì tấn công hố nước (watering hole) cài mã độc lên một trang web mà nhóm mục tiêu hay ghé rồi chờ họ tự truy cập, không gửi tin nhắn trực tiếp. Cách phòng là không bấm liên kết trong tin nhắn lạ và kiểm tra trực tiếp với ngân hàng qua kênh chính thức.

Đáp án đúng: "security guard". Piggybacking (đi nhờ, người có quyền chủ động mở cửa cho người lạ vào cùng) và tailgating (bám đuôi, lẻn theo sau người có quyền khi cửa còn mở) khai thác việc cửa chỉ kiểm tra thẻ chứ không kiểm tra số người đi qua; nhân viên bảo vệ đứng tại lối vào có thể quan sát, chặn lại và đòi từng người xuất trình quyền ra vào, nên ngăn trực tiếp hai kiểu xâm nhập này. "camera" chỉ ghi hình để phát hiện hoặc điều tra sau, không ngăn được người đã lẻn qua cửa. "“no trespassing” warnings" là biển cảnh báo mang tính răn đe, không có cơ chế cưỡng chế nào. "badge/card access" chính là cơ chế bị vượt qua: một người quẹt thẻ hợp lệ, cửa mở, và kẻ đi theo sau không cần thẻ.

Đáp án đúng: "Belief that something bad may occur". Trong social engineering (tấn công phi kỹ thuật), fear (nỗi sợ) là đòn tâm lý khiến nạn nhân tin rằng điều tồi tệ sắp xảy ra nếu không làm theo, ví dụ thông báo tài khoản sẽ bị khoá, bị phạt hay bị kiện, từ đó nạn nhân bỏ qua bước kiểm chứng. "Curiosity" là sự tò mò, một đòn khác dựa trên mong muốn biết điều bí ẩn, như chiếc USB bỏ quên có nhãn hấp dẫn, không phải nỗi sợ. "Anger" là sự tức giận, không phải cảm xúc mà phương pháp fear khai thác. "Urgency" là tính khẩn cấp, một nguyên tắc gây ảnh hưởng riêng thúc người nhận hành động ngay vì sắp hết thời gian; nó hay đi kèm nỗi sợ nhưng bản chất là áp lực thời gian chứ không phải niềm tin rằng chuyện xấu sẽ xảy ra.

Đáp án đúng: "SpoofCard". SpoofCard là ứng dụng trên iOS và Android cho phép giả mạo số gọi đến (caller ID spoofing), ghi âm cuộc gọi, đổi giọng và chèn tiếng ồn nền như tiếng văn phòng hay đường phố, nên thường được nhắc tới trong kỹ thuật xã hội qua điện thoại như vishing (lừa đảo bằng giọng nói) để màn dựng cớ thuyết phục hơn. "Nessus" sai vì Nessus là trình quét lỗ hổng cho máy chủ và thiết bị mạng, không liên quan gọi điện. "Asterisk" sai vì Asterisk là phần mềm tổng đài VoIP mã nguồn mở chạy trên máy chủ; nó có thể bị cấu hình để giả số gọi nhưng không phải ứng dụng di động có sẵn ghi âm và tạo tiếng ồn nền. "BeEF" sai vì BeEF (Browser Exploitation Framework) điều khiển trình duyệt của nạn nhân thông qua lỗ hổng XSS, không phải công cụ thoại.

Đáp án đúng: "Social engineering testing". Kiểm thử social engineering (kỹ nghệ xã hội) đánh giá yếu tố con người: người kiểm thử gửi email phishing (lừa đảo giả mạo) mô phỏng tới nhân viên để đo xem bao nhiêu người bấm liên kết, mở tệp đính kèm hay nhập thông tin đăng nhập, từ đó đề xuất đào tạo nhận thức. "Physical penetration testing" kiểm tra an ninh vật lý như cửa ra vào, thẻ từ, camera, bảo vệ, tức là thử xâm nhập trực tiếp vào tòa nhà. "Wireless network testing" đánh giá mạng không dây, chẳng hạn mã hóa Wi-Fi yếu, điểm truy cập giả hay cấu hình xác thực sai. "Application-based testing" tập trung vào lỗ hổng của phần mềm và ứng dụng web như lỗi tiêm mã hay xác thực kém, không nhắm vào hành vi của nhân viên trước email lừa đảo.

Đáp án đúng: "Tester has no prior knowledge of the system". Kiểm thử hộp đen (black box, còn gọi là unknown-environment testing) là kiểu kiểm thử mà người kiểm thử không được cung cấp thông tin trước về hệ thống mục tiêu, phải tự trinh sát từ đầu như một kẻ tấn công bên ngoài; ưu điểm là sát với thực tế, nhược điểm là tốn thời gian và dễ bỏ sót. "Tester has full knowledge of the system" mô tả kiểm thử hộp trắng (white box, known-environment), nơi người kiểm thử có sơ đồ mạng, mã nguồn và tài liệu. "Tester receives only user credentials" gần với kiểm thử hộp xám (gray box, partially known environment), khi người kiểm thử được cung cấp một phần thông tin như tài khoản người dùng thường. "Tester performs only social engineering" mô tả phạm vi theo loại kỹ thuật, tức một đợt kiểm thử kỹ nghệ xã hội, chứ không phải định nghĩa theo mức hiểu biết về hệ thống.

