Web App Hacking: Sensitive Data Exposure – Information Disclosure via Metadata

Metadata

Hiểu một cách đơn giản, metadata là dạng dữ liệu miêu tả về dữ liệu. Trong các tập tin bạn sử dụng hàng ngày, dĩ nhiên không thể thấy được metadata của chúng, nhưng không vì vậy mà kết luận vội rằng, tập tin đó không có metadata. Các dữ liệu về metadata của một tập tin bất kỳ được giấu đi, bởi chúng có thể chứa nhiều thông tin nhạy cảm ảnh hưởng đến sự an ninh bảo mật.

Một số dữ liệu tiêu biểu có thể được tìm thấy trong các metadata thông thường như:

  • Ghi chú (comments).
  • Lịch sử thay đổi của tập tin đó.
  • Tọa độ GPS
  • ….

Chỉ liệt kê một số thông tin đơn cử như vậy, cũng thấy được dữ liệu ẩn trong metadata là cực kỳ hấp dẫn nếu đứng từ góc nhìn của kẻ tấn công. Với một tấm hình, nếu lục tìm được tọa độ GPS trong metadata của nó, ta có thể xác định chính xác vị trí được chụp. Với một tập tin tài liệu, biết được lịch sử thay đổi có thể nắm được nhiều thông tin có ích một cách nhanh chóng mà không cần phải dò tìm trang vô số trang của nó.

How to Extract Metadata

Để trích xuất dữ liệu metadata từ một tập tin bất kỳ, có thể dùng đến một công cụ cực kỳ nổi tiếng trên nền tảng Linux là ExifTool. Nó có thể được dùng để trích xuất thông tin từ rất nhiều định dạng tập tin khác nhau: doc, docx, pdf, jpg,…

Cú pháp chuẩn và dùng nhiều nhất của công cụ này là:

exiftool –a example.doc

Thông số -a chính là lựa chọn yêu cầu liệt kê tất cả những thông tin bên trong nó ra (all).

Demo

Ta có một tập tin văn bản đơn giản như sau.

Capture4.JPG

Kiểm tra Properties của nó, ta không thấy gì đặc biệt.

Capture3.JPG

Nhưng đó chưa phải là tất cả thông tin về nó.

Ta tiến hành bỏ nó vào exiftool để kiểm tra xem có thông tin gì hấp dẫn hay không.

Capture5.JPG

Và không ngoài dự đoán, trong phần comments của nó, có thông tin về FTP server.

Điều thú vị ở đây là ta cũng biết được cả user và password của tài khoản trên hệ thống này.

Summary

Có thể nói, dữ liệu metadata là một dạng thông tin hấp dẫn đối với các kẻ tấn công. Thông thường, nếu không suy nghĩ kĩ về hướng bảo mật, chúng ta thường dễ dàng để lộ thông tin ra mà không hề biết nó sẽ bị khai thác một cách dễ dàng.

Hãy tập thói quen, kiểm tra cẩn thận các dữ liệu văn bản, hình ảnh,… trước khi gửi đi.

Advertisements

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out /  Change )

Google+ photo

You are commenting using your Google+ account. Log Out /  Change )

Twitter picture

You are commenting using your Twitter account. Log Out /  Change )

Facebook photo

You are commenting using your Facebook account. Log Out /  Change )

Connecting to %s