Network Forensics on Roduygo | Blog

Quản trị từ xa (SSH) & Lỗ hổng Terrapin (CVE-2023-48795)

Thu, 21 May 2026 22:57:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở bài trước, chúng ta đã thấy SFTP tận dụng sự kiên cố của kiến trúc đường hầm SSH để bảo vệ việc truyền tải dữ liệu. Tuy nhiên, vỏ bọc nào cũng có điểm yếu chí mạng nếu quá trình “đàm phán” ban đầu bị thao túng. Hôm nay, chúng ta sẽ đi sâu vào kỹ thuật quản trị từ xa bằng SSH, giải phẫu cơ chế nhận diện Fingerprint và mổ xẻ lỗ hổng Terrapin (CVE-2023-48795) — đòn tấn công tinh vi đánh thẳng vào tính toàn vẹn của quá trình bắt tay.

1. SSH (Secure Shell) - “Vua” của dòng lệnh từ xa

SSH (hoạt động ở Cổng 22) ra đời để thay thế cho giao thức Telnet lỗi thời, được sử dụng chủ yếu để đăng nhập và điều khiển các máy chủ Linux từ xa với độ bảo mật cực cao.

Bản chất của SSH là tạo ra một đường hầm mã hóa để bạn truyền các lệnh văn bản (Text-based). Nó sử dụng cơ chế bảo mật dựa trên cặp khóa Public/Private Key hoặc mật khẩu đã được băm. Đứng ở góc độ một SOC Analyst soi gói tin bằng Wireshark, toàn bộ dữ liệu giao tiếp bên trong SSH chỉ hiện ra dưới dạng các khối Encrypted Packet — kẻ tấn công không thể đọc được bạn đang gõ lệnh quản trị gì.

2. Ranh giới chống MitM: Dấu vân tay (Fingerprint) và known_hosts

Vậy làm sao máy tính của bạn biết nó đang kết nối đúng đến Server thật chứ không phải một máy chủ giả mạo do hacker dựng lên (Man-in-the-Middle)? Bí quyết nằm ở cơ chế Dấu vân tay (Fingerprint).

Khi bạn thực hiện kết nối SSH lần đầu tiên, máy khách chưa biết gì về Server. Lúc này, Server sẽ gửi “chứng minh thư” của nó dưới dạng một mã Fingerprint (thường dùng thuật toán băm ED25519 từ Khóa công khai).

# Lệnh kết nối SSH vào máy chủ Linux
# Hệ thống sẽ hỏi xác nhận Fingerprint trong lần kết nối đầu tiên
ssh admin@10.10.50.20

# The authenticity of host '10.10.50.20 (10.10.50.20)' can't be established.
# ED25519 key fingerprint is SHA256:bafc947d6e921971472e82f52462129e.
# Are you sure you want to continue connecting (yes/no/[fingerprint])?

Khi bạn gõ yes, máy của bạn sẽ lưu vĩnh viễn khóa này vào file known_hosts. Kể từ những lần đăng nhập sau, nếu dấu vân tay này bị thay đổi (do hacker can thiệp và ép dùng khóa giả), SSH sẽ lập tức hiển thị cảnh báo đỏ và ngắt kết nối để bảo vệ bạn.

3. Lỗ hổng Terrapin (CVE-2023-48795) - Thao túng gói tin bắt tay

Mặc dù khóa phiên được trao đổi và lưu an toàn trong RAM ngay từ đầu, SSH vẫn tồn tại một lỗ hổng chí mạng mang tên Terrapin Attack (CVE-2023-48795). Điểm đáng sợ của Terrapin là nó không thèm bẻ khóa thuật toán mã hóa, mà đánh trực tiếp vào tính toàn vẹn của quá trình “bắt tay” (Handshake).

Trong giao thức SSH, mỗi gói tin được gửi đi đều đi kèm với một số thứ tự (Sequence Number) ngẫu nhiên và tăng dần ngầm định. Cả Client và Server đều kiểm tra gắt gao số này để đảm bảo không một gói tin nào bị rơi rớt hay bị kẻ xấu chèn thêm vào.

Cách thức tấn công của Terrapin (kỹ thuật “Cắt dán” số thứ tự) diễn ra như sau:

Hacker chiếm vị trí Man-in-the-Middle (MitM) giữa máy bạn và Server.
Trong giai đoạn đầu của quá trình bắt tay (khi mã hóa toàn phần chưa được thiết lập), hacker chủ động xóa bỏ một số gói tin cụ thể — ví dụ: gói tin báo hiệu việc hỗ trợ các thuật toán bảo mật cao.
Để hai bên Client và Server không phát hiện ra sự thiếu hụt này, hacker điều chỉnh lại số thứ tự của các gói tin kế tiếp sao cho chúng khớp hoàn hảo với mong đợi của hai bên — như thể gói tin bị xóa chưa từng tồn tại.

4. Hậu quả: Hạ cấp bảo mật và Vô hiệu hóa Keystroke Obfuscation

Mục đích cuối cùng của việc “xóa dấu vết” khéo léo này là để thực hiện đòn Hạ cấp bảo mật (Downgrade Attack). Bằng cách xóa các gói tin mở rộng (Extension Info), hacker đánh lừa cả hai bên về khả năng bảo mật của nhau.

Hậu quả mang lại cực kỳ tàn khốc:

Ép dùng thuật toán yếu: SSH sẽ bị lừa và tự động lùi về sử dụng các bộ thuật toán mã hóa cũ hơn, yếu hơn, dễ bị hacker dùng kỹ thuật tấn công kênh kề để khai thác.
Vô hiệu hóa Keystroke Obfuscation: Đây là tính năng quan trọng của SSH dùng để làm nhiễu “nhịp gõ phím” khi truyền qua mạng. Khi Terrapin vô hiệu hóa thành công tính năng này, hacker đứng giữa có thể dễ dàng đoán được độ dài mật khẩu và thực hiện tấn công Sniffing.

