Bạn có lo lắng về tấn công cross-site scripting (XSS) trên trang web? Chúng tôi ước có thể nói với bạn rằng không có gì để lo lắng!
Nhưng thực tế là tấn công cross-site scripting rất phổ biến. Và có khả năng trang web của bạn sẽ bị ảnh hưởng bởi tấn công XSS sớm hay muộn.
Trong loại tấn công này, hacker dùng trình duyệt của người truy cập để tấn công trang web. Khi họ truy cập được trang web, họ có thể đánh cắp dữ liệu nhạy cảm, lưu trữ file/thư mục trái phép, chuyển hướng người truy cập đến trang web độc hại khác, thao túng kết quả tìm kiếm với từ khóa spam, tấn công trang web khác, trong số nhiều điều khác. Những hoạt động độc hại này có khả năng phá hủy trang web.
Tấn công sẽ làm chậm trang web và ảnh hưởng đến thứ hạng tìm kiếm. Bạn sẽ thấy giảm lưu lượng và cuối cùng, doanh thu sẽ bị ảnh hưởng.
Việc có thể trồi lên xa hơn, và người dùng sẽ thấy cảnh báo như "trang web lừa đảo phía trước", "trang web này có thể bị hack" trên trang web trong kết quả tìm kiếm, Google có thể đưa trang web vào danh sách đen, và nhà cung cấp hosting có thể treo tài khoản trang web.
Nhưng đừng lo, bạn có thể ngăn chặn tất cả điều này xảy ra với trang web bằng cách thực hiện một vài biện pháp phòng ngừa cross-site scripting đơn giản.
Trong bài viết này, chúng tôi sẽ giúp bạn triển khai đúng các bước để bảo vệ trang web khỏi tấn công cross-site scripting.
TL;DR: Cross-Site Scripting là cuộc hack nguy hiểm và gây thiệt hại nghiêm trọng cho trang web nạn nhân. Nhưng nó có thể ngăn chặn dễ dàng. Bạn có thể cài plugin bảo mật WordPress như MalCare để bảo vệ trang web khỏi loại tấn công này.
Tấn công Cross-Site Scripting (XSS) là gì?
Trong tấn công cross-site scripting, hacker hack một trang web bằng cách mạo danh người truy cập.
Cách tốt nhất để hiểu loại tấn công này là theo dõi các bước hacker thực hiện để thực thi tấn công.
→ Hầu hết trang web có trường nhập liệu (input fields) (như biểu mẫu liên hệ, đăng ký hoặc phần bình luận) cho phép người truy cập nhập dữ liệu vào trang web.
→ Các trường này được bật bởi một plugin. Thông thường, plugin đảm bảo dữ liệu chèn vào trường không phải mã độc như đoạn code. Nhưng nếu plugin phát triển lỗ hổng XSS, chúng có thể cho phép người truy cập nhập dữ liệu độc hại hoặc không tin cậy.
Ví dụ, plugin bình luận dễ bị tổn thương cho phép người truy cập chèn liên kết độc hại.
→ Khi bạn nhấp vào liên kết, mã độc hoặc javascript độc hại được kích hoạt và bạn được yêu cầu cấp quyền truy cập cookie trình duyệt.
→ Nó trông như trang web của bạn đang yêu cầu bạn thực thi một chức năng cụ thể. Rất có thể bạn sẽ mắc chiêu và cho phép truy cập cookie trình duyệt.
Bằng cách cho phép truy cập cookie trình duyệt bạn phơi bày thông tin nhạy cảm cho hacker.
→ Cookie trình duyệt lưu trữ mọi loại thông tin bao gồm thông tin đăng nhập. Khi họ có quyền truy cập thông tin đăng nhập, hacker có thể mạo danh bạn và đăng nhập vào trang web.
Trong tấn công cross-site scripting XSS, hacker hack trang web bằng cách mạo danh người truy cập. Đây là hướng dẫn tuyệt vời để ngăn chặn tấn công XSS. Click to Tweet
Các loại tấn công XSS hoặc Cross-Site Scripting khác nhau là gì?
Có hai loại tấn công cross-site script. Đó là:
- Stored (Persistent) XSS Attack – Mục tiêu là người truy cập trang web.
- Reflected (Non-Persistent) XSS Attack – Mục tiêu là trang web.
Tấn công cross-site scripting xảy ra do plugin dễ bị tổn thương. Hacker quét internet tìm trang web dùng plugin dễ bị tổn thương như plugin biểu mẫu hoặc bình luận. Các plugin này thường phát triển vấn đề với xác thực đầu vào người dùng. Khi phát hiện trang web dùng plugin dễ bị tổn thương, chúng bắt đầu thực thi tấn công.
Cuối cùng, hacker có quyền truy cập cookie trình duyệt của nạn nhân lưu trữ thông tin quan trọng như thông tin đăng nhập trang web, thông tin ngân hàng điện tử, Facebook, email, trong số khác.