Đáp án đúng: "organized crime". Organized crime (tội phạm có tổ chức) là các nhóm có nguồn tiền dồi dào, có tổ chức và động cơ chính là lợi nhuận tài chính, nên sẵn sàng đầu tư vào kỹ thuật tấn công mới như ransomware hay gian lận ngân hàng. "hacktivist" sai vì hacktivist (tin tặc hoạt động vì lý tưởng) tấn công để quảng bá quan điểm chính trị hay xã hội, không vì tiền. "state-sponsored attacker" sai vì kẻ tấn công được nhà nước bảo trợ cũng giàu nguồn lực và dùng kỹ thuật tiên tiến, nhưng mục tiêu là tình báo, phá hoại hay lợi ích quốc gia chứ không phải lợi nhuận. "insider threat" sai vì mối đe doạ nội bộ là nhân viên hay đối tác đã có sẵn quyền truy cập, thường hành động đơn lẻ, không phải một nhóm được cấp vốn từ bên ngoài.

Đáp án đúng: "To identify potential paths of compromise before attackers do". Kiểm thử xâm nhập (penetration test) là hoạt động được ủy quyền, mô phỏng cách kẻ tấn công thật hành động để tìm ra và chứng minh những con đường có thể dẫn tới xâm phạm hệ thống, từ đó tổ chức khắc phục trước khi kẻ xấu khai thác. "To replace outdated firewalls" là một biện pháp khắc phục có thể xuất hiện trong khuyến nghị của báo cáo, không phải mục tiêu của bài kiểm thử. "To demonstrate technical skills" sai vì kiểm thử phục vụ nhu cầu bảo mật của khách hàng, không nhằm để người kiểm thử phô diễn tay nghề. "To recover from system crashes" thuộc phạm vi khôi phục sau sự cố và kế hoạch liên tục kinh doanh (disaster recovery, business continuity), không phải kiểm thử xâm nhập.

Đáp án đúng: "Censys". Censys là công cụ trinh sát thụ động (passive reconnaissance) dạng công cụ tìm kiếm: nó liên tục quét toàn Internet và lưu lại thông tin về máy chủ, cổng mở, dịch vụ, chứng chỉ TLS, nên người kiểm thử chỉ cần tra cơ sở dữ liệu của Censys để biết thiết bị và mạng của mục tiêu mà không gửi gói nào tới mục tiêu, tương tự Shodan. "Recon-ng" là khung trinh sát dạng mô-đun viết bằng Python, gom dữ liệu từ nhiều nguồn OSINT; nó là framework để chạy các mô-đun chứ không phải nguồn dữ liệu về thiết bị trên Internet. "Maltego" chủ yếu trực quan hoá quan hệ giữa người, tên miền, tổ chức bằng biểu đồ liên kết. "theHarvester" tập trung thu thập email, tên người, tên miền con từ công cụ tìm kiếm và nguồn công khai, không phải danh mục thiết bị và dịch vụ trên Internet.

Đáp án đúng gồm hai ý: "Zenmap" và "Enum4linux". Trinh sát chủ động (active reconnaissance) là thu thập thông tin bằng cách tương tác trực tiếp với hệ thống mục tiêu, nên có thể để lại dấu vết trong nhật ký hoặc bị IDS phát hiện. Zenmap là giao diện đồ hoạ của Nmap, gửi gói thăm dò để tìm máy sống, cổng mở và dịch vụ; Enum4linux kết nối tới dịch vụ SMB/Samba của máy đích để liệt kê người dùng, nhóm, thư mục chia sẻ và chính sách mật khẩu. "Nslookup" không được chọn vì nó chỉ hỏi máy chủ DNS về bản ghi tên miền, thường qua resolver công cộng, nên được xếp vào thu thập thụ động. "Tor" không được chọn vì Tor là mạng ẩn danh định tuyến lưu lượng qua nhiều nút, giúp che nguồn chứ không tự thu thập thông tin. "Maltego" không được chọn vì Maltego tổng hợp và vẽ quan hệ từ nguồn công khai (OSINT), thuộc trinh sát thụ động.

