Computer >> Hướng Dẫn Máy Tính >  >> Lập Trình >> HTML

Content Spoofing - Giả mạo nội dung

Content Spoofing (Giả mạo nội dung) là thuật ngữ chỉ loại tấn công mà kẻ xấu trình bày một trang web giả mạo như một trang web hợp pháp cho người dùng thông qua việc chèn văn bản (text injection) hoặc chèn HTML (HTML injection). Khi ứng dụng web không xử lý đúng dữ liệu do người dùng cung cấp (qua tìm kiếm, v.v.), kẻ tấn công có thể lợi dụng tình huống này và chèn thêm các tham số không bị người dùng nhận ra. Điều này dẫn đến việc chuyển hướng đến một trang web khác trông giống hệt trang gốc. Trang đó có thể yêu cầu người dùng nhập thông tin bảo mật và gây thiệt hại nghiêm trọng nếu bị rò rỉ.

Hai loại chèn cơ bản:

  • HTML Injection
  • Text Injection

HTML Injection

  • Kẻ tấn công tìm ứng dụng web dễ bị tấn công.
  • Kẻ tấn công gửi URL đã chỉnh sửa cho người dùng (thường qua email). URL này chứa văn bản được chèn.
  • Khi click vào URL, người dùng được điều hướng đến trang web của kẻ tấn công, trông giống trang hợp pháp.
  • Người dùng bị yêu cầu nhập thông tin như tên đăng nhập, mật khẩu, mã PIN thẻ...
  • Thông tin này được gửi đến máy chủ của kẻ tấn công.

Ví dụ

Một số trang truyền nội dung HTML trong URL làm tham số, thường bên trong thẻ div. Điều này tạo ra lỗ hổng lớn.

www.testing.com/siteAdcontent?divMessage=<h1>Click Here!!</h1>

Có thể sửa đổi thành:

www.testing.com/siteAdcontent?divMessage=<hack><h1>Do not Click!!</h1></hack>

Text Injection

  • Kẻ tấn công tìm ứng dụng web dễ bị tấn công.
  • Kẻ tấn công sửa đổi giá trị các tham số truyền trong URL.
  • Liên kết yêu cầu trang bị biến dạng được gửi đến máy chủ của kẻ tấn công.
  • Một trang web hợp pháp giờ hiển thị thông tin sai theo các tham số đó.
  • Xảy ra khi thông báo được truyền qua tham số request.

Ví dụ

www.testing.com/loginAction?userName=abc&password=123

Có thể thêm vào:

www.testing.com/loginAction?errorMessage=PasswordEmpty

URL mới này có thể đưa người dùng đến trang hiển thị nội dung sai và gây phiền toái.

Phòng tránh: Luôn validate và sanitize input người dùng, encode output khi hiển thị, sử dụng CSP (Content Security Policy), và tránh phản chiếu trực tiếp tham số URL ra giao diện.