Nếu mục tiêu chính của hacker là hack trang web, họ sẽ trích xuất thông tin đăng nhập trang web. Đây gọi là tấn công XSS phản xạ (reflected XSS). Nhưng nếu hacker nhắm đến người dùng hoặc người truy cập trang web, họ sẽ trích xuất thông tin ngân hàng điện tử, Facebook, Gmail. Đây gọi là tấn công XSS lưu trữ (stored XSS) hoặc XSS bền vững (persistent XSS).
Bây giờ bạn đã hiểu cross-site scripting và các dạng của nó, hãy xem cách bảo vệ trang web chống lại loại hack này.
Các biện pháp ngăn chặn Cross-Site Scripting
Trang web WordPress được xây dựng bằng plugin và theme. Hầu hết trang web có plugin nhập liệu cho phép biểu mẫu liên hệ hoặc phần bình luận cho phép người truy cập chèn dữ liệu.
Nhiều plugin nhập liệu phát triển lỗ hổng XSS theo thời gian. Như đã thảo luận, hacker có thể dùng lỗ hổng để tấn công cross-site scripting trên trang web. Vì plugin là phần quan trọng của trang web, bạn không thể xóa nó. Điều bạn có thể làm là thực hiện biện pháp ngăn chặn tấn công XSS trên trang web.
Chúng tôi sẽ chỉ cho bạn 5 biện pháp cần triển khai trên trang web để ngăn chặn lỗ hổng XSS và bảo vệ khỏi tấn công XSS.
- Cài đặt Plugin Bảo mật
- Cài đặt Plugin Ngăn chặn Lỗ hổng XSS
- Duyệt Bình luận Thủ công Trước Khi Xuất Bản
- Cập nhật Plugin Thường xuyên
- Dùng Plugin Từ Marketplace Uy Tín
1. Cài đặt Plugin Bảo mật
Plugin bảo mật tốt như MalCare sẽ bảo vệ trang web bằng tường lửa WordPress và cho phép triển khai các biện pháp củng cố trang web.
i. Tường lửa (Firewall)
Plugin tường lửa WordPress điều tra lưu lượng đến và ngăn chặn lưu lượng xấu truy cập trang web. Người truy cập (kể cả hacker) truy cập trang web dùng thiết bị như điện thoại hoặc laptop. Mỗi thiết bị liên kết với mã duy nhất gọi là địa chỉ IP. Tường lửa MalCare quét internet tìm địa chỉ IP xấu. Địa chỉ IP từng liên quan đến hoạt động độc hại trong quá khứ bị ngăn chặn truy cập trang web.
Bằng cách này, hacker cố truy cập trang web để triển khai tấn công XSS bị chặn ngay từ đầu.
ii. Củng cố Trang web (Site Hardening)
MalCare có nhiều biện pháp củng cố WordPress và một trong đó là thay đổi khóa bảo mật. Chúng ta biết trong tấn công XSS, hacker cố gắng đánh cắp cookie trình duyệt chứa thông tin đăng nhập. Tuy nhiên, WordPress lưu trữ thông tin này dưới dạng mã hóa. Nó thêm khóa bảo mật (security keys) và salt vào mật khẩu khiến nó khó giải mã.
Nếu hacker biết khóa và salt là gì, họ có thể biết mật khẩu đăng nhập của bạn. Đây là lý do chuyên gia bảo mật ứng dụng web khuyến nghị thay đổi salt và khóa WordPress theo cơ sở hàng sáu tháng hoặc hàng quý. Với MalCare, bạn có thể thay đổi khóa bảo mật chỉ với một cú nhấp chuột.
2. Cài đặt Plugin Ngăn chặn Lỗ hổng XSS
Sau khi có plugin bảo mật đáng tin cậy, chúng tôi khuyến nghị cài đặt plugin Prevent XSS Vulnerability để xác định các tham số thường thấy trong tấn công XSS.
Ví dụ, trong liên kết độc hại tiêm vào mà hacker có thể để lại ở phần bình luận có thể dùng ký hiệu như dấu chấm than, dấu ngoặc tròn mở, v.v. Bằng cách chặn các tham số này, plugin sẽ giúp ngăn chặn tấn công cross-site scripting trên trang WordPress.
Điều đó nói, plugin này chỉ cung cấp bảo vệ hạn chế chống XSS. Tường lửa đóng vai trò then chốt trong việc ngăn chặn và phát hiện tấn công XSS sớm. Đây là lý do chúng tôi trước tiên khuyến nghị dùng plugin này bổ sung cho plugin bảo mật.
3. Duyệt Thủ công Bình luận Trước Khi Cho Xuất Bản
Trong tấn công cross-site script, hacker để lại liên kết độc hại ở phần bình luận hy vọng ai đó sẽ nhấp vào.
Tốt nhất là điều tra bình luận trước khi cho phép trên trang web. Hệ thống bình luận gốc của WordPress cũng như các plugin bình luận phổ biến như JetPack, Thrive Comments, Disqus, v.v cho phép bạn xem duyệt thủ công bình luận trước khi chấp nhận và xuất bản.
