Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập thi lại số 2

Đáp án đúng: "remote file inclusion". Tham số page trong URL nhận một địa chỉ đầy đủ trỏ tới máy chủ bên ngoài do kẻ tấn công kiểm soát; nếu ứng dụng dùng giá trị này để nạp và thực thi tệp mà không kiểm tra, đó là lỗ hổng chèn tệp từ xa (remote file inclusion, RFI). Phòng thủ bằng danh sách cho phép các trang hợp lệ và tắt khả năng nạp tệp qua URL, như tùy chọn allow_url_include của PHP. "directory traversal" (duyệt thư mục) dùng chuỗi ký tự lùi thư mục để đọc tệp nằm ngoài thư mục web trên chính máy chủ, trong URL này không có chuỗi như vậy. "cookie manipulation" là sửa giá trị cookie để đổi quyền hay phiên; chữ cookie.html ở đây chỉ là tên tệp từ xa. "local file inclusion" cùng cơ chế nạp tệp nhưng tệp nằm sẵn trên máy chủ nạn nhân; vì tệp được trỏ tới một miền bên ngoài nên đây là kiểu từ xa.

Đáp án đúng: "Cookie". Session hijacking (chiếm phiên) là lấy được định danh phiên của người dùng đã đăng nhập để mạo danh họ; trong ứng dụng web, định danh này thường lưu trong session cookie, nên cookie là mục tiêu chính, có thể bị lộ qua XSS, nghe lén kết nối không mã hoá hay session ID dễ đoán. Phòng thủ là đặt cờ HttpOnly, Secure, SameSite cho cookie và dùng HTTPS. "Username" sai vì tên đăng nhập chỉ là một nửa thông tin xác thực; có nó mà không có phiên hay mật khẩu thì chưa chiếm được gì. "HTTP method" sai vì GET hay POST chỉ là kiểu yêu cầu, không mang trạng thái đăng nhập. "IP address" sai vì địa chỉ IP có thể bị giả mạo trong một số kiểu tấn công mạng, nhưng ứng dụng web hiện đại gắn phiên với cookie chứ không với IP, nên IP không phải thứ thường bị nhắm tới.

Đáp án đúng: "To retrieve records from a different table". Toán tử UNION trong SQL ghép kết quả của hai câu SELECT có cùng số cột và kiểu dữ liệu tương thích; trong UNION-based SQL injection, kẻ tấn công nối thêm một câu SELECT vào truy vấn gốc để kết quả từ bảng khác, ví dụ bảng tài khoản, hiện ra cùng dữ liệu bình thường của trang. Phòng thủ là truy vấn tham số hoá và kiểm tra đầu vào. "To encrypt SQL queries" sai vì UNION không có chức năng mã hoá nào. "To validate SQL syntax" sai vì kiểm tra cú pháp là việc của trình phân tích câu lệnh trong hệ quản trị cơ sở dữ liệu. "To authenticate the session" sai vì xác thực phiên là chức năng của ứng dụng, cookie hay token, không phải của một toán tử SQL.

Đáp án đúng gồm hai ý: "caching of HTTP messages" và "enabling HTTP transfers across a firewall". Web proxy đứng giữa trình duyệt và máy chủ web: nó lưu đệm (cache) các phản hồi HTTP để lần sau trả ngay cho người dùng, tiết kiệm băng thông, và nó là điểm được tường lửa cho phép đi ra Internet, nên giúp các máy bên trong truyền HTTP xuyên qua tường lửa mà không cần mở kết nối trực tiếp. "scanning a web server for related contents" là việc của công cụ quét hay crawler như Nikto, không phải chức năng chính của proxy. "translating HTTP messages to FTP and SMTP messages" sai vì proxy chuyển tiếp HTTP chứ không dịch sang giao thức truyền tệp hay gửi thư. "encrypting HTTP packets transmitted between web clients and web servers" là việc của TLS trong HTTPS, thực hiện giữa hai đầu; proxy thông thường không làm nhiệm vụ mã hoá này. Trong kiểm thử, proxy chặn bắt như Burp Suite cũng dựa trên chính vị trí đứng giữa này.