Cảnh báo SOC: Lỗ hổng Terrapin cho thấy tầm quan trọng của việc cập nhật phần mềm. Để chống lại đòn tấn công này, quản trị viên mạng phải đảm bảo cả SSH Client (như PuTTY, OpenSSH) và SSH Server đều được cập nhật lên phiên bản mới nhất có hỗ trợ cờ “Strict KEX” (Bắt tay nghiêm ngặt) nhằm chặn đứng hành vi thao túng gói tin.

Khép lại Bài 10, chúng ta đã hoàn tất việc mổ xẻ những giao thức quan trọng nhất ở Tầng Ứng dụng (Lớp 7) như DNS, DHCP, HTTP, FTP và SSH. Bức tranh về cách dữ liệu truyền tải trên mạng đã hoàn thiện. Giờ là lúc chúng ta chuyển sang thế chủ động: Làm thế nào để xây dựng các công sự bảo vệ mạng lưới này? Trong Bài 11 tiếp theo, chúng ta sẽ bắt đầu Phần 4 của Series với chủ đề Vành đai Tường lửa (Firewall) & Cơ chế NAT. Hãy cùng chờ đón nhé!

Giao thức Truyền tải (HTTP/HTTPS & FTP/SFTP)

Thu, 21 May 2026 22:55:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở phần trước, chúng ta đã đi sâu vào hạ tầng mạng với DNS và DHCP. Khi gói tin đã có IP và tìm được đích đến, hệ thống sẽ chuyển giao nhiệm vụ cho các giao thức truyền tải văn bản và tệp tin ở Lớp Ứng dụng (Tầng 7). Hôm nay, chúng ta sẽ đặt HTTP/HTTPS và FTP/SFTP lên bàn mổ Wireshark để thấy rõ ranh giới sinh tử giữa dữ liệu trần trụi và kiến trúc đường hầm mã hóa.

1. HTTP và HTTPS: Ranh giới giữa “Trần trụi” và “Kín đáo”

HTTP (Cổng 80) là giao thức nền tảng để duyệt web, nhưng bản chất của nó là truyền văn bản thuần (Clear-text) hoàn toàn không được mã hóa. Đứng ở góc độ bảo mật, nếu bạn sử dụng mạng Wi-Fi công cộng để truy cập một trang web HTTP, bất kỳ ai có kiến thức cơ bản về mạng đang dùng Wireshark cũng có thể “nghe lén”. Họ sẽ thấy toàn bộ nội dung bạn chat, tài khoản, mật khẩu và thậm chí có thể can thiệp sửa đổi dữ liệu trên đường đi.

Để khắc phục điều này, HTTPS (Cổng 443) ra đời. Nó thực chất là giao thức HTTP được chạy trên nền của SSL/TLS ở Tầng 6 (Presentation).

Khi bạn truy cập facebook.com qua HTTPS, sau khi hoàn tất quá trình Bắt tay TCP ở Tầng 4, quy trình mã hóa sẽ diễn ra như sau:

Chuẩn bị (TLS Handshake): Trình duyệt (Client Hello) và máy chủ (Server Hello) đàm phán để chọn ra một bộ công cụ mật mã (Cipher Suite) chung.
Mã hóa (Application Data): Chỉ sau khi “đường hầm” TLS được thiết lập xong, dữ liệu web thực sự (phương thức GET/POST, mật khẩu, hình ảnh) mới bắt đầu được đẩy đi dưới dạng các khối Encrypted Application Data. Lúc này, hacker đứng giữa mạng sẽ hoàn toàn mù tịt.

2. FTP và Thảm họa Lộ Mật khẩu (Clear-text)

Tương tự như câu chuyện của HTTP, giao thức truyền tải tệp tin FTP (File Transfer Protocol) hoạt động ở Cổng 20 và 21 cũng là một giao thức cực kỳ yếu kém về bảo mật.

Hãy tưởng tượng một kịch bản thực chiến: Một nhân viên dùng FTP để upload báo cáo nội bộ qua mạng Wi-Fi ở quán cà phê. Hacker ngồi góc phòng, bật Wireshark (hoặc Ettercap) để thực hiện tấn công Man-in-the-Middle (MitM). Vì FTP không hề có lớp bảo vệ mã hóa nào, hacker sẽ bắt được toàn bộ gói tin giao tiếp trần trụi giữa máy trạm và Server.

Dưới đây là bằng chứng kết xuất từ Wireshark khi hacker bắt thành công gói tin FTP:

# Gói tin FTP cho thấy thông tin đăng nhập bị lộ hoàn toàn
# IP Nạn nhân: 192.168.1.15 | IP Máy chủ FTP: 10.10.50.20

No. Time Source Destination Protocol Info
34 100.646 192.168.1.15 -> 10.10.50.20 FTP Request: USER roduygo
36 100.646 10.10.50.20 -> 192.168.1.15 FTP Response: 331 Please specify the password.
38 102.659 192.168.1.15 -> 10.10.50.20 FTP Request: PASS 7905
40 102.756 10.10.50.20 -> 192.168.1.15 FTP Response: 230 Login successful.
42 102.756 192.168.1.15 -> 10.10.50.20 FTP Request: SYST
[...]

Chỉ với vài giây phân tích, hacker đã lấy được chính xác tài khoản (USER roduygo) và mật khẩu (PASS 7905). Từ đây, chúng có thể đăng nhập thẳng vào Server để trích xuất dữ liệu mật hoặc xóa sạch mọi tài liệu quan trọng.

Cảnh báo SOC: FTP mặc định là một lỗ hổng chí mạng. SOC Analyst cần đưa ra cảnh báo khẩn cấp (Alert) trên hệ thống IDS/IPS nếu phát hiện bất kỳ lưu lượng FTP nào (Port 21) truyền tải dữ liệu mà không đi qua các đường hầm VPN hoặc chưa được bọc TLS (FTPS).