Điều đó nói, nhận diện liên kết độc hại không dễ dàng. Hacker để lại bình luận thật với liên kết ngụy trang trông hợp pháp. Ngay khi điều tra liên kết, nếu bạn vô tình nhấp vào, nó có thể khởi động tấn công hack.
Nhiều chủ sở hữu trang web thích dùng plugin bình luận thay vì hệ thống bình luận gốc của WordPress. Điều này là vì plugin bình luận có khả năng quản lý spam tốt hơn. Nhưng như đã nhắc, plugin có xu hướng phát triển lỗ hổng theo thời gian và điều này có thể mở cửa trang web cho tấn công hack.
Để giữ plugin bình luận và vượt qua lỗ hổng bảo mật nội dung, chúng tôi khuyên bạn cập nhật plugin thường xuyên. Chúng tôi thảo luận lý do ở phần tiếp theo.
4. Cập nhật Plugin Thường xuyên
Khi nhà phát triển plugin phát hiện lỗ hổng XSS trong phần mềm, họ nhanh chóng khắc phục và phát hành bản vá bảo mật.
Bản vá này đến dưới dạng cập nhật.
Khi bạn cập nhật plugin trên trang web, lỗ hổng XSS sẽ được vá. Nhưng nếu cập nhật bị trì hoãn, trang web sẽ dễ bị tấn công cross-site scripting hoặc XSS.
Đây là vì một khi bản vá bảo mật được phát hành, lỗ hổng trở thành thông tin công khai. Nghĩa là hacker biết lỗ hổng tồn tại trong phiên bản cũ của plugin. Hacker quét internet dùng bot và công cụ tìm trang web WordPress dùng phiên bản plugin cụ thể dễ bị tổn thương.
Nếu bạn trì hoãn cập nhật, trang web sẽ trở thành mục tiêu cho hack.
Chúng có thể khai thác lỗ hổng cross-site scripting và hack trang web. Do đó, như quy tắc chung, luôn giữ trang web cập nhật.
5. Mua Plugin Từ Marketplace Uy Tín
Nếu bạn dùng plugin miễn phí như Jetpack và Disqus, tốt nhất tải từ kho WordPress chính thức. Nếu dùng plugin cao cấp như Thrive Comments hoặc WpDevArt, hãy lấy từ trang web chính thức hoặc marketplace uy tín như Code Canyon, ThemeForest, Evanto, v.v.
Marketplace uy tín cung cấp plugin chất lượng cao giảm thiểu khả năng lỗ hổng cross-site scripting nảy sinh.
Ngày nay, có nhiều trang web cung cấp phiên bản đạo (pirated) của plugin cao cấp miễn phí. Hầu hết plugin đạo này đi kèm mã độc pre-installed. Cài đặt chúng trên trang web tương đương mở cửa cho hacker. Hơn nữa, plugin đạo không nhận cập nhật nghĩa là lỗ hổng nảy sinh trong plugin vẫn tồn tại, để trang web dễ bị tấn công hack.
Tránh dùng plugin đạo từ nguồn không uy tín. Chỉ dùng plugin từ marketplace uy tín hoặc kho WordPress.
Với đó, chúng tôi kết thúc phần ngăn chặn cross-site scripting trên trang WordPress. Chúng tôi tin rằng nếu bạn triển khai các biện pháp này, trang web sẽ được bảo vệ chống lại tấn công cross-site scripting.
Trang web của tôi từng bị tấn công cross-site scripting, và bảng cheats ngăn chặn XSS này giúp tôi thực hiện biện pháp phòng ngừa bảo vệ trang web. Click to Tweet
Trước Khi Rời Khỏi
Bảo vệ trang WordPress chống tấn công cross-site scripting là bước đúng hướng khi nói đến bảo mật trang web.
Tuy nhiên, cross-site scripting chỉ là một trong những loại tấn công hack phổ biến (như tấn công SQL injection) trên trang WordPress. Hacker có nhiều chiêu bài. Tốt nhất là triển khai giải pháp bảo mật toàn diện trên trang web để ngăn chặn tấn công cross-site scripting cùng với tất cả các loại tấn công WordPress khác.
Chúng tôi khuyến nghị cài đặt plugin bảo mật WordPress đáng tin cậy như MalCare trên trang web để kiểm tra bảo mật định kỳ. Nó đi kèm trình quét bảo mật hoặc trình quét lỗ hổng web quét và giám sát trang web đồng thời ngăn chặn hacker truy cập. Nó cũng cho phép bạn thực hiện biện pháp củng cố trang web để làm cho trang web an toàn hơn. Bạn có thể chạy trang web với sự yên tâm biết nó được bảo mật.
Hãy Thử Plugin Bảo Mật MalCare Ngay Bây Giờ!
Nếu bạn thấy bài viết hữu ích, hãy chia sẻ với những người khác cần bảo vệ trang WordPress.