Đáp án đúng: "including the session ID in the URL". Đặt mã phiên (session ID) trong URL làm nó lộ ra ở lịch sử trình duyệt, nhật ký máy chủ và proxy, header Referer gửi sang trang khác, hay khi người dùng chia sẻ đường liên kết, đồng thời mở đường cho session fixation (cố định phiên); OWASP khuyến nghị chỉ truyền mã phiên qua cookie. "setting a cookie with the Expires attribute" sai vì thuộc tính Expires đặt thời điểm hết hạn của cookie, giúp phiên không tồn tại vô thời hạn, là thực hành bình thường. "setting a cookie with the Max-Age attribute" sai vì Max-Age cũng giới hạn thời gian sống của cookie tính bằng giây, cùng mục đích thu hẹp cửa sổ bị lợi dụng. "configuring a cookie with the HTTPOnly flag" sai vì cờ HttpOnly ngăn JavaScript đọc cookie, giảm nguy cơ mất phiên qua XSS, tức là một biện pháp bảo vệ.

Đáp án đúng gồm hai ý: "proximity card and PIN" và "biometric scan". Access control vestibule (buồng kiểm soát ra vào, trước đây gọi là mantrap) là khoang nhỏ có hai cửa, cửa thứ hai chỉ mở khi cửa thứ nhất đã đóng và người bên trong đã được xác thực; để xác thực từng người, buồng thường kết hợp thẻ tiếp cận kèm mã PIN và quét sinh trắc học như vân tay hay mống mắt, nhờ đó chống bám đuôi. "turnstile" (cửa xoay) là một cơ chế chặn lối đi riêng, giới hạn mỗi lượt một người, chứ không phải phương thức xác thực dùng bên trong buồng. "security guard" (nhân viên bảo vệ) là biện pháp kiểm soát vật lý bổ trợ có thể đứng gần buồng, nhưng không phải tùy chọn xác thực gắn với cơ chế hai cửa. "toll collector" là người thu phí giao thông, không liên quan tới kiểm soát ra vào khu vực hạn chế.

Đáp án đúng: "To launch social engineering attacks". Social-Engineer Toolkit (SET) là khung mã nguồn mở viết bằng Python, dùng để mô phỏng các tấn công kỹ nghệ xã hội trong kiểm thử được cấp phép: email lừa đảo nhắm mục tiêu (spear phishing), trang web giả mạo thu thông tin đăng nhập, thiết bị lưu trữ lây nhiễm; kết quả giúp tổ chức đo mức nhận thức của nhân viên. "To simulate network firewalls" sai vì SET không mô phỏng hay cấu hình tường lửa; việc kiểm tra luật tường lửa thuộc về công cụ quét mạng. "To perform XSS vulnerability scans" là việc của máy quét ứng dụng web như OWASP ZAP hay Burp Suite, không phải mục đích của SET. "To detect viruses in USB drives" là chức năng của phần mềm chống mã độc; SET thậm chí còn có tính năng tạo thiết bị lưu trữ mang payload để thử phản ứng của nhân viên, ngược với việc phát hiện virus.

Đáp án đúng: "Asterisk". Asterisk là phần mềm tổng đài IP (IP PBX) mã nguồn mở dùng để quản lý hệ thống thoại VoIP; vì người quản trị tự cấu hình được thông tin số gọi đi, nó có thể bị lợi dụng để đặt caller ID (số hiển thị người gọi) giả, thường gặp trong vishing. "SpoofCard" sai vì đây là một dịch vụ thương mại chuyên đổi số hiển thị khi gọi, không phải công cụ quản lý hệ thống VoIP. "SpoofApp" sai vì đó là ứng dụng di động giả số người gọi, cũng chỉ là ứng dụng dịch vụ chứ không quản lý hệ thống VoIP. "Nikto" sai vì Nikto là công cụ quét lỗ hổng máy chủ web, không liên quan tới thoại. Phòng thủ là áp dụng chuẩn xác thực cuộc gọi như STIR/SHAKEN và không tin vào số hiển thị khi được yêu cầu cung cấp thông tin nhạy cảm.

