Linux web hosting (Bao cao)

TRƯỜNG ĐẠI HỌC KHOA HỌC TỰ NHIÊN TP. HCM
KHOA ĐIỆN TỬ - VIỄN THÔNG
BÁO CÁO THỰC TẬP
Đề tài:
XÂY DỰNG WEB HOSTING
TRÊN NỀN LINUX
CBHD : Thầy Võ Đỗ Thắng
SVTH : Phạm Văn An
MSSV : 1020011
TP. Hồ Chí Minh – Tháng 5/2014

LỜI CẢM ƠN
Trên thực tế không có sự thành công nào mà không gắn liền với những sự hỗ trợ,
giúp đỡ dù ít hay nhiều, dù trực tiếp hay gián tiếp của người khác. Trong suốt thời gian
từ khi bắt đầu học tập ở giảng đường đại học cho đến nay, em đã nhận được rất nhiều
sự quan tâm, giúp đỡ của quý Thầy Cô, gia đình và bạn bè.
Với lòng biết ơn sâu sắc nhất, em xin gửi đến quý Thầy Cô Khoa Điện Tử Viễn
Thông – Trường Đại học Khoa Học Tự Nhiên đã cùng với tâm huyết của mình để
truyền đạt vốn kiến thức quý báu cho em trong suốt thời gian học tập tại trường, và
nhất là trong thời gian thực tập này.
Em xin chân thành cảm ơn Thầy Võ Đỗ Thắng đã tận tâm hướng dẫn em trong
những buổi thực tập cũng như buổi hội thảo về Bảo mật An ninh mạng vừa qua. Nếu
không có những lời hướng dẫn, dạy bảo của thầy, em nghĩ rằng sẽ rất khó khăn trong
việc hoàn thành bản báo cáo này. Một lần nữa, em xin chân thành cảm ơn thầy.
Cuối cùng em xin chúc quý Thầy Cô, Ban Giám Đốc và toàn thể anh chị trong
Trung tâm Đào tạo và Quản trị mạng ATHENA thật nhiều sức khỏe và thành công
trong công việc.
Xin chân thành cảm ơn
Sinh viên thực tập
Phạm Văn An

NHẬN XÉT CỦA ĐƠN VỊ THỰC TẬP
Họ tên sinh viên: PHẠM VĂN AN ; MSSV: 1020011
Email: pvan.fetel@gmail.com
Trường: Đại học Khoa Học Tự Nhiên Tp. HCM
Khoa: Điện tử - Viễn thông
Ngành: Viễn Thông - Mạng
Đề tài thực tập: Xây dựng web hosting trên nền Linux
Đơn vị thực tập: Trung tâm Đào tạo và Quản trị mạng ATHENA
Thời gian thực tập: Từ ngày 24/03/2014 đến ngày 24/05/2014
Nhận xét quá trình thực tập của sinh viên:
1. Tinh thần làm kỷ luật, thái độ làm việc: 4 điểm (Thực hiện nội quy cơ
quan, chấp hành giờ giấc làm việc, thái độ giao tiếp, ý thức bảo vệ của công,
thái độ làm việc)
.................................................................................................................................
.................................................................................................................................
2. Khả năng chuyên môn, nghiệp vụ: 3 điểm (Khả năng đáp ứng nhu cầu
công việc, tin thần cầu tiến, khả năng đề xuất sáng kiến trong công việc)
.................................................................................................................................
.................................................................................................................................
3. Kết quả công tác: 3 điểm (Mức độ hoàn thành thành công việc)
.................................................................................................................................
.................................................................................................................................
.................................................................................................................................
4. Các ý kiến khác: ±2 điểm (nếu có)
.................................................................................................................................
.................................................................................................................................
5. Điểm đề nghị: (Thang điểm 10)
.................................................................................................................................
Giáo viên hướng dẫn
Thầy Võ Đỗ Thắng
Xác nhận của Trung tâm Đào tạo và Quản trị mạng ATHENA

NHẬN XÉT CỦA TRƯỞNG BỘ MÔN
Trưởng bộ môn : GV. ThS. Đặng Lê Khoa
Nhận xét báo cáo thực tập của sinh viên: Phạm Văn An
MSSV: 1020011
Lớp: Điện tử - Viễn thông Khóa: 2010
Tên đề tài thực tập: Xây dựng web hosting trên nền Linux
Nội dung nhận xét:...........................................................................................................
..........................................................................................................................................
..........................................................................................................................................
..........................................................................................................................................
..........................................................................................................................................
..........................................................................................................................................
..........................................................................................................................................
..........................................................................................................................................
..........................................................................................................................................
Điểm: - Bằng số: ..............................................................................................................
- Bằng chữ: ...........................................................................................................
XÁC NHẬN KHOA TRƯỞNG BỘ MÔN
(Chức vụ, ký, ghi họ tên) (Ký, ghi rõ họ tên)

LỊCH TRÌNH TẬP SỰ
STT Thời gian Công việc thực hiện Ghi chú
1 Tuần 1
- Nhận đề tài, tìm hiểu công ty, cán bộ hướng dẫn
đề tài
- Tham gia khóa đào tạo “Hacking và bảo mật
Windows”
2 Tuần 2
- Làm quen với môi trường Linux (CentOS)
- Báo cáo sơ kết tuần 2
3 Tuần 3
- Triển khai web hosting server : cài đặt, cấu hình
FTP, SSH, DNS, Apache, MySQL, PHP,
phpMyAdmin,… trên CentOS 5.
- Cài đặt, cấu hình FTP, SSH, Apache, MySQL,
PHP, phpMyAdmin,… trên CentOS 6 (bản mới
nhất của CentOS).
- Tạo web dùng mã nguồn mở (Joomla,
Prestashop,…)
4 Tuần 4
- Triển khai mail server: cài đặt, cấu hình
Sendmail, Postfix, Dovecot, Squirrilmail,
RoundCube, Thunderbird, MS Outlook.
5 Tuần 5
- Cài đặt, cấu hình Webmin, Virtualmin nhằm
quản trị hosting server qua giao diện web.
6 Tuần 6
- Nghiên cứu Penetration Testing (kiểm tra thâm
nhập), sử dụng một số công cụ: Whois, Nmap,
Cain & Abel, Wireshark, Acunetix Web
Vulnerability Scanner, Nessus, DDoS Http
Flooder, Kali Linux,…
- Tìm hiểu các giải pháp bảo mật, khắc phục lổ
hổng : nghiên cứu Firewall, IDS/IPS, https,
chứng chỉ số, antivirus, antitrojan,…
7 Tuần 7
- Viết báo cáo thực tập
8 Tuần 8
- Báo cáo thực tập : thuyết trình, demo, nộp bản
báo cáo.