3. SFTP: Kiến trúc Đường hầm Bảo mật tuyệt đối

Để giải quyết vấn đề của FTP, giải pháp an toàn và phổ biến nhất hiện nay trong giới quản trị hệ thống là SFTP (SSH File Transfer Protocol).

Một sai lầm rất thường gặp là mọi người nghĩ SFTP là “FTP cộng thêm bảo mật”. Thực chất không phải vậy! SFTP là một giao thức hoàn toàn mới được xây dựng từ đầu ngay bên trong không gian của SSH (Cổng 22). Trong khi SSH cung cấp cho bạn quyền gõ lệnh Terminal từ xa, thì SFTP tận dụng chính “đường hầm” an toàn đó để truyền tải tệp tin.

Khi bạn kết nối SFTP lần đầu, hệ thống sẽ sử dụng cơ chế bảo mật cực mạnh:

Kiểm tra Fingerprint: Máy bạn sẽ hỏi “dấu vân tay” (thường là mã ED25519) của Server và lưu vào file known_hosts. Từ lần sau, nếu dấu vân tay này bị thay đổi (do hacker cố tình dựng Server giả mạo), SSH sẽ báo động đỏ ngay lập tức.
Mã hóa hoàn toàn: Toàn bộ lệnh gõ, tên file, và nội dung file đều bị băm và xáo trộn.

Nếu hacker tiếp tục dùng Wireshark để nghe lén luồng SFTP, thứ duy nhất chúng thấy chỉ là vô vọng:

# Gói tin SFTP (chạy qua SSH) hoàn toàn bị mã hóa, che giấu mọi hoạt động
# IP Nạn nhân: 192.168.1.15 | IP Máy chủ SFTP: 10.10.50.20

No. Time Source Destination Protocol Info
14 13.1338 192.168.1.15 -> 10.10.50.20 SSHv2 Client: PQ/T Hybrid Key Exchange Init
15 13.1383 10.10.50.20 -> 192.168.1.15 SSHv2 Server: PQ/T Hybrid Key Exchange Reply, New Keys
17 18.3181 192.168.1.15 -> 10.10.50.20 SSHv2 Client: New Keys, Encrypted packet (len=68)
19 18.3509 10.10.50.20 -> 192.168.1.15 SSHv2 Client: Encrypted packet (len=52)
34 21.8629 192.168.1.15 -> 10.10.50.20 SSHv2 Client: Encrypted packet (len=128)
36 21.9083 10.10.50.20 -> 192.168.1.15 SSHv2 Server: Encrypted packet (len=628)
[...]

Thay vì thấy lệnh USER hay PASS, tất cả những gì hiển thị trên màn hình của hacker giờ đây chỉ là các khối Encrypted packet khô khan.

Hiểu rõ sự khác biệt giữa giao thức truyền văn bản thuần (HTTP, FTP) và các giao thức bọc giáp (HTTPS, SFTP) giúp SOC Analyst biết phải cấu hình giám sát ở đâu để không bị lọt lưới thông tin nhạy cảm. Dù SSH/SFTP rất kiên cố, nhưng vỏ bọc nào cũng có điểm yếu chí mạng nếu quá trình “đàm phán” ban đầu bị thao túng. Trong Bài tiếp theo, chúng ta sẽ đi sâu vào kỹ thuật quản trị từ xa (SSH) và mổ xẻ lỗ hổng Terrapin (CVE-2023-48795) — đòn tấn công tinh vi đánh thẳng vào tính toàn vẹn của quá trình bắt tay SSH. Hãy cùng chờ đón nhé!

Giải phẫu TLS Handshake & Cipher Suites trên Wireshark

Thu, 21 May 2026 22:51:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở bài trước, chúng ta đã hiểu được tầm quan trọng của Tầng 6 (Presentation) và sự sụp đổ của SSL 3.0. Hôm nay, chúng ta sẽ đặt giao thức TLS lên “bàn mổ” Wireshark để soi kỹ từng bước trong quá trình đàm phán bảo mật. Hãy cùng giải phẫu các gói tin Client Hello, Server Hello và bóc tách ý nghĩa của bộ công cụ mật mã hiện đại như ECDHE hay CHACHA20_POLY1305.

1. Bức tranh toàn cảnh TLS Handshake

Trước khi mã hóa bất kỳ dữ liệu thực tế nào (Application Data), máy khách và máy chủ phải thiết lập các quy tắc chung thông qua quá trình bắt tay TLS (TLS Handshake). Quá trình này chỉ được bắt đầu sau khi hai thiết bị đã thiết lập xong kết nối vật lý qua TCP 3-Way Handshake ở Tầng 4.

Các bước cơ bản của quy trình diễn ra như sau:

Client Hello: Máy khách (như trình duyệt của bạn) gửi lời chào, kèm theo danh sách các bộ công cụ mật mã (Cipher Suites) mà máy của bạn có thể hỗ trợ.
Server Hello: Máy chủ nhận lời chào, so sánh và chọn ra một bộ công cụ duy nhất tốt nhất để hai bên cùng sử dụng.
Certificate & Key Exchange: Máy chủ gửi chứng chỉ (Certificate) để chứng minh danh tính, sau đó hai bên tiến hành trao đổi Khóa phiên (Session Key).
Finished: “Đường hầm” mã hóa chính thức hoàn tất. Từ thời điểm này, mọi dữ liệu HTTP mới bắt đầu được truyền đi dưới dạng ẩn danh (Encrypted Application Data).

2. Đọc hiểu Client Hello trên Wireshark

Chúng ta sẽ sử dụng bộ lọc tls.handshake.type == 1 trên Wireshark để xem máy khách mang những gì đến “buổi đàm phán” ban đầu.