Đáp án đúng: "Human element". Social engineering (kỹ nghệ xã hội) nhắm vào con người thay vì công nghệ: khai thác lòng tin, sự cả nể, nỗi sợ, tính tò mò hay áp lực thời gian để nạn nhân tự tiết lộ thông tin hoặc làm theo yêu cầu; vì vậy đào tạo nhận thức là lớp phòng thủ chính. "Firewalls" là thiết bị kiểm soát lưu lượng mạng; social engineering thường vượt qua chúng bằng cách lừa người bên trong chứ không tấn công bản thân tường lửa. "Encryption protocols" là giao thức mã hoá; điểm yếu của chúng bị khai thác bằng tấn công mật mã học chứ không phải bằng lừa người. "Server vulnerabilities" là lỗi phần mềm trên máy chủ, mục tiêu của khai thác kỹ thuật.

Đáp án đúng: "You must download and import or run the Kali VM file in VirtualBox or UTM.". VirtualBox và UTM chỉ là trình ảo hoá (hypervisor), cài xong thì chưa có máy ảo nào; muốn có Kali phải tải gói máy ảo dựng sẵn hoặc ảnh cài đặt từ trang chính thức, rồi nhập (import) hay mở nó trong trình ảo hoá thì máy ảo mới xuất hiện để khởi động. "You need to update the install files to the latest version." không giải quyết được vì dù là bản mới nhất thì trình ảo hoá vẫn trống. "There may be an issue with the installation. Remove and reinstall VirtualBox or UTM." sai vì ứng dụng mở lên bình thường nghĩa là cài đặt không lỗi; cài lại cũng chỉ cho ra một trình ảo hoá trống như cũ. "You must use VirtualBox or UTM to browse to the virtual machine on the kali.org website." nhầm vai trò: trình ảo hoá không phải trình duyệt, việc tải tệp Kali làm bằng trình duyệt web, còn VirtualBox hay UTM chỉ dùng để nhập và chạy tệp đó.

Đáp án đúng: "interception proxies tool". Kiểm thử dựa trên ứng dụng (application-based penetration test) tập trung vào ứng dụng web và API, nên công cụ cốt lõi là proxy chặn bắt (interception proxy) như Burp Suite hay OWASP ZAP: nó đứng giữa trình duyệt và máy chủ, cho xem, sửa và phát lại từng yêu cầu HTTP để kiểm tra cách ứng dụng xử lý đầu vào, phiên và phân quyền. "bypassing firewalls and IPSs tool" sai vì vượt tường lửa và IPS thuộc kiểm thử hạ tầng mạng. "sniffing traffic tool" sai vì nghe lén lưu lượng như Wireshark chỉ quan sát thụ động gói tin trên mạng, không cho sửa yêu cầu của ứng dụng, và với HTTPS thì nội dung đã bị mã hoá. "cracking wireless encryption tool" sai vì bẻ mã hoá WPA hay WEP là kiểm thử mạng không dây, không phải ứng dụng.

Đáp án đúng gồm hai ý: "Maintaining access" và "Vulnerability identification". ISSAF (Information Systems Security Assessment Framework) chia việc đánh giá thành lập kế hoạch, giai đoạn đánh giá và giai đoạn kết thúc; trong giai đoạn đánh giá có các bước như thu thập thông tin, lập bản đồ mạng, xác định lỗ hổng, xâm nhập, leo thang đặc quyền, duy trì truy cập và xóa dấu vết. "Pre-engagement interactions" là tên giai đoạn đầu của PTES (Penetration Testing Execution Standard), không phải thuật ngữ của ISSAF. "Post-exploitation" cũng là tên một giai đoạn của PTES; ISSAF không dùng tên này mà tách thành leo thang, duy trì truy cập và xóa dấu vết. "Reporting" là tên giai đoạn cuối của PTES; trong ISSAF việc báo cáo được gộp với dọn dẹp và hủy tạo vật ở giai đoạn kết thúc, không đứng thành một bước đánh giá như hai ý được chọn.