Đáp án đúng: "Class". Trong lập trình hướng đối tượng, class (lớp) là khuôn mẫu khai báo sẵn các thuộc tính (biến khởi tạo) và phương thức (hàm); mỗi đối tượng được tạo ra là một thể hiện (instance) của lớp đó, ví dụ lớp Scanner có thuộc tính địa chỉ đích và phương thức quét. Người kiểm thử cần đọc được cấu trúc này khi viết hoặc sửa script tự động hóa. "Function" là khối mã có tên thực hiện một nhiệm vụ và có thể trả về giá trị, nhưng không phải khuôn để tạo đối tượng. "Array" là cấu trúc dữ liệu lưu một dãy phần tử truy cập theo chỉ số, chỉ chứa dữ liệu chứ không định nghĩa hàm cho đối tượng. "Procedure" là đoạn mã thực hiện một tác vụ cụ thể, thường không trả về giá trị, cũng không đóng vai trò khuôn mẫu sinh đối tượng.

Đáp án đúng: "Base64". Trong kỹ thuật đường hầm DNS (DNS tunneling), dữ liệu bị lấy ra được nhúng vào nhãn tên miền của truy vấn hoặc vào bản ghi phản hồi gửi tới máy chủ tên miền do kẻ tấn công kiểm soát; Base64 (hay biến thể base32) biến dữ liệu nhị phân bất kỳ thành chuỗi ký tự in được và giải ngược được, nên phù hợp để chở dữ liệu trong payload DNS. Đội phòng thủ phát hiện bằng cách theo dõi truy vấn có tên dài bất thường, độ ngẫu nhiên cao hoặc tần suất dày tới cùng một miền. "MD5" là hàm băm một chiều, đầu ra không giải ngược được nên người nhận không khôi phục được dữ liệu gốc. "ASCII" chỉ là bảng mã ký tự, bản thân nó không chuyển dữ liệu nhị phân thành dạng an toàn để truyền. "HTML" là ngôn ngữ đánh dấu trang web, không phải phương pháp mã hóa dữ liệu để nhét vào gói DNS.

Đáp án đúng: "side-channel attack". Side-channel attack (tấn công kênh kề) khai thác thông tin rò rỉ gián tiếp từ phần cứng dùng chung như thời gian truy cập bộ nhớ đệm CPU, mức tiêu thụ điện hay hành vi bộ nhớ; khi máy ảo bị chiếm nằm chung máy vật lý với máy ảo khác, kẻ tấn công có thể suy ra khoá mã hoá hay thông tin xác thực của máy hàng xóm. Phòng thủ gồm cô lập phần cứng cho tải nhạy cảm và vá các lỗi kiểu Spectre, Meltdown. "account takeover" sai vì chiếm tài khoản là dùng thông tin đăng nhập bị lộ để kiểm soát tài khoản người dùng, không dựa vào phần cứng dùng chung. "resource exhaustion attack" sai vì nó làm cạn tài nguyên để gây từ chối dịch vụ, không nhằm lấy cắp dữ liệu. "cloud malware injection attack" sai vì nó chèn dịch vụ hay mã độc vào hạ tầng đám mây để chuyển hướng người dùng, không tận dụng việc chung phần cứng để đọc trộm khoá.

Đáp án đúng: "Phishing emails". Credential harvesting (thu thập thông tin đăng nhập) là việc lừa người dùng tự nhập tên đăng nhập và mật khẩu vào một trang giả mạo; cách phổ biến nhất là gửi email lừa đảo (phishing) chứa đường dẫn tới trang đăng nhập nhái giống dịch vụ thật, và các công cụ như Social-Engineer Toolkit có tính năng nhân bản trang web cho mục đích này trong các đợt kiểm thử được ủy quyền. "VPN tunnels" là công nghệ mã hoá kênh truyền để bảo vệ dữ liệu, không phải phương pháp thu thập thông tin đăng nhập. "SQL Injection" là tấn công vào tầng ứng dụng và cơ sở dữ liệu; nó có thể làm lộ bảng tài khoản nhưng không phải cách điển hình của credential harvesting vốn dựa vào việc lừa con người. "Man-in-the-middle attacks" có thể chặn bắt thông tin đăng nhập trên đường truyền, nhưng đòi kẻ tấn công chiếm vị trí trung gian trong mạng nên ít phổ biến hơn nhiều so với email lừa đảo.

Đáp án đúng: "insecure storage". iOS Keychain là nơi ứng dụng lưu mật khẩu, token và khoá mật mã; khi kẻ tấn công dịch ngược (reverse engineer) ứng dụng để xem nó tạo và cất khoá ra sao, họ đang nhắm vào lỗ hổng insecure storage (lưu trữ không an toàn), tức dữ liệu nhạy cảm hoặc khoá được lưu ở chỗ hay theo cách có thể bị trích xuất, chẳng hạn chọn lớp bảo vệ Keychain yếu hay viết cứng khoá trong mã. "passcode vulnerabilities and biometric integrations" là điểm yếu ở cách mở khoá thiết bị và tích hợp vân tay, khuôn mặt. "certificate pinning" là cơ chế ghim chứng chỉ để chống nghe lén TLS; vượt qua nó là bài toán kênh truyền, không phải cách lưu khoá trong Keychain. "using known vulnerable components" là việc dùng thư viện có lỗ hổng đã công bố, không liên quan cách ứng dụng tự lưu khoá.