# Bộ lọc Wireshark để tìm gói tin Client Hello
# IP máy khách: 192.168.1.14 | IP máy chủ đích: 72.34.249.208

Handshake Protocol: Client Hello
 Handshake Type: Client Hello (1)
 Length: 1910
 Version: TLS 1.2 (0x0303)
 Random: a0c794e5688f06092ca15a0a7c7452952d79b8af66b763645a55c5d0689b60dd
 Session ID Length: 32
 Session ID: 5f9fe71acbee191437c11861cf72ad48870cb6bb38d3fd5e0bbe731b6e52a7c7
 Cipher Suites Length: 32
 Cipher Suites (16 suites)
 Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (0xc02c)
 Cipher Suite: TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8)
 [...]

Trong gói tin này, trường thông tin mang tính sống còn nhất là Cipher Suites (16 suites). Trình duyệt của bạn đang gửi một danh sách gồm 16 thuật toán mật mã khác nhau và truyền đạt thông điệp: “Đây là tất cả những vũ khí bảo mật mà tôi có, Server hãy chọn ra một cái nhé!”.

3. Giải phẫu Cipher Suite (Thuật toán CHACHA20_POLY1305)

Ngay sau Client Hello, Server sẽ đáp lại bằng gói Server Hello (bộ lọc tls.handshake.type == 2) và chốt lại một “bộ công cụ mật mã” duy nhất. Giả sử Server đã chọn TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256.

Dưới góc độ một SOC Analyst, bạn bắt buộc phải biết cách “dịch” chuỗi mã này từ trái sang phải:

TLS: Tên giao thức nền tảng đang sử dụng.
ECDHE (Elliptic Curve Diffie-Hellman Ephemeral): Thuật toán dùng để trao đổi khóa. Chữ “E” (Ephemeral) đảm bảo tính Perfect Forward Secrecy — mỗi phiên làm việc có một khóa riêng. Ngay cả khi hacker đánh cắp được Khóa bí mật tĩnh của máy chủ vào ngày mai, chúng cũng không thể dùng nó để giải mã các gói tin Wireshark bắt được từ hôm nay.
RSA: Thuật toán xác thực danh tính. Dùng để chứng minh với máy khách rằng Server thực sự là đúng địa chỉ (thông qua Certificate).
CHACHA20_POLY1305: Thuật toán mã hóa đối xứng — phần lõi dùng để xáo trộn dữ liệu. Cực kỳ hiện đại, chạy mượt mà và tiết kiệm pin trên thiết bị di động so với thuật toán AES cũ.
SHA256: Thuật toán băm dùng cho HMAC, đảm bảo không một ai có thể thay đổi dù chỉ 1 bit dữ liệu trên đường truyền mà không bị phát hiện.

4. Giải mã dữ liệu TLS trong thực chiến (Decryption)

Bình thường, khi bạn soi các gói tin sau quá trình Handshake, bạn sẽ chỉ thấy một vùng xám xịt mang tên Encrypted Application Data chứa toàn ký tự rác. Để phục vụ công tác điều tra phân tích mạng (Network Forensics), chúng ta có thể ép trình duyệt nhả “Khóa phiên” (Session Key) ra một file log, sau đó nạp file này vào Wireshark để giải mã toàn bộ luồng dữ liệu.

Cảnh báo bảo mật: Cú pháp dưới đây thiết lập biến môi trường để trích xuất khóa mã hóa riêng tư. Chỉ được phép thực hiện trên môi trường Lab hoặc máy phân tích cách ly. Tuyệt đối không chạy lệnh này trên máy tính của người dùng thực tế vì nó sẽ làm lộ toàn bộ dữ liệu duyệt web (tài khoản, mật khẩu) của họ!

# Chỉ định đường dẫn file log để lưu Session Key của trình duyệt
export SSLKEYLOGFILE=~/tls_keys.log

# Mở trình duyệt Firefox từ terminal hiện tại để bắt đầu ghi nhận khóa
firefox &

Sau khi cấu hình Wireshark trỏ đến file tls_keys.log này (trong mục Preferences > Protocols > TLS), phép màu sẽ xảy ra. Các gói tin vốn bị mã hóa đen đặc giờ đây sẽ hiển thị thêm một tab Decrypted TLS. Bạn sẽ thấy rõ nguyên hình dữ liệu HTTP/2 trần trụi, bao gồm các phương thức GET/POST hay các chuỗi Header rõ ràng.

Việc đọc hiểu tường tận các bộ Cipher Suites và quy trình TLS Handshake giúp Blue Team đánh giá chính xác chất lượng bảo mật của các kết nối đang diễn ra trên hệ thống. Dù Tầng 6 đã tạo ra một đường hầm mã hóa kiên cố, nhưng chính những ứng dụng ở Tầng trên cùng mới là mục tiêu bị tin tặc khai thác nhiềutích “góc khuất ngây thơ” của hệ thống phân giải tên miền (DNS) và quá trình xin cấp phát IP của DHCP. Các bạn đừ nhất. Trong Bài 8 tiếp theo, chúng ta sẽ chính thức bước vào Lớp Ứng dụng (Application Layer - OSI 7) để phân ng bỏ lỡ nhé!

Lớp 6 (Presentation) & Lớp vỏ Mã hóa - Từ SSL đến TLS và Lỗ hổng POODLE

Thu, 21 May 2026 22:50:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở bài trước, chúng ta đã tìm hiểu cách Tầng 5 duy trì các phiên làm việc, nhưng nếu dữ liệu (như mật khẩu, cookie) cứ thế truyền đi trần trụi thì hacker đứng giữa mạng sẽ dễ dàng tóm gọn. Đó là lúc Tầng 6 (Presentation Layer) xuất hiện như một “lớp vỏ bọc thép” để thông dịch, nén và xáo trộn mọi thông tin trước khi đẩy ra mạng. Hôm nay, chúng ta sẽ cùng mổ xẻ cơ chế hoạt động của Tầng 6, phân tích sự tiến hóa từ SSL lên TLS và bóc trần đòn đánh POODLE khét tiếng đã định hình lại tiêu chuẩn bảo mật toàn cầu.