Đáp án đúng: "An attack perpetrated by governments worldwide to disrupt or steal information from other nations.". Tấn công do nhà nước bảo trợ (state-sponsored) là tấn công do chính phủ hoặc nhóm được chính phủ hậu thuẫn thực hiện nhằm gián điệp, phá hoại hay đánh cắp thông tin của quốc gia khác; nhóm này có nguồn lực lớn, kiên trì và thường được xếp vào APT (advanced persistent threat, mối đe dọa dai dẳng nâng cao). Mô tả "well-funded and motivated group that will typically use the latest attack techniques for financial gain" là tội phạm có tổ chức (organized crime), động cơ chính là tiền. Mô tả "An attack perpetrated by disgruntled employees inside an organization." là mối đe dọa nội bộ (insider threat) từ nhân viên bất mãn, nguy hiểm vì họ có sẵn quyền truy cập. Mô tả "steal sensitive data and then reveal it to the public to embarrass" là hành vi của hacktivist (tin tặc hoạt động vì lý tưởng), đánh cắp rồi công bố dữ liệu để gây bẽ mặt hoặc thiệt hại cho mục tiêu.

Đáp án đúng: "Kali Linux". Kali Linux là bản phân phối kiểm thử xâm nhập dựa trên Debian GNU/Linux, kế thừa dòng phát triển từ WHoppiX, WHAX rồi BackTrack; khi BackTrack được viết lại trên nền Debian thì dự án đổi tên thành Kali. "Parrot OS" sai vì Parrot cũng dựa trên Debian và hướng tới bảo mật, nhưng là dự án riêng của Parrot Security, không có nguồn gốc từ BackTrack. "BlackArch Linux" sai vì BlackArch dựa trên Arch Linux chứ không phải Debian, và cũng không phát triển từ BackTrack. "Security Onion" sai vì đây là bản phân phối cho phía phòng thủ, chuyên giám sát an ninh mạng, săn mối đe doạ và quản lý log, không phải hậu duệ của BackTrack và không nhằm kiểm thử xâm nhập.

Đáp án đúng: "Function". Hàm (function) là khối mã được đặt tên, nhận tham số đầu vào, thực hiện một tác vụ cụ thể và có thể trả kết quả; viết một lần rồi gọi lại nhiều lần giúp script kiểm thử gọn và dễ bảo trì, ví dụ một hàm kiểm tra một cổng được gọi cho cả dải cổng. "JavaScript Object Notation (JSON)" là định dạng dữ liệu dạng khoá và giá trị, chỉ chứa dữ liệu chứ không chứa lệnh thực thi. "Array" là cấu trúc dữ liệu lưu nhiều phần tử theo chỉ số, không thực thi tác vụ nào. "Class" là khuôn mẫu trong lập trình hướng đối tượng gom thuộc tính và phương thức để tạo đối tượng; nó có thể chứa hàm bên trong nhưng bản thân nó không phải khối mã thực hiện một tác vụ.

Đáp án đúng: "Array". Array (mảng) là biến đặc biệt chứa được nhiều giá trị cùng lúc dưới một tên, mỗi phần tử truy cập qua chỉ số, ví dụ một mảng chứa danh sách cổng cần kiểm tra trong một đoạn script; đây đúng là định nghĩa mà câu hỏi dùng. "List" trong nhiều ngôn ngữ như Python cũng chứa nhiều giá trị và rất giống mảng, nhưng định nghĩa kinh điển về một biến đặc biệt giữ nhiều hơn một giá trị gắn với khái niệm mảng, còn list thường được mô tả là tập có thứ tự và thay đổi kích thước được. "Tree" là cấu trúc phân cấp gồm nút cha và nút con, dùng để biểu diễn quan hệ chứ không phải một biến chứa nhiều giá trị. "File with comma-separated values" là tệp CSV lưu dữ liệu trên đĩa, không phải cấu trúc dữ liệu trong bộ nhớ của ngôn ngữ lập trình.

