Tất cả những thông tin này đều có thể dễ dàng truy ra bằng buildwith.com. Trang này hoạt
động trên nguyên lý đọc các header trả về từ server, xem HTML include các thư viện nào.
Những hậu quả của việc “lộ hàng”
Những thông tin “vô hại” này cũng vô tình “giúp đỡ” hacker tấn công hệ thống của bạn dễ
dàng hơn bằng những cách sau:
Biết được phiên bản thư viện/framework sử dụng, phiên bản server, phiên bản
database, ... hacker có thể tìm ra lỗ hổng bảo mật (CVE) của hệ thống. Việc tra cứu rất
dễ dàng, chỉ cần vào nvd.nist.gov. Dựa theo phiên bản framework/server/database,
hacker có thể thấy được những lỗ hổng bảo mật của các phiên bản này. Từ các lỗ hổng
này, hacker có thể tìm cách tấn công hệ thống.
Ngoài ra, khi biết được framework đang sử dụng, hacker có thể mò ra đường dẫn tới
trang admin (Với wordpress là /wp-admin, với joomla là /administrator, với
phpmyadmin là /phpmyadmin). Tiếp theo, hacker có thể thử nhập
username/password admin mặc định để đăng nhập vào hệ thống. Đáng sợ chưa??
Với mobile app hoặc phần mềm, hacker có thể decompile để chôm API hoặc security
key. Chẳng giấu gì các bạn, mình cũng từng decompile file API của Simsimi để lấy Key
và API miễn phí gắn vào chat bot facebook ấy...Giấu như thế nào cho đúng?
Cảnh giới cao nhất của việc giấu hàng là hacker không thể biết được hệ thống của bạn được
viết ngôn ngữ/framework gì, dùng database gì, deploy ở đâu. Điều này làm công việc của
hacker trở nên khó khăn hơn rất nhiều. Thật ra, việc giấu thông tin hệ thống cũng không quá
khó khăn hay mất thời gian. Chỉ cần bạn để ý và cẩn trọng là được.
Một số phương pháp “giấu thông tin” hay dùng:
Config server hoặc viết code để loại bỏ những HTTP header dư thừa.
Khi deploy, ta obfustace hoặc uglify code để code trở nên khó đọc. Để tránh việc
hacker biết các thư viện JS sử dụng thì ta có thể bundle toàn bộ thư viện và code thành
1 file luôn.
Khi hệ thống bị thống, hiển thị custom Error Page. Lỗi trong trang này nên giải thích rõ
ràng cho người dùng hiểu. Nhưng tuyệt đối không hiển thị trực tiếp
error/exception để tránh hacker tấn công.
Thường xuyên cập nhật/nâng cấp framework lên phiên bản mới nhất để vá các lỗ
hỗng, tránh việc hacker lợi dụng những lỗ hổng đã phát hiện ở phiên bản cũ.