1. Tầng 6 (Presentation) làm nhiệm vụ gì?

Trong khi các tầng dưới chỉ lo việc “vận chuyển”, Tầng 6 đóng vai trò là một “người phiên dịch và đóng gói” dữ liệu chuẩn mực để đảm bảo hai thiết bị có hệ điều hành khác nhau vẫn có thể hiểu nhau. Ở tầng này, ranh giới giữa giao thức và định dạng tệp (như JPEG, MP4, JSON, XML) trở nên rất mong manh.

Tầng 6 đảm nhiệm 3 trọng trách cốt lõi:

Thông dịch (Translation): Chuyển đổi giữa các bảng mã (như ASCII sang UTF-8). Điều này đảm bảo khi bạn gõ tiếng Việt trên ứng dụng, máy chủ ở Mỹ vẫn hiển thị đúng chữ “Học” chứ không bị lỗi font ô vuông.
Nén dữ liệu (Compression): Giảm dung lượng dữ liệu (như luồng stream video MP4) trước khi truyền đi để tiết kiệm băng thông.
Mã hóa (Encryption): Đây là phần quan trọng nhất đối với Blue Team. Toàn bộ quá trình mã hóa dữ liệu để biến văn bản thuần thành một chuỗi ký tự rác (Encrypted Application Data) được xử lý tại đây. Đại diện tiêu biểu nhất chính là giao thức SSL/TLS.

2. Kỷ nguyên của SSL và Lỗ hổng chí mạng POODLE

Secure Sockets Layer (SSL) là thế hệ giao thức mã hóa đầu tiên bảo vệ Internet. Nó hoạt động dựa trên cơ chế bắt tay bằng Khóa công khai (Public Key) và Khóa bí mật (Private Key). Máy khách sẽ kiểm tra “Chứng chỉ số” của Server, tự tạo ra một Khóa phiên (Session Key) ngẫu nhiên, dùng Khóa công khai của Server bọc lại rồi gửi đi. Chỉ Server cầm Khóa bí mật mới mở được hộp để lấy Khóa phiên dùng cho việc liên lạc sau đó.

Tuy nhiên, SSL 3.0 đã bị khai tử hoàn toàn bởi một lỗ hổng có tên gọi thú vị: POODLE (Padding Oracle On Downgraded Legacy Encryption).

Đòn tấn công này đánh trực diện vào cách SSL 3.0 xử lý các “dữ liệu đệm” (padding). Hacker đứng ở giữa mạng (MitM) sẽ chủ động can thiệp làm nhiễu kết nối để ép Server và Client phải hạ cấp (Downgrade) bảo mật từ TLS xịn xuống dùng SSL 3.0 cũ. Sau đó, chúng liên tục gửi các gói tin chỉnh sửa nhẹ đến Server. Chỉ bằng việc quan sát Server trả lời là “Lỗi rồi” hay “OK”, hacker có thể đoán ngược lại từng byte dữ liệu. Sau vài trăm lần thử, chúng lấy được toàn bộ Cookie phiên đăng nhập của bạn mà không cần phải tốn công bẻ khóa.

Cảnh báo SOC: POODLE chứng minh rằng thuật toán mã hóa mạnh đến đâu cũng vô dụng nếu giao thức đàm phán bị lỗi. SOC Analyst cần cấu hình Firewall và Web Server (Nginx, HAProxy) tắt hoàn toàn việc hỗ trợ SSL v2/v3, chỉ chấp nhận TLS 1.2 trở lên để chống lại đòn Downgrade Attack.

3. Sự tiến hóa lên TLS (Transport Layer Security)

Để khắc phục yếu điểm của SSL, TLS ra đời. Thay vì chỉ mã hóa thụ động, TLS đóng vai trò như một hệ thống an ninh chủ động với các nâng cấp vượt bậc:

Xác thực mạnh mẽ: Bỏ hẳn MD5 và SHA-1 để chuyển sang các hàm băm hiện đại như SHA-256.
Chống sửa đổi (Integrity): TLS sử dụng thuật toán HMAC (Hash-based Message Authentication Code). Kẻ tấn công không thể thay đổi dù chỉ 1 bit dữ liệu trên đường đi mà không bị hệ thống phát hiện.
Bảo mật chuyển tiếp (Perfect Forward Secrecy): Nhờ thuật toán trao đổi khóa ECDHE, mỗi phiên làm việc có một khóa riêng. Ngay cả khi hacker đánh cắp được Khóa bí mật tĩnh của máy chủ vào ngày mai, chúng cũng không thể dùng nó để giải mã các gói tin Wireshark mà chúng đã nghe lén từ hôm nay.

4. Giải phẫu Cipher Suite trên Wireshark

Khi bạn truy cập một trang web HTTPS, trong gói tin Server Hello trên Wireshark, máy chủ sẽ chốt lại một “Bộ công cụ mật mã” (Cipher Suite) duy nhất để hai bên sử dụng. Dưới đây là cách SOC Analyst đọc hiểu bộ mã TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256:

# Log Wireshark soi gói tin Server Hello chốt thuật toán mã hóa
# Bộ lọc: tls.handshake.type == 2

Handshake Protocol: Server Hello
 Version: TLS 1.2 (0x0303)
 Session ID Length: 32
 Cipher Suite: TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8)

Cách đọc chuỗi Cipher Suite trên từ trái sang phải: ví dụ trong ảnh là TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

ECDHE: Thuật toán trao đổi khóa (đảm bảo Perfect Forward Secrecy).
RSA: Thuật toán xác thực danh tính (chứng minh máy chủ qua Certificate).
CHACHA20_POLY1305: Thuật toán mã hóa đối xứng thực hiện xáo trộn dữ liệu (tốc độ cực nhanh trên thiết bị hiện đại).
SHA256: Thuật toán băm dùng cho HMAC để kiểm tra tính toàn vẹn của gói tin.