MỤC LỤC
CHƯƠNG 1. BÁO CÁO KẾT QUẢ TÌM HIỂU CÔNG TY .............................8
1. TỔNG QUÁT VỀ TRUNG TÂM ATHENA.................................................8
2. LĨNH VỰC HOẠT ĐỘNG CHÍNH...............................................................8
3. ĐỘI NGŨ GIẢNG VIÊN ...............................................................................8
4. CƠ SỞ VẬT CHẤT........................................................................................8
5. DỊCH VỤ HỖ TRỢ ........................................................................................9
6. ĐỊA CHỈ LIÊN LẠC ......................................................................................9
CHƯƠNG 2. NỘI DUNG CÔNG VIỆC.............................................................10
1. TÌM HIỂU ĐỀ TÀI.......................................................................................10
a) Giới thiệu về web hosting..........................................................................10
b) Sự khác nhau giữa hosting Linux và Windows.........................................10
c) Lựa chọn máy chủ web..............................................................................11
d) Ưu thế của máy chủ Linux ........................................................................11
e) Giới thiệu CentOS .....................................................................................12
f) Ước lượng chi phí......................................................................................12
2. PHÂN CHIA CÔNG VIỆC..........................................................................13
a) Giai đoạn 1: Làm quen và triển khai web hosting trên CentOS................13
b) Giai đoạn 2: Triển khai mail server...........................................................13
c) Giai đoạn 3: Cài đặt, cấu hình Webmin, Virtualmin nhằm quản trị hosting
server qua giao diện web..................................................................................13
d) Giai đoạn 4: An ninh mạng và kỹ thuật kiểm tra thâm nhập ....................13
CHƯƠNG 3. TRIỂN KHAI WEB HOSTING...................................................14
1. THỰC HIỆN CÀI ĐẶT APACHE SERVER ..............................................14
a) Apache server là gì? ..................................................................................14
b) Tiến hành cài đặt, cấu hình và kiểm tra.....................................................14
2. THỰC HIỆN CÀI ĐẶT MYSQL SERVER ................................................15
a) MySQL server là gì? .................................................................................15
3. THỰC HIỆN CÀI ĐẶT PHP .......................................................................16
a) PHP là gì?..................................................................................................16

4. THỰC HIỆN CÀI ĐẶT PHPMYADMIN ...................................................17
a) phpMyAdmin là gì?...................................................................................17
5. THỰC HIỆN CÀI ĐẶT FTP........................................................................19
a) Giao thức FTP là gì?..................................................................................19
6. CẤU HÌNH VIRTUAL HOST TRONG APACHE .....................................20
a) Virtual host trong apache: .........................................................................20
b) Tiến hành cấu hình virtual host và kiểm tra..............................................20
7. UP WEB JOOMLA ......................................................................................21
a) Tìm hiểu về Joomla ...................................................................................21
b) Tiến hành up web Joomla và kiểm tra.......................................................21
CHƯƠNG 4. TRIỂN KHAI MAIL SERVER....................................................27
1. SƠ LƯỢC CÁC THÀNH PHẦN TRONG MAIL SERVER.......................27
2. CÀI ĐẶT, CẤU HÌNH.................................................................................27
a) Cài đặt và cấu hình Postfix SMTP server..................................................27
b) Cài đặt và cấu hình Dovecot POP3/IMAP server .....................................28
c) Cài đặt và cấu hình SquirrelMail Webmail...............................................29
CHƯƠNG 5. TRIỂN KHAI WEBMIN ..............................................................31
1. SƠ LƯỢC VỀ WEBMIN .............................................................................31
2. TIẾN HÀNH CÀI ĐẶT................................................................................31
a) Bước 1: Kích hoạt webmin YUM Repository...........................................31
b) Bước 2: Cài đặt và khởi động Webmin.....................................................31
c) Bước 3: Truy cập vào Webmin .................................................................31
CHƯƠNG 6. TỔNG QUAN VỀ AN TOÀN - AN NINH MẠNG ....................34
1. AN TOÀN MẠNG LÀ GÌ?..........................................................................34
2. CÁC KIỂU TẤN CÔNG ..............................................................................34
a) Tấn công trực tiếp......................................................................................34
b) Nghe trộm..................................................................................................34
c) Giả mạo địa chỉ..........................................................................................34
d) Vô hiệu hóa các chức năng của hệ thống ..................................................34

e) Lỗi của người quản trị hệ thống ................................................................35
f) Tấn công vào yếu tố con người .................................................................35
3. CÁC BIỆN PHÁP PHÁT HIỆN HỆ THỐNG BỊ TẤN CÔNG...................35
4. CÁC GIẢI PHÁP AN NINH CHO HỆ THỐNG MẠNG............................36
a) Giải pháp firewall cho hệ thống mạng ......................................................36
b) Giải pháp IDS/IPS.....................................................................................36
c) Giải pháp IPSEC VPN VÀ SSL VPN.......................................................37
d) Giải pháp AntiVirus Client and Server .....................................................37
CHƯƠNG 7. KỸ THUẬT PENETRATION TESTING...................................39
1. TỔNG QUAN PENETRATION TESTING ................................................39
a) Penetration Testing là gì?..........................................................................39
b) Tại sao phải kiểm tra thâm nhập. ..............................................................39
c) Những gì nên được kiểm tra?....................................................................39
d) Điều gì làm nên một Penetration Test tốt?................................................39
e) Kiểm tra tự động........................................................................................40
f) Kiểm tra thủ công......................................................................................40
2. GIỚI THIỆU MỘT SỐ CÔNG CỤ..............................................................40
a) Công cụ đánh giá Bảo mật ứng dụng: .......................................................40
b) Công cụ đánh giá an ninh mạng :..............................................................41
c) Cộng cụ đánh giá truy cập không dây từ xa:.............................................42
d) Công cụ đánh giá an ninh hệ thống điện thoại:.........................................44
3. TÓM TẮT.....................................................................................................44
a) Tóm tắt quá trình. ......................................................................................44
b) Tóm tắt sáu bước trong kĩ thuật kiểm thử thâm nhập: ..............................44
CHƯƠNG 8. KẾT QUẢ ĐẠT ĐƯỢC ................................................................46
1. Nội dung kiến thức được bổ sung và củng cố ..............................................46
2. Kỹ năng thực hành........................................................................................46
3. Kinh nghiệm thực tiễn ..................................................................................46
LỜI KẾT................................................................................................................47
TÀI LIỆU THAM KHẢO....................................................................................48