Đáp án đúng: "Bash". Bash (Bourne Again Shell) là trình thông dịch lệnh trên Linux và macOS, cho phép chạy lệnh tương tác, gõ từng lệnh tại dấu nhắc và nhận kết quả ngay, hoặc không tương tác bằng cách thực thi kịch bản shell, lệnh truyền qua tuỳ chọn -c hay từ cron; người kiểm thử dùng nó để tự động hoá công cụ và xử lý kết quả. "Kali Linux" sai vì Kali là bản phân phối Linux đóng gói sẵn công cụ kiểm thử, tức một hệ điều hành chứ không phải một công cụ dòng lệnh. "Parrot OS" sai vì Parrot OS cũng là bản phân phối Linux hướng bảo mật, tương tự Kali. "Metasploit" sai vì Metasploit là khung khai thác; msfconsole có giao diện dòng lệnh riêng nhưng mục đích là chọn và chạy module khai thác chứ không phải shell thực thi lệnh chung.

Đáp án đúng: "privilege escalation". Privilege escalation (leo thang đặc quyền) là khai thác lỗi phần mềm, cấu hình sai hay chính sách phân quyền lỏng lẻo để có được quyền cao hơn quyền đã cấp, từ đó truy cập tài nguyên mà người dùng bình thường không chạm tới được; trong đám mây, ví dụ là lợi dụng vai trò IAM quá rộng. Phòng thủ bằng nguyên tắc đặc quyền tối thiểu và vá lỗi kịp thời. "account takeover" là chiếm một tài khoản bằng thông tin đăng nhập bị lộ, người tấn công chỉ có đúng quyền của tài khoản đó. "credential harvesting" là thu gom tên đăng nhập, mật khẩu và token, chưa phải khai thác lỗi để vượt quyền. "side-channel attacks" suy ra dữ liệu bí mật từ thời gian xử lý hay bộ nhớ đệm dùng chung, không khai thác lỗi ứng dụng để nâng quyền.

Đáp án đúng: "resource pooling". NIST SP 800-145 định nghĩa điện toán đám mây bằng năm đặc tính thiết yếu: tự phục vụ theo nhu cầu (on-demand self-service), truy cập mạng rộng rãi (broad network access), gộp tài nguyên (resource pooling), co giãn nhanh (rapid elasticity) và dịch vụ được đo lường (measured service). Gộp tài nguyên nghĩa là nhà cung cấp dồn tài nguyên tính toán phục vụ nhiều khách hàng theo mô hình đa thuê bao, cấp phát động theo nhu cầu. "centralized storage" không nằm trong năm đặc tính; lưu trữ tập trung có thể tồn tại cả trong trung tâm dữ liệu truyền thống. "reduced bandwidth requirements" không phải đặc tính, thậm chí đám mây phụ thuộc vào khả năng truy cập qua mạng. "slow elasticity" ngược hẳn với định nghĩa, vì NIST yêu cầu co giãn nhanh, tài nguyên được cấp thêm hoặc thu hồi gần như tức thời.

Đáp án đúng: "Type 1 hypervisors are also known as native or bare-metal hypervisors.". Hypervisor loại 1 chạy trực tiếp trên phần cứng vật lý, không cần hệ điều hành chủ bên dưới, nên được gọi là native hay bare-metal; ví dụ VMware ESXi, Microsoft Hyper-V, Xen. Hypervisor loại 2 (hosted) chạy như một ứng dụng trên hệ điều hành có sẵn, ví dụ VirtualBox hay VMware Workstation. "Type 1 hypervisors run on top of other operating systems." sai vì đó là đặc điểm của loại 2. "Type 2 hypervisors include VMware ESXi and Microsoft Hyper-V." sai vì ESXi và Hyper-V là hypervisor loại 1. "Type 2 hypervisors run directly on the physical (bare-metal) system." sai vì chạy thẳng trên phần cứng là đặc điểm của loại 1; loại 2 luôn cần hệ điều hành chủ. Về an ninh, loại 1 có bề mặt tấn công nhỏ hơn vì không có hệ điều hành chủ đa dụng xen giữa.