Dưới góc độ phân tích sự cố, nếu muốn “giải mã” các gói tin TLS để xem dữ liệu thô (HTTP) trên Wireshark, bạn có thể buộc trình duyệt xuất file lưu trữ Khóa phiên (Session Key) ra ổ cứng:

# Thiết lập biến môi trường để Firefox/Chrome nhả Khóa phiên ra file log
# Chỉ dùng trên máy Lab/máy phân tích, KHÔNG dùng trên máy người dùng thực tế

export SSLKEYLOGFILE=~/tls_keys.log
firefox &

5. Mã hóa TLS có an toàn tuyệt đối?

Dù TLS rất thông minh, nó vẫn có những “gót chân Achilles” mà Blue Team cần dè chừng:

Tấn công vào Chứng chỉ (Certificate Attacks): TLS dựa vào niềm tin của Certificate. Nếu hacker lừa người dùng cài một “Root Certificate” giả vào máy, chúng có thể thực hiện Man-in-the-Middle (MitM) để giải mã mọi thứ trơn tru.
Lỗ hổng thực thi (Implementation Bugs): Lỗi không nằm ở lý thuyết TLS mà nằm ở người code thư viện — điển hình là vụ Heartbleed trên OpenSSL cho phép đọc trộm bộ nhớ RAM của máy chủ.
Tấn công kênh kề (Side-channel): Hacker không thèm bẻ khóa, chúng chỉ ngồi đếm kích thước gói tin và thời gian phản hồi để đoán người dùng đang xem trang web gì.

Như vậy, đi qua Tầng 6, dữ liệu của chúng ta đã được đóng gói định dạng và khoác lên mình lớp áo giáp mã hóa bất khả xâm phạm. Giờ đây, “thùng hàng” này đã sẵn sàng để được giao cho Tầng cuối cùng: Tầng 7 (Application). Ở bài viết tiếp theo — Bài 7, chúng ta sẽ khám phá thế giới của Tầng Ứng dụng, nơi diễn ra các cuộc tấn công dữ dội nhất nhắm vào các giao thức DNS ngây thơ, quá trình xin cấp IP của DHCP và sự nguy hiểm của FTP truyền thống. Đừng bỏ lỡ nhé!

Bắt bệnh Mạng bằng Wireshark & Tấn công DDoS

Thu, 21 May 2026 22:00:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở bài trước, chúng ta đã hiểu được “trái tim” TCP và nghệ thuật bắt tay 3 bước ở Tầng 4. Hôm nay, chúng ta sẽ thực sự ứng dụng Wireshark để “bắt bệnh” các lỗi đường truyền kinh điển, đồng thời phân tích cách hacker lợi dụng chính cơ chế của TCP/UDP để phát động các đòn tấn công từ chối dịch vụ (DDoS) tàn khốc.

1. “Bắt bệnh” Mạng chậm và Rớt gói tin bằng Wireshark

Giao thức TCP được thiết kế để đảm bảo không một byte dữ liệu nào bị mất trên đường truyền. Do đó, khi mạng gặp sự cố (như đứt cáp, quá tải, nhiễu sóng), TCP sẽ “la hét” và để lại những dấu vết cực kỳ rõ ràng. Dưới góc độ SOC Analyst, bạn có thể dùng các bộ lọc sau đây trên Wireshark để chẩn đoán nguyên nhân.

1.1 Mất gói và Gửi lại (Retransmission)

Khi máy gửi đã đẩy gói tin đi nhưng đợi mãi (hết thời gian RTO - Retransmission Timeout) mà không nhận được gói ACK xác nhận từ máy nhận, nó bắt buộc phải gửi lại gói tin đó.

Cú pháp lọc: tcp.analysis.retransmission
Dấu hiệu: Wireshark sẽ tô màu đen chữ đỏ rực rỡ cho các dòng này. Nếu bộ lọc này trả về hàng ngàn kết quả, đường truyền vật lý đang cực kỳ bất ổn và hệ thống đang lãng phí băng thông để gửi lại dữ liệu cũ, làm tốc độ mạng chậm đi rõ rệt.

1.2 Thiếu mảnh dữ liệu (Duplicate ACK)

Đây là cảnh tượng máy nhận đang “gào thét” đòi một mảnh dữ liệu bị mất ở giữa luồng truyền.

Cú pháp lọc: tcp.analysis.duplicate_ack
Dấu hiệu: Bạn sẽ thấy máy nhận gửi liên tiếp các gói ACK có cùng một số hiệu xác nhận (ví dụ: 3-4 gói đều mang Ack=4680). Điều này có nghĩa là: “Tôi đã nhận được các gói 4681, 4682 rồi, nhưng cái gói 4680 vẫn chưa tới, hãy gửi lại ngay!”. Khi nhận được 3 gói Dup ACK liên tiếp, máy gửi sẽ kích hoạt cơ chế Fast Retransmit để gửi bù ngay lập tức.

1.3 Hệ thống bị ngộp (Zero Window)

Sự cố này không do đường truyền, mà do năng lực xử lý của máy tính (hoặc Server) đã chạm đáy.

Cú pháp lọc: tcp.analysis.zero_window
Dấu hiệu: Máy nhận sẽ ném ra một gói tin với tham số Win=0. Đây là cơ chế Kiểm soát luồng (Flow Control) của TCP, mang thông điệp: “Dừng lại ngay! Bộ nhớ đệm (Buffer) của tôi đã đầy cứng rồi, không còn chỗ chứa thêm dữ liệu nào nữa đâu!”.

2. SYN Flood: Đòn đánh vào sự “Kỹ tính” của TCP

Hacker luôn biết cách biến “tính năng” thành “vũ khí”. Việc TCP yêu cầu phải Bắt tay 3 bước khắt khe vô tình tạo ra một lỗ hổng chí mạng cho các cuộc tấn công DDoS dạng SYN Flood.

Kịch bản tấn công diễn ra như sau:

Kẻ tấn công gửi hàng vạn gói ngỏ lời SYN đến máy chủ đích.
Máy chủ ngây thơ phân bổ tài nguyên bộ nhớ, tạo một “nửa kết nối” (Half-open connection) và gửi lại gói SYN-ACK.
Máy chủ chờ đợi gói ACK cuối cùng để hoàn tất — nhưng kẻ tấn công tuyệt đối không bao giờ trả lời. Máy chủ cứ thế chờ đợi cho đến khi cạn kiệt tài nguyên (CPU, RAM) và bị treo cứng, từ chối phục vụ người dùng hợp lệ.

Đây là output Wireshark ghi lại khi kẻ tấn công 10.10.53.248 liên tục bắn gói SYN vào Server 192.168.1.10:

# Lọc để phát hiện SYN Flood: tcp.flags.syn == 1 && tcp.flags.ack == 0
# Dấu hiệu: hàng ngàn gói SYN từ cùng một IP, không có gói ACK phản hồi

No. Time Source Destination Protocol Info
1 0.0000 10.10.53.248 -> 192.168.1.10 TCP 45892 -> 443 [SYN] Seq=0 Win=64240 Len=0
2 0.0001 10.10.53.248 -> 192.168.1.10 TCP 45893 -> 443 [SYN] Seq=0 Win=64240 Len=0
3 0.0002 10.10.53.248 -> 192.168.1.10 TCP 45894 -> 443 [SYN] Seq=0 Win=64240 Len=0
4 0.0003 10.10.53.248 -> 192.168.1.10 TCP 45895 -> 443 [SYN] Seq=0 Win=64240 Len=0
[...]

Cảnh báo SOC: Kẻ tấn công thường sử dụng địa chỉ IP nguồn giả mạo (Spoofed IP) trong các cuộc tấn công SYN Flood. Do đó, việc dùng Firewall để chặn IP nguồn đơn lẻ là không hiệu quả. SOC cần cấu hình các cơ chế phòng thủ chuyên sâu như SYN Cookies trên Tường lửa/Load Balancer.

3. UDP Flood: Đòn đánh “Lấy thịt đè người”

Trái ngược với sự kỹ tính của TCP, giao thức UDP lại đại diện cho sự “tự do”: Không bắt tay, không cần số thứ tự, cứ có dữ liệu là ném đi. Giao thức này thường dùng cho Game hoặc Livestream, nhưng cũng là công cụ tàn phá ưa thích của Hacker.

Trong tấn công UDP Flood, hacker không cần lừa máy chủ bắt tay. Chúng chỉ đơn giản là huy động một mạng lưới máy tính ma (Botnet) để bắn hàng triệu gói tin UDP rác vào các cổng ngẫu nhiên trên Server.

Hậu quả: Khi Server nhận được gói tin UDP ở một cổng, nó bắt buộc phải dùng CPU để kiểm tra xem có ứng dụng nào đang chờ ở cổng đó không. Khi phát hiện không có, nó phải tốn thêm công sức để tạo và gửi lại một gói lỗi ICMP Destination Unreachable (Port Unreachable). Khi phải xử lý hàng triệu thao tác vô bổ này trong một giây, máy chủ sẽ sụp đổ hoàn toàn vì quá tải.

# Lệnh minh họa tấn công UDP Flood bằng hping3
# CHỈ thực hiện trong môi trường Lab, tuyệt đối KHÔNG dùng trên hệ thống thật

# -2: chế độ UDP | --flood: xả gói liên tục | --rand-source: IP nguồn ngẫu nhiên
sudo hping3 -2 --flood --rand-source 192.168.1.10

Cảnh báo: Lệnh trên có thể gây tê liệt hệ thống mục tiêu. Chỉ sử dụng trong môi trường thực hành (Lab) hoàn toàn cô lập, không kết nối Internet.

Qua bài viết này, chúng ta đã biết cách dùng Wireshark để đọc các tín hiệu “kêu cứu” của hệ thống (Retransmission, Zero Window) và hiểu rõ bản chất tàn khốc của các đòn tấn công DDoS ở Tầng 4. Sau khi đã nắm vững quá trình vận chuyển gói tin, ở Bài 5 tiếp theo, chúng ta sẽ bước lên Lớp 5 (Session Layer) để khám phá ranh giới của các phiên làm việc và kỹ thuật Cướp phiên (Session Hijacking) tinh vi của Hacker. Hẹn gặp lại các bạn!

Giao thức Lớp 2 & 3 - Truy vết MAC, IP và MAC Spoofing

Wed, 20 May 2026 08:30:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Mạng (Network Anatomy) & Packet Analysis! Ở bài trước, chúng ta đã ngắm nhìn toàn cảnh “bản đồ kho báu” OSI và biết cách đặt một gói tin lên bàn mổ Wireshark. Hôm nay, chúng ta sẽ bắt đầu chuyến thám hiểm thực sự vào thế giới của Tầng 2 (Data Link) và Tầng 3 (Network). Đây là nơi giải quyết câu hỏi cốt lõi nhất của Internet: “Làm sao thiết bị A có thể tìm và gửi dữ liệu chính xác cho thiết bị B giữa hàng tỷ thiết bị trên toàn cầu?”

1. Tầng 3 (Network): Bản đồ Thế giới và Địa chỉ IP

Nếu muốn gửi một bức thư xuyên quốc gia, bạn cần một địa chỉ nhà chính xác. Trong thế giới mạng, Tầng 3 (Network Layer) chịu trách nhiệm định tuyến đường đi tốt nhất trên môi trường Internet bằng cách sử dụng Địa chỉ IP (Internet Protocol).

Tính chất: Địa chỉ IP là địa chỉ logic, được điều khiển bởi phần mềm và có thể thay đổi tùy thuộc vào mạng bạn đang kết nối.
Đóng gói: Dữ liệu khi đi qua Tầng 3 sẽ được dán thêm một lớp IP Header để tạo thành một Packet (Gói tin). Lớp vỏ này chứa IP Nguồn (Source IP) và IP Đích (Destination IP).
Chẩn đoán lỗi: Tầng 3 còn quản lý ICMP (Internet Control Message Protocol), giao thức đứng đằng sau lệnh ping quen thuộc.

Đứng ở góc nhìn bảo mật, ICMP không chỉ dùng để ping mạng, mà còn là cách Tường lửa (Firewall) giao tiếp trả về thông báo. Khi Firewall chặn một kết nối bằng lệnh REJECT, hệ thống sẽ trả về một gói tin ICMP với thông điệp Destination unreachable (Host unreachable).

2. Tầng 2 (Data Link): Căn cước công dân và Địa chỉ MAC

Nếu Tầng 3 (IP) là địa chỉ nhà giúp gói tin bay xuyên lục địa, thì Tầng 2 (Data Link Layer) chịu trách nhiệm tìm đúng cánh cửa để gõ khi gói tin đã về đến mạng nội bộ (mạng LAN).

Đơn vị dữ liệu: Tầng 2 sẽ bọc Packet của Tầng 3 lại thành một Frame (Khung).
Địa chỉ MAC: Giao thức chính ở đây là Ethernet II, sử dụng Địa chỉ MAC (Media Access Control).

MAC giống như cái “Căn cước công dân” vật lý, một mã số duy nhất gồm 48-bit, ví dụ 40:8D:5C:9B:A6:67, được nhà sản xuất nạp cứng vào card mạng (NIC) của bạn.

Tại sao đã có IP mà vẫn cần MAC? Trong một mạng LAN, các thiết bị trung tâm như Switch không hề nhìn vào địa chỉ IP. Chúng chỉ đọc địa chỉ MAC trên Frame để biết chính xác phải đẩy xung điện dữ liệu vào cổng (Port) vật lý nào để tới đúng máy tính của bạn chứ không phải máy của anh hàng xóm.

3. Cầu nối sinh tử: Giao thức phân giải địa chỉ (ARP)

Đây là lúc rắc rối xảy ra: máy tính của bạn biết IP của máy đích (Tầng 3), nhưng card mạng lại bắt buộc phải có địa chỉ MAC (Tầng 2) để truyền Frame đi. Làm sao để biết được MAC của một IP lạ? Giải pháp chính là ARP (Address Resolution Protocol).

Quá trình “hỏi đường” ARP diễn ra như sau, hãy tưởng tượng mạng LAN là một căn phòng đông người:

ARP Request (Hỏi): Máy của bạn “hét” lên toàn mạng (Broadcast) một thông điệp: “Ai là chủ nhân của địa chỉ IP 192.168.1.1? Hãy cho tôi biết địa chỉ MAC của bạn!”.
ARP Reply (Trả lời): Chỉ duy nhất thiết bị đang giữ IP đó mới lên tiếng đáp lại (Unicast): “Là tôi đây! Địa chỉ MAC của tôi là AA:BB:CC:DD:EE:FF”.
ARP Cache (Ghi nhớ): Sau khi nhận câu trả lời, máy của bạn sẽ lưu cặp IP - MAC này vào Bảng ARP (ARP Table) để lần sau không phải hét lên hỏi nữa.

Ghi chú: Chèn ảnh chụp màn hình Wireshark bắt gói tin ARP Request (Who has...) và ARP Reply (is at...) tại đây.

4. Góc nhìn Kẻ tấn công: Thực chiến MAC Spoofing

Địa chỉ MAC được nạp cứng vào phần cứng, nghe có vẻ rất an toàn đúng không? Sai lầm! Địa chỉ MAC hoàn toàn có thể bị giả mạo bằng phần mềm ở cấp độ hệ điều hành. Kỹ thuật này gọi là MAC Spoofing (Giả mạo MAC).

Tại sao hacker lại làm vậy? Nhiều hệ thống an ninh mạng, như hệ thống Wi-Fi ở khách sạn, công ty hay luật Firewall tĩnh, sử dụng tính năng lọc địa chỉ MAC (MAC Filtering) để quyết định ai được phép vào mạng. Bằng cách giả mạo MAC của một thiết bị hợp lệ như máy của sếp hoặc máy in, hacker có thể đàng hoàng vượt rào.

Dưới đây là cách thay đổi địa chỉ MAC trên máy Linux trong môi trường lab:

# Kiểm tra danh sách card mạng hiện tại
ip link show

# Tắt card mạng muốn thay đổi, ví dụ wlp8s0
sudo ip link set dev wlp8s0 down

# Đổi địa chỉ MAC sang một MAC giả
sudo ip link set dev wlp8s0 address 00:ad:be:ef:13:40

# Bật lại card mạng
sudo ip link set dev wlp8s0 up

# Kiểm tra lại xem MAC đã được đổi thành công chưa
ip link show wlp8s0

Cảnh báo: Kỹ thuật MAC Spoofing cũng là tiền đề cho một đòn đánh nghiêm trọng hơn gọi là ARP Spoofing / ARP Poisoning (đầu độc bộ nhớ cache ARP). Kẻ tấn công sẽ liên tục gửi các gói tin ARP Reply giả mạo để lừa toàn bộ máy tính trong mạng rằng: “MAC của tôi chính là Router đây”. Từ đó, luồng truy cập Internet của nạn nhân có thể bị điều hướng qua máy của kẻ tấn công trong mô hình Man-in-the-Middle.

Kết thúc Bài 2, chúng ta đã hiểu được “sợi dây liên kết” giữa địa chỉ logic (IP) và địa chỉ vật lý (MAC), cùng cách thức hoạt động của ARP và ICMP. Tầng 2 và 3 chỉ có nhiệm vụ tìm đường và ném gói tin đi, chúng không hề quan tâm gói tin có đến nơi an toàn hay không. Trách nhiệm nặng nề đó sẽ được giao cho Tầng 4. Ở Bài 3, chúng ta sẽ bước vào “trái tim” của sự ổn định: giải phẫu giao thức TCP, thuật toán bắt tay 3 bước và đi tìm nguyên nhân gây ra các lỗi rớt mạng kinh điển. Các bạn đừng bỏ lỡ nhé!