8
CHƯƠNG 1. BÁO CÁO KẾT QUẢ TÌM HIỂU CÔNG TY
1. TỔNG QUÁT VỀ TRUNG TÂM ATHENA
Trung tâm đào tạo Quản trị mạng và An ninh mạng Quốc tế Athena được thành
lập từ năm 2004, là một tổ chức quy tụ nhiều tri thức trẻ Việt Nam đầy năng động,
nhiệt huyết và kinh nghiệm trong lĩnh vực CNTT, với tâm huyết góp phần vào công
cuộc thúc đẩy tiến trình đưa công nghệ thông tin là ngành kinh tế mũi nhọn, góp
phần phát triển nước nhà.
2. LĨNH VỰC HOẠT ĐỘNG CHÍNH
Trung tâm Athena đã và đang tập trung chủ yếu vào đào tạo chuyên sâu Quản
trị mạng, An ninh mạng, Thương mại điện tử theo các tiêu chuẩn quốc tế của các
hãng nỗi tiếng như Microsoft, Cisco, Oracle, Linux LPI, CEH… Song song đó, trung
tâm Athena còn có những chương trình đào tạo cao cấp dành riêng theo đơn đặt hàng
của các đơn vị như Bộ Quốc Phòng, Bộ Công An, ngân hàng, doanh nghiệp, các cơ
quan chính phủ, tổ chức tài chính…
Sau gần 10 năm hoạt động, nhiều học viên tốt nghiệp tại trung tâm Athena đã
làm chuyên gia đảm nhận công tác quản lý hệ thống mạng, an ninh mạng cho nhiểu
bộ ngành như Cục Công nghệ thông tin – Bộ Quốc Phòng, Bộ Công An, Sở Thông
Tin truyền thông các tỉnh, bưu điện các tính…
Ngoài chương trình đào tạo, trung tâm Athena còn có nhiều chương trình hợp
tác và trao đổi công nghệ với nhiều đại học lớn như đại học Bách Khoa TP. Hồ Chí
Minh, Học viên An ninh nhân dân (Thủ Đức), Học viện Bưu chính Viễn thông, Hiệp
hội an toàn thông tin (VNISA), Viện Kỹ thuật Quân sự…
3. ĐỘI NGŨ GIẢNG VIÊN
Tất cả các giảng viên trung tâm Athena đều tốt nghiệp từ các trường đại học
hàng đầu trong nước… Tất cả các giảng viên Athena đều phải có các chứng chỉ quốc
tế như MCSA, MCSE, CCNA, CCNP, Security+, CEH, có bằng sư phạm quốc tế
(Microsoft Certified Trainer). Đây là các chứng chỉ chuyên môn bắt buộc để có thể
tham gia giảng dạy tại trung tâm Athena.
Bên cạnh đó, các giảng viên Athena thường đi tu nghiệp hoặc cập nhật kiến thức
công nghệ mới từ các nước tiên tiến như Mỹ, Pháp, Hà Lan, Singapore… và truyền
đạt các công nghệ mới này trong chương trình đào tạo tại trung tâm Athena.
4. CƠ SỞ VẬT CHẤT
Thiết bị đầy đủ và hiện đại.
Chương trình cập nhật liên tục, bảo đảm học viên luôn được tiếp cận với những
công nghệ mới nhất.
Phòng máy rộng rãi, thoáng mát.

9
5. DỊCH VỤ HỖ TRỢ
Đảm bảo việc làm cho học viên tốt nghiệp khóa dài hạn.
Giới thiệu việc làm cho mọi học viên.
Thực tập có lương cho học viên khá giỏi.
Ngoài giờ học chính thức, học viên được thực hành thêm miễn phí, không giới
hạn thời gian.
Hỗ trợ kỹ thuật không thời hạn trong tất cả các lĩnh vực liên quan đến máy tính,
mạng máy tính, bảo mật mạng.
Hỗ trợ thi Chứng chỉ Quốc tế.
6. ĐỊA CHỈ LIÊN LẠC
Cơ sở 1: 92 Nguyễn Đình Chiểu, phường Đa Kao, Q.1. Điện thoại: (08)
38244041 – 090 78 79 477 – 094 323 00 99.
Cơ sở 2: 2Bis Đinh Tiên Hoàng, phường Đa Kao, Q.1. Điện thoại: (08)
22103801 – 094 320 00 88.
Website: http://athena.edu.vn – http://athena.com.vn.
Email: support@athena.edu.vn – tuvan@athena.edu.vn.

10
CHƯƠNG 2. NỘI DUNG CÔNG VIỆC
1. TÌM HIỂU ĐỀ TÀI
a) Giới thiệu về web hosting
Web hosting là một dịch vụ cho phép người sử dụng đưa các trang web lên
mạng Internet. Một máy chủ web, hay nhà cung cấp dịch vụ lưu trữ (HSP-
Hosting Service Provider), là một doanh nghiệp cung cấp các công nghệ và dịch
vụ hạ tầng cần thiết cho các trang web để có thể truy cập được đến Internet.
Hiện nay ở Việt Nam có tới 30,8 triệu người đang sử dụng Internet, chiếm
khoảng 34% tổng dân số nước ta. Tỉ lệ này còn cao hơn tỉ lệ dân số sử dụng
Internet của thế giới (33%). Riêng trong năm 2012 vừa qua, Việt Nam có tới
1,59 triệu người sử dụng Internet mới và con số này dự kiến còn tăng nhanh
chóng trong năm 2013. Đây thật sự là một trong những điều kiện thuận lợi cho
việc phát triển các mạng lưới website và các mạng xã hội tại Việt Nam trong
những năm tới.
Nếu bạn cũng là một công dân “mạng”, bạn hoàn toàn có thể nhận ra được sự
bùng nổ mạnh mẽ về số lượng các website trong những năm gần đây. Sự gia
tăng này có thể giải thích do nhu cầu kinh doanh, truyền thông, quảng cáo,
marketing online… của các tổ chức xã hội, các doanh nghiệp ngày càng lớn và
thói quen tham gia vào các hoạt động tương tác trực tuyến của người sử dụng
Internet đang trở nên thường xuyên hơn. Điều này dẫn tới nhu câu sử dụng Web
Hosting lớn hơn vài năm trước rất nhiều.
b) Sự khác nhau giữa hosting Linux và Windows.
Trước đây, giữa hosting (dịch vụ lưu trữ) Linux và Windows luôn có một sự
khác biệt rất lớn. Danh sách ứng dụng, ngôn ngữ lập trình, cơ sở dữ liệu... được
hỗ trợ trong mỗi nền tảng rất khác nhau. Tuy nhiên, ngày nay, trong xu thế
hosting hỗn hợp hiện nay, không có nhiều điểm thực sự phân cách Linux và
Windows.
Điểm khác biệt đầu tiên là cách thức bạn truy cập vào máy chủ. Nói chung, cả
hai đều hỗ trợ FTP, cách truy cập phổ biến nhất hiện nay. Tuy nhiên, chỉ có
Linux là hỗ trợ telnet hoặc ssh. Dù vậy, điểm này không quan trọng với đa số
người dùng. Rất ít người cần telnet hoặc ssh để thực hiện một số lệnh hay sửa
đổi trực tiếp trên máy chủ. Hơn nữa, đa số đều có thể thực hiện sự thay đổi ở
máy tính cá nhân, sau đó dùng ftp, telnet hoặc ssh để chuyển lên máy chủ.
Khác biệt thứ hai là Linux và Windows hỗ trợ các ngôn ngữ khác nhau.
Trong khi Linux thường có xu hướng hỗ trợ PHP, Perl và CGI thì Windows lại
đi kèm với ColdFusion, ASP và .NET. Dù vậy, bạn cũng không gặp mấy khó
khăn khi tìm hosting Linux hỗ trợ Mono (giúp chạy ứng dụng .NET trên Linux),
hay là tìm hosting Windows hỗ trợ PHP, Perl. Tương tự với hệ cơ sở dữ liệu, cả

11
hai đều hỗ trợ MySQL. Nhưng nếu dùng Access hay MS SQL, bạn sẽ phải cần
hosting Windows.
Ngay cả khi bạn dùng chung một ngôn ngữ lập trình, cú pháp cho Linux và
Windows cũng khác nhau. Thí dụ, trong Linux bạn dùng "/" để phân cách thư
mục, còn với Windows là dấu ngược lại: "". Hãy chú ý đến các chi tiết này khi
thiết kế ứng dụng. Tốt nhất, hãy luôn dùng dấu "/" vốn được cả Linux lẫn
Windows hỗ trợ trong đa số trường hợp.
Về mặt bảo mật, nhiều người có xu hướng chỉ trích Windows có quá nhiều lỗ
hổng. Thực tế thì số lỗi bảo mật của Linux và Windows cũng tương đương nhau,
nhưng Linux vá nhanh hơn nhờ tính miễn phí và nguồn mở của mình. Các
hosting Windows thì thường chỉ vá lỗi mỗi khi có bản Service Pack mới (thường
thì mỗi năm mới ra một bản). Ngoài ra, việc bảo mật còn phụ thuộc vào quản trị
mạng. Với một người quản trị tốt thì Website của bạn sẽ luôn an toàn cho dù bạn
dùng HĐH nào đi nữa.
c) Lựa chọn máy chủ web
Thông thường sự lựa chọn máy chủ cho trang web phụ thuộc vào ngôn ngữ
lập trình được sử dụng trên trang web. Trường hợp chúng ta sử dụng các ngôn
ngữ lập trình như PHP, MySQL, hay Perl thì máy chủ Linux là sự lựa chọn được
ưa chuộng hơn. Nhưng nếu như bạn lập trình trang web với ngôn ngữ ASP.NET
thì sự lựa chọn tốt nhất là máy chủ Windows.
Nếu chúng ta cần một số phương tiện tương tác như chay hay cơ sở dữ liệu
có thể tìm kiếm được, thì không nên sử dụng máy chủ Linux. Ngoài ra, dịch vụ
mạng nền Linux sẽ không hoàn toàn tương thích được với một số công nghệ trên
Windows. Nếu bạn đang sử dụng bất cứ công nghệ Window nào ví dụ như
Visual Basic thì máy chủ Windows là sự lựa chon bắt buộc.
Trong khi thị phần hệ điều hành nền tảng Linux tỏ ra khá ảm đạm ở phân
khúc máy tính để bàn thì ở phân khúc máy chủ, Linux có mức tăng trưởng 2,2%,
chiếm 18,4% thị phần toàn cầu (số liệu năm 2011). Có được sự tăng trưởng như
vậy là nhờ khả năng bảo mật cao và hoạt động ổn định của hệ điều hành, bên
cạnh sự tự do về phần mềm mã nguồn mở. Trong đó, Debian và CentOS tỏ ra ưu
thế hơn so với các bản phân phối Linux khác dành cho máy chủ.
d) Ưu thế của máy chủ Linux
Linux là một sản phẩm phần mềm nguồn mở và do đó không cần những chi
phí cao cho việc cấp giấy phép so với các hệ điều hành khác; bạn có thể tùy
thích tải xuống và sử dụng nó miến phí.
Một trang web trên Linux có thể dễ dàng chuyển đổi sang trang web trên
Windows một cách nhanh chóng. Đồng thời, trang web có thể dễ dàng thay đổi
khi yêu cầu của người dùng tăng lên.

12
Máy chủ web Linux rất kinh tế khi mà Linux là một hệ điều hành miễn phí.
Thông thường chỉ mất chi phí phân phối phát sinh bởi máy chủ hoặc chủ sở hữu.
Khi mà các ngôn ngữ lập trình như PHP, MySQL, Perl…được yêu cầu trên
trang web của bạn thì máy chủ Linux là giải pháp hiệu quả, đáng tin cậy và chi
phí thấp nhất. Trừ phi ngôn ngữ lập trình được nạp nhiều, điều này sẽ không thể
theo dõi được.
Có nhiều loại cơ sở dữ liệu chạy trên máy chủ Linux, nhưng phổ biến nhất và
được ưa chuộng nhất trong số các nhà cung cấp máy chủ web đó là mSQL,
MySQL và PostgreSQL. Những cơ sở dữ liệu này có quan hệ tự nhiên, và cho
phép tối ưu truyền thông trang web trên diện rộng đễ khai báo dữ liệu nhanh
chóng.
Bởi vì hầu hết các nhóm máy chủ Linux được hỗ trợ bảo mật cao hơn
Windows cho nên máy chủ Linux đã trở thành sự lựa chọn phố biến hơn đối với
các nhà thiết kế web và lập trình viên.
e) Giới thiệu CentOS
CentOS - Community ENTerprise Operating System - là một bản phân phối
hệ điều hành tự do dựa trên Linux kernel. Nó có nguồn gốc hoàn toàn từ bản
phân phối Red Hat Enterprise Linux (RHEL). CentOS tồn tại để cung cấp một
nền tảng điện toán doanh nghiệp tự do và phấn đấu để duy trì khả năng tương
thích nhị phân 100% với nguồn thượng nguồn của nó, Red Hat.
RHEL chỉ có sẵn thông qua một dịch vụ thuê bao trả tiền, cung cấp truy cập
để cập nhật phần mềm và mức độ hỗ trợ kỹ thuật khác nhau. Sản phẩm chủ yếu
bao gồm các gói phần mềm được phân phối theo nguồn mở hoặc một giấy phép
phần mềm tự do và mã nguồn những gói này được công bố bởi Red Hat.
Các nhà phát triển CentOS sử dụng mã nguồn của Red Hat để tạo ra một sản
phẩm cuối cùng rất tường tự như RHEL. Thương hiệu và logo của Red Hat đã bị
thay đổi bởi vì Red Hat không cho phép họ được phân phối lại.
CentOS là miễn phí. Hỗ trợ kỹ thuật chủ yếu được cung cấp bởi cộng đồng
thông qua mailing list chính thức, diễn đàn và các chat room. Dự án không liên
kết với Red Hat do đó không nhận được hỗ trợ tài chính hoặc hậu cần từ công ty;
thay vào đó, dự án CentOS dựa vào sự đóng góp từ người dùng và các nhà tài trợ
tổ chức.
f) Ước lượng chi phí.
Chi phí lắp đặt dự kiến: ( đã có sẵn mặt bằng đặt máy chủ)
Máy chủ và phụ kiện: 30.000.000 VNĐ
Lắp đặt đường truyền Interner MegaPro (VNPT): 900.000 VNĐ
Thuê kỹ sư cài đặt: 2.500.000 VNĐ
Tổng: 33.400.000 VNĐ

13
2. PHÂN CHIA CÔNG VIỆC
a) Giai đoạn 1: Làm quen và triển khai web hosting trên CentOS
Các công việc thực hiện gồm:
- Cài đặt CentOS
- Cấu hình DNS
- Cài đặt và cấu hình Apache
- Cài đặt và phân quyền truy cập database MySQL
- Cài đặt phpMyAdmin
- Cấu hình Virtual Host
- Up web Joomla và kiểm tra
b) Giai đoạn 2: Triển khai mail server
- Cấu hình Postfix
- Cài đặt và cấu hình Dovecot
- Đăng nhập vào mail server dùng Thunderbird
- Cài đặt web mail (Squirrelmail)
c) Giai đoạn 3: Cài đặt, cấu hình Webmin, Virtualmin nhằm quản trị
hosting server qua giao diện web
- Cài dặt Webmin
- Cấu hình server, quản trị user qua Webmin
d) Giai đoạn 4: An ninh mạng và kỹ thuật kiểm tra thâm nhập
- Tìm hiểu các thuật ngữ, định nghĩa trong an ninh mạng (virus, trojan,
firewall, IDS/IPS, honeypot, các chuẩn mã hóa,…)
- Nghiên cứu các công cụ Penetration Testing (kiểm tra thâm nhập):
Whois, Nmap, Cain & Abel, Wireshark, Acunetix Web Vulnerability
Scanner, Nessus, DDoS Http Flooder, Kali Linux,…
- Nghiên cứu các giải pháp tang cường an ninh, bảo mật : Firewall,
IDS/IPS, https (http qua TLS), chứng chỉ số, antivirus, antitrojan,…

14
CHƯƠNG 3. TRIỂN KHAI WEB HOSTING
Tài nguyên chuẩn bị sẵn:
- Máy chủ server CentOS đã cài sẵn DNS
- Source code website
- Bộ tool pen test (Acunetix, Cain & Abel, Wireshark, Kali Linux,…)
1. THỰC HIỆN CÀI ĐẶT APACHE SERVER
a) Apache server là gì?
Apache là một mã nguồn mở Web server và miễn phí hoàn toàn được hỗ trợ
bởi Apache SoftwareFoundation. Có thể download ở http://httpd.apache.org.
Mặc dù miễn phí và mã nguồn mở nhung sức mạnh và tính ổn định của
Apache được đánh giá ở mức độ thương mại. Đến nay vẫn là lựa chọn tốt nhất
cho vấn đề web server dành cho máy chủ web.
b) Tiến hành cài đặt, cấu hình và kiểm tra
Kiểm tra xem Apache đã được cài đặt hay chưa:
Tiến hành cài đặt apache (nếu chưa được cài đặt).
Sau khi quá trình cài đặt đã thành công, mở file cấu hình Apache để tiến
hành cấu hình:
Chỉnh nội dung KeepAlive thành On  cho phép nhiều người truy cập đến:
Sau đó lưu nội dung file cấu hình lại.
Tiếp theo ta tạo một trang html cơ bản để test apache đã được cài đặt đúng
hay chưa:
Tạo nội dung trang như sau:

15
Sau đó khởi động dịch vụ httpd:
Cài đặt để httpd khởi động cùng với hệ thống:
Kiểm tra ngoài web browser:
Như vậy là quá trình cài đặt Apache đã thành công!
2. THỰC HIỆN CÀI ĐẶT MYSQL SERVER
a) MySQL server là gì?
MySQL là phần mềm quản trị cơ sở dữ liệu mã nguồn mở, miễn phí, ổn
đinh và có tính an toàn cao, nằm trong nhóm LAMP (Linux-Apache-MySQL-
PHP).
MySQL là một phần mềm quản trị CSDL dạng server-based (gần tương
đương với SQL server của Microsoft). MySQL có cơ chế phần quyền người sử
dụng riêng, mỗi người dùng có thể được quản lý một hoặc nhiều CSDL khác
nhau.
Do là phần mềm miễn phí, có tính ổn định và an toàn cao nên hiện nay trong
số các website có lượng truy cập lớn nhất thế giới, rất nhiều website sử dụng
MySQL.
Kiểm tra xem MySQL đã được cài đặt hay chưa:
Tiến hành cài đặt MySQL (nếu chưa được cài đặt):
Thay đổi mật khẩu cho user root (nếu chưa đổi) bởi câu lệnh:
# /usr/bin/mysqladmin –u root password ‘abcdef’ (với ‘abcdef’ là mật
khẩu mới)
Khởi động mysqld:
Cài đặt để mysqld khởi động cùng với hệ thống:

16
Đăng nhập với user root:
Thử câu lệnh đơn giản show databases;
Thoát:
Như vậy là quá trình cài đặt MySQL-server đã thành công!
3. THỰC HIỆN CÀI ĐẶT PHP
a) PHP là gì?
PHP (viết tắt hồi quy "PHP: Hypertext Preprocessor") là một ngôn ngữ lập
trình kịch bản hay một loại mã lệnh chủ yếu được dùng để phát triển các ứng
dụng viết cho máy chủ, mã nguồn mở, dùng cho mục đích tổng quát. Nó rất
thích hợp với web và có thể dễ dàng nhúng vào trang HTML. Do được tối ưu
hóa cho các ứng dụng web, tốc độ nhanh, nhỏ gọn, cú pháp giống C và Java,
dễ học và thời gian xây dựng sản phẩm tương đối ngắn hơn so với các ngôn
ngữ khác nên PHP đã nhanh chóng trở thành một ngôn ngữ lập trình web phổ
biến nhất thế giới
Kiểm tra xem PHP đã được cài đặt hay chưa:
Tiến hành cài đặt PHP (nếu chưa được cài đặt):
Tạo 1 trang php để test xem PHP đã được cài đặt đúng hay chưa:
Nội dung trang index.php như sau:
Cấu hình httpd để đọc trang php này: mở file httpd.conf, ở mục
DirectoryIndex, thêm index.php

17
Khởi động lại httpd:
Như vậy quá trình cài đặt PHP đã thành công!
4. THỰC HIỆN CÀI ĐẶT PHPMYADMIN
a) phpMyAdmin là gì?
phpMyAdmin là một công cụ nguồn mở miễn phí được viết bằng PHP dự
định để xử lý quản trị của MySQL thông qua một trình duyệt web. Nó có thể
thực hiện nhiều tác vụ như tạo, sửa đổi hoặc xóa bỏ cơ sở dữ liệu, bảng,
các trường hoặc bản ghi; thực hiện báo cáoSQL; hoặc quản lý người dùng và
cấp phép.
Kiểm tra xem phpMyAdmin đã được cài đặt hay chưa:
Tiến hành cài đặt phpMyAdmin (nếu chưa được cài đặt):
Mở file phpmyadmin lên để cấu hình:
Thay đổi như sau:

18
Mở file config.inc.php:
Thêm vào giữa 2 dấu ‘ ‘ nội dung bất kỳ khác rỗng (123456):
Truy cập vào phpmyadmin theo đường dẫn http://14.0.21.107/phpmyadmin
Gõ user root và password:
Đăng nhập thành công sẽ như sau:

19
5. THỰC HIỆN CÀI ĐẶT FTP
a) Giao thức FTP là gì?
FTP là dịch vụ cung cấp cơ chế truyền tin dưới dạng file thông qua mạng
tcp. Có nhiều chương trình ftp server sử dụng trên Linux như: Vsftpd, Wu-
ftpd, PureFTPd, ProFTPD,… Trong đề tài này, ta lựa chọn Vsftpd.
Kiểm tra xem vsftpd đã được cài đặt hay chưa:
Tiến hành cài đặt vsftpd (nếu chưa được cài đặt):
Mở file vsftpd.conf lên để cấu hình:
Thay đổi: anonymous_enable=NO, sau đó lưu lại.
Tạo user mới và password cho user này:
Khởi động dịch vụ vsftpd:

20
Cài đặt để vsftpd khởi động cùng với hệ thống:
Kiểm tra ngoài window: đăng nhập ftp 14.0.21.107
Gõ user và password:
Như vậy là đã đăng nhập thành công!
6. CẤU HÌNH VIRTUAL HOST TRONG APACHE
a) Virtual host trong apache:
là tính năng cho phép tạo nhiều hơn 1 website trên server.
b) Tiến hành cấu hình virtual host và kiểm tra
Mở file cấu hình httpd để cấu hình virtual host:
Ở mục virtual host tiến hành cấu hình như sau:
Tạo thư mục thiencaothanh1 cho thiencaothanh1.tk:
Tạo trang index.html trong thiencaothanh1 như sau:
Tạo thư mục thiencaothanh2 cho thiencaothanh2.tk:

21
Tạo trang index.html trong thiencaothanh2 như sau:
Như vậy là quá trình cấu hình virtual host đã thành công!
7. UP WEB JOOMLA
a) Tìm hiểu về Joomla
Joomla! là một nền tảng mã nguồn mở được viết bằng ngôn ngữ PHP và sử
dụng cơ sở dữ liệu MySQL, cho phép người dùng có thể dễ dàng soạn thảo và
xuất bản các nội dung (bài viết, tài liệu...) của họ lên Internet hoặc Intranet.
Joomla! giúp xây dựng và triển khai các website blog, website tin tức,
website bán hàng, website thương mại điện tử... cho tới mạng cộng đồng,
mạng xã hội trong một thời gian ngắn và tiết kiệm nhiều công sức.
Joomla! được phát âm theo tiếng Swahili như là jumla nghĩa là "đồng tâm
hiệp lực". Khẩu ngữ này khẳng định sự đoàn kết và quyết tâm của cộng đồng
Joomla!
b) Tiến hành up web Joomla và kiểm tra
Tiến hành đăng nhập ftp để chuyển file:

22
Chuyển package cài đặt Joomla lên VPS:
Kiểm tra xem gói cài đặt Joomla đã được chuyển lên VPS hay chưa:
Tiến hành giải nén file cài đặt vào /var/ww/thiencaothanh1:
Đăng nhập phpmyadmin:
Tạo database joomla phục vụ cho web joomla:

23
Truy cập thiencaothanh1.tk, chọn ngôn ngữ:
Tiến hành cài đặt: đầu tiên ta thấy file configuration.php không được tìm
thấy:

24
Ta tạo file configuration.php rỗng theo yêu cầu:
Cấp quyền cho file configuration.php:
Sau đó Check again trên browser:
Chọn nextnext.
Điền host name localhost là host name của database Joomla, điển user
root, password cho user này và điền database name joomla:
Chọn nextnext.
Điền site name, password cho admin và chọn Install Sample Data (ghi dữ
liệu mặc định xuống database):

25
Xóa file cài đặt trong /var/www/thiencaothanh1:
Trong site thiencaothanh1.tk, chọn Admin, đăng nhập với user admin và
password đã tạo:
Đăng nhập thành công:

26
Web Joomla đã được cài đặt thành công!
Kiểm tra và thấy dữ liệu đã được ghi xuống database joomla:
Như vậy quá trình up web joomla đã thành công!

27
CHƯƠNG 4. TRIỂN KHAI MAIL SERVER
1. SƠ LƯỢC CÁC THÀNH PHẦN TRONG MAIL SERVER
Postfix sẽ cung cấp các dịch vụ SMTP, Dovecot sẽ cung cấp các dịch vụ POP3
và IMAP, trong khi Apache và SquirrelMail sẽ cung cấp các dịch vụ Webmail.
-OS: Centos 6
-SMTP: Postfix(http://www.postfix.org/)
-POP/IMAP: Dovecot(http://www.dovecot.org/)
-Webmail: Squirrelmail(http://squirrelmail.org/)
-Web server: Apache(http://httpd.apache.org) + PHP(http://php.net/)
2. CÀI ĐẶT, CẤU HÌNH
a) Cài đặt và cấu hình Postfix SMTP server
Mặc định postfix được cài đặt sẵn trong hệ thống Centos 6. Thực hiện lệnh sau để
kiểm tra xem postfix đã cài đặt chưa.
rpm -qa |grep postfix
Nếu không có kết quả nào hiện ra bạn thực hiện lệnh sau để tiến hành cài đặt
yum install postfix
Chỉnh sửa file cấu hình postfix /etc/postfix/main.cf và cập nhật những dòng dưới đây.
myhostname=mail.<ten mien>
mydomain=<ten mien>
inet_interfaces = all
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
home_mailbox = Maildir/
Sau khi cấu hình xong, bạn thực hiện lệnh sau để tiến hành khởi động lại dịch vụ:
/etc/init.d/postfix restart
Thêm người dùng để tiến hành thực hiện test hệ thống ở bước tiếp theo
useradd test1
passwd test1
useradd test2
passwd test2
Thực hiện test SMTP thông qua tiện ích telnet client trên hệ thống Linux.
[root@mail ~]# telnet localhost smtp
Trying 127.0.0.1...
Connected to localhost.localdomain (127.0.0.1).
Escape character is '^]'.
220 mail.acme.local ESMTP Postfix
ehlo localhost
250-mail.acme.local
250-PIPELINING
250-SIZE 10240000

28
250-VRFY
250-ETRN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
mail from:test1@<ten mien>
250 2.1.0 Ok
rcpt to:test2@<ten mien>
250 2.1.5 Ok
data
354 End data with
test
.
250 2.0.0 Ok: queued as 9729067C17
quit
221 2.0.0 Bye
Connection closed by foreign host.
[root@mail ~]#
Nếu bạn gặp bất kỳ vấn đề, kiểm tra các tập tin log tại /var/log/maillog
b) Cài đặt và cấu hình Dovecot POP3/IMAP server
Giống như postfix, dovecot cũng được cài đặt sẵn trên hệ thống Linux centos 6. Nếu
không có các bạn thực hiện kiểm tra giống như postfix và thực hiện câu lệnh sau:
yum install dovecot
Khác với dovecot trên các hệ thống centos 5 trở về trước, Centos 6 Các file cấu hình
cho Dovecot được trải ra trên một số tập tin. Chỉnh sửa các tập tin được liệt kê dưới
đây và cập nhật một số dòng của nó cho phù hợp.
/etc/dovecot/dovecot.conf
protocols = pop3 imap lmtp
/etc/dovecot/conf.d/10-mail.conf
mail_location = maildir:~/Maildir
Sau khi cấu hình xong, bạn thực hiện lệnh sau để khởi động lại dịch vụ dovecot.
/etc/init.d/dovecot restart
Sử dụng tiện ích telnet trên hệ thống Linux để tiến hành test
[root@mail ~]# telnet localhost pop3
+OK dovecot ready.
user test2
+OK
pass password
+OK
Logged in.

29
list
+OK 1 messages:
1 622
.
retr 1
+OK 622 octets
Return-Path:
X-Original-To: test2
Delivered-To: test2@<ten mien>
Received: from localhost.localdomain (localhost.localdomain [127.0.0.1])
by mail.acme.local (Postfix) with SMTP id 9729067C17 for
; Thu, 22 Feb 2007 09:06:37 -0500 (EST)
Message-Id: <20070222140640.9729067C17@mail.acme.local>
Date: Thu, 22 Feb 2007 09:06:37 -0500 (EST)
From: test1@<ten mien>
To: test2@thuonglt.com:;
X-IMAPbase: 1172153557 1
Status: O
X-UID: 1
Content-Length: 5
X-Keywords: test .
quit
+OK Logging out.
Connection closed by foreign host.
[root@mail ~]#
c) Cài đặt và cấu hình SquirrelMail Webmail
SquirrelMail là một mã nguồn mở dựa trên tiêu chuẩn gói webmail viết bằng PHP. Khi
cài đặt, tất cả những gì cần là một máy chủ cài đặt web như Apache, máy chủ SMTP
như Postfix, và máy chủ IMAP như Dovecot.
Để cài đặt SquirrelMail bạn thực hiện cài đặt thêm repo epel và thực hiện lệnh sau.
rpm -Uvh http://download.fedoraproject.org/pub/epel/6/i386/epel-release-6-
7.noarch.rpm
yum install squirrelmail
Sau khi cài đặt xong bạn thực hiện 1 số bước sau để cấu hình SquirrelMail .
Thực hiện script perl: /usr/share/squirrelmail/config/conf.pl
+ Nhấp D sau đó Enter to select the Set pre-defined settings for specific IMAP servers
menu. Sau đó nhấp dovecot and ấn Enter.
+ Chọn 2 và ấn menu Enter to select the Server Settings .
+ Chọn 1 và ấn Enter to select the Domain menu. Nhập domain của bạn và nhấn enter.
Lưu lại cấu hình và thoát.

30
Sau khi cấu hình hoàn tất, bạn tiến hành start web server apache.
/etc/init.d/httpd start
Sau đó gõ đường dẫn sau để tiến hành check cấu hình và hệ thống.
http://localhost/webmail/src/configtest.php
Sau khi kiểm tra và tất cả ok, bạn thực hiện đường dẫn sau để đăng nhập hệ thống
webmail.
http://localhost/webmail
Sau khi hiện giao điện như hình trên, bạn dùng user test2 hay test1 được tạo ở trên để
đăng nhập vào hệ thống.
Nếu trong quá trình thực hiện có vấn đề gì, bạn tiến hành khảo sát file log để tìm thêm
thông tin: /var/log/maillog.

31
CHƯƠNG 5. TRIỂN KHAI WEBMIN
1. SƠ LƯỢC VỀ WEBMIN
Webmin là một công cụ quản trị các hệ thống Linux với giao diện web, đây là
một ứng dụng nhẹ với nhiều tính năng cần thiết cho những nhà quản trị server. Với
một trình duyệt web bất kỳ chúng ta có thể cài đặt các User Accounts, DNS, Apache,
Mail ,chia sẻ File, ….
2. TIẾN HÀNH CÀI ĐẶT
a) Bước 1: Kích hoạt webmin YUM Repository
Để thực hiện, ta tạo ra một tập tin /etc/yum.repos.d/webmin.repo gõ lệnh sau:
# vi /etc/yum.repos.d/webmin.repo
Ta thêm vào các dòng sau:
[Webmin]
name=Webmin Distribution Neutral
#baseurl=http://download.webmin.com/download/yum
mirrorlist=http://download.webmin.com/download/yum/mirrorlist
enabled=1
Tiếp theo, ta import và cài đặt GPG Key để cài đặt các gói cho webmin. Chúng ta sử
dụng lệnh wget để lấy key và sau đó nhập nó bằng cách sử dụng lệnh import rpm.
# wget http://www.webmin.com/jcameron-key.asc
# rpm --import jcameron-key.asc
b) Bước 2: Cài đặt và khởi động Webmin
Ta gõ lệnh: # yum install webmin
Sau khi cài đặt xong, ta khởi động bằng lệnh:
# /etc/init.d/webmin start
Ta kiểm tra trạng thái hoạt động của Webmin bằng lệnh:
# /etc/init.d/webmin status
c) Bước 3: Truy cập vào Webmin
Mặc định, webmin chạy trên port 10000, vì vậy chúng ta cần phải mở port trên
firewall để truy cập. Cách dễ nhất để mở port trên firewall là sử dụng iptables. Chỉ cần
thêm quy tắc sau đây vào firewall:
# iptables -A INPUT -p tcp -m tcp --dport 10000 -j ACCEPT
Ta khởi động lại firewall để cập nhật cấu hình mới bằng lệnh:
# /etc/init.d/iptables restart
Bây giờ, ta có thể truy cập và login vào Webmin
Username: root
Password : (mật khẩu người dùng root)

32
Sau đây là giao diện đầu tiên, cho ta cái nhìn tổng quát về server của ta:
Đây là giao diện cấu hình:

34
CHƯƠNG 6. TỔNG QUAN VỀ AN TOÀN - AN NINH MẠNG
1. AN TOÀN MẠNG LÀ GÌ?
Mục tiêu của việc kết nối mạng là để nhiều người sử dụng, từ những vị trí địa lý
khác nhau có thể sử dụng chung tài nguyên, trao đổi thông tin với nhau. Do đặc điểm
nhiều người sử dụng lại phân tán về mặt vật lý nên việc bảo vệ các tài nguyên thông
tin trên mạng tránh sự mất mát, xâm phạm là cần thiết và cấp bách. An toàn mạng có
thể hiểu là cách bảo vệ, đảm bảo an toàn cho tất cả các thành phần mạng bao gồm : dữ
liệu, thiết bị, cơ sở hạ tầng mạng và đảm bảo mọi tài nguyên mạng được sử dụng
tương ứng với một chính sách hoạt động được ấn định và với chỉ những người có thẩm
quyền tương ứng.
2. CÁC KIỂU TẤN CÔNG
a) Tấn công trực tiếp
Những cuộc tấn công trực tiếp thường được sử dụng trong giai đoạn đầu để chiếm
được quyền truy nhập bên trong. Một phương pháp tấn công cổ điển là dò tìm tên
người sử dụng và mật khẩu. Đây là phương pháp đơn giản, dễ thực hiện và không đòi
hỏi một điều kiện đặc biệt nào để bắt đầu. Kẻ tấn công có thể dựa vào những thông tin
mà chúng biết như tên người dùng, ngày sinh, địa chỉ, số nhà v.v.. để đoán mật khẩu
dựa trên một chương trình tự động hoá về việc dò tìm mật khẩu. Trong một số trường
hợp, khả năng thành công của phương pháp này có thể lên tới 30%.
Phương pháp sử dụng các lỗi của chương trình ứng dụng và bản thân hệ điều hành đã
được sử dụng từ những vụ tấn công đầu tiên và vẫn được tiếp tục để chiếm quyền truy
nhập. Trong một số trường hợp phương pháp này cho phép kẻ tấn công có được quyền
của người quản trị hệ thống.
b) Nghe trộm
Việc nghe trộm thông tin trên mạng có thể đem lại những thông tin có ích như tên, mật
khẩu của người sử dụng, các thông tin mật chuyển qua mạng. Việc nghe trộm thường
được tiến hành ngay sau khi kẻ tấn công đã chiếm được quyền truy nhập hệ thống,
thông qua các chương trình cho phép. Những thông tin này cũng có thể dễ dàng lấy
được trên Internet.
c) Giả mạo địa chỉ
Việc giả mạo địa chỉ IP có thể được thực hiện thông qua việc sử dụng khả năng
dẫn đường trực tiếp. Với cách tấn công này, kẻ tấn công gửi các gói tin IP tới mạng
bên trong với một địa chỉ IP giả mạo (thông thường là địa chỉ của một mạng hoặc một
máy được coi là an toàn đối với mạng bên trong), đồng thời chỉ rõ đường dẫn mà các
gói tin IP phải gửi đi.
d) Vô hiệu hóa các chức năng của hệ thống
Đây là kểu tấn công nhằm tê liệt hệ thống, không cho nó thực hiện chức năng
mà nó thiết kế. Kiểu tấn công này không thể ngăn chặn được, do những phương tiện

35
được tổ chức tấn công cũng chính là các phương tiện để làm việc và truy nhập thông
tin trên mạng. Ví dụ sử dụng lệnh “ping” với tốc độ cao nhất có thể, buộc một hệ
thống tiêu hao toàn bộ tốc độ tính toán và khả năng của mạng để trả lời các lệnh này,
không còn các tài nguyên để thực hiện những công việc có ích khác.
e) Lỗi của người quản trị hệ thống
Đây không phải là một kiểu tấn công của những kẻ đột nhập, tuy nhiên lỗi của
người quản trị hệ thống thường tạo ra những lỗ hổng cho phép kẻ tấn công sử dụng để
truy nhập vào mạng nội bộ.
f) Tấn công vào yếu tố con người
Kẻ tấn công có thể liên lạc với một người quản trị hệ thống, giả làm một người
sử dụng để yêu cầu thay đổi mật khẩu, thay đổi quyền truy nhập của mình đối với hệ
thống, hoặc thậm chí thay đổi một số cấu hình của hệ thống để thực hiện các phương
pháp tấn công khác. Với kiểu tấn công này không một thiết bị nào có thể ngăn chặn
một cách hữu hiệu, và chỉ có một cách giáo dục người sử dụng mạng nội bộ về những
yêu cầu bảo mật để đề cao cảnh giác với những hiện tượng đáng nghi.
Nói chung yếu tố con người là một điểm yếu trong bất kỳ một hệ thống bảo vệ
nào và chỉ có sự giáo dục cộng với tinh thần hợp tác từ phía người sử dụng có thể nâng
cao được độ an toàn của hệ thống bảo vệ.
3. CÁC BIỆN PHÁP PHÁT HIỆN HỆ THỐNG BỊ TẤN CÔNG
Không có một hệ thống nào có thể đảm bảo an toàn tuyệt đối, mỗi một dịch vụ đều có
những lỗ hỏng bảo mật tiềm tàng. Người quản trị hệ thống không những nghiên cứu,
xác định các lỗ hỏng bảo mật mà còn phải thực hiện các biện pháp kiểm tra hệ thống
có dấu hiệu tấn công hay không. Một số biện pháp cụ thể :
1. Kiểm tra các dấu hiệu hệ thống bị tấn công : Hệ thống thường bị treo bằng
những thông báo lỗi không rõ ràng. Khó xác định nguyên nhân do thiếu thông tin liên
quan. Trước tiên, xác định các nguyên nhân có phải phần cứng hay không, nếu không
phải hãy nghĩ đến khả năng máy tính bị tấn công.
2. Kiểm tra các tài khoản người dùng mới lạ, nhất là với các tài khoản có ID
bằng không.
3. Kiểm tra sự xuất hiện của các tập tin lạ. Người quản trị hệ thống nên có thói
quen đặt tên tập theo mẫu nhất định để dễ dàng phát hiện tập tin lạ.
4. Kiểm tra thời gian thay đổi trên hệ thống.
5. Kiểm tra hiệu năng của hệ thống : Sử dụng các tiện ích theo dõi tài nguyên và
các tiến trình đang hoạt động trên hệ thống.
6. Kiểm tra hoạt động của các dịch vụ hệ thống cung cấp.
7. Kiểm tra truy nhập hệ thống bằng các tài khoản thông thường, đề phòng
trường hợp các tài khoản này bị truy nhập trái phép và thay đổi quyền hạn mà người sử
dụng hợp pháp không kiểm soát được.
8. Kiểm tra các file liên quan đến cấu hình mạng và dịch vụ, bỏ các dịch vụ
không cần thiết.

36
9. Kiểm tra các phiên bản của sendmaill, /bin/mail, ftp,.. tham gia các nhóm tin
về bảo mật để có thông tin về lỗ hỏng của dịch vụ sử dụng.
Các biện pháp này kết hợp với nhau tạo nên một chính sách về bảo mật đối với
hệ thống.
4. CÁC GIẢI PHÁP AN NINH CHO HỆ THỐNG MẠNG
a) Giải pháp firewall cho hệ thống mạng
Trong công nghệ thông tin, firewall là một kỹ thuật được tích hợp vào hệ thống
mạng để chống sự truy cập trái phép nhằm bảo vệ các nguồn thông tin nội bộ cũng như
hạn chế sự xâm nhập vào hệ thống nhằm mục đích phá hoại, gây tổn thất cho tổ chức,
doanh nghiệp. Cũng có thể hiểu firewall là một cơ chế để bảo vệ mạng tin tưởng
(trusted network) khỏi các mạng không tin tưởng (untrusted network).
b) Giải pháp IDS/IPS
Hệ thống phát hiện xâm nhập (IDS) là hệ thống có nhiệm vụ theo dõi,
phát hiện và (có thể) ngăn cản sự xâm nhập, cũng như các hành vi khai thác trái
phép tài nguyên của hệ thống được bảo vệ mà có thể dẫn đến việc làm tổn hại
đến tính bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống.
Khi một hệ thống IDS có khả năng ngăn chặn các nguy cơ xâm nhập mà
nó phát hiện được thì nó được gọi là một hệ thống phòng chống xâm nhập hay
IPS.

37
c) Giải pháp IPSEC VPN VÀ SSL VPN
IPSec VPN (Internet Protocol Security) là giao thức mạng về bảo mật (security)
và thường được liên kết với VPN (tất nhiên bạn hoàn toàn có thể dùng IPSec ở trong
mạng cục bộ LAN). IPSec VPN cho phép việc truyền tải dữ liệu được mã hóa an toàn
ở lớp mạng (Network Layer) theo mô hình OSI thông qua các router mạng công cộng
Internet được cung cấp phổ biến hiện nay như: ADSL router, FTTH router.v.v. VPN
(ở lớp mạng-Network) đề cập đến những thách thức trong việc sử dụng Internet như là
một môi trường truyền và đưa các dữ liệu đa giao thức và nhạy cảm.
Thuật ngữ SSL VPN được dùng để chỉ một dòng sản phẩm VPN mới và phát
triển nhanh chóng dựa trên giao thức SSL. Cũng cần nói rõ là bản thân giao thức SSL
không mới nhưng tích hợp giao thức SSL với công nghệ VPN lại là một mô hình mới.
Sử dụng SSL VPN để kết nối giữa người dùng từ xa vào tài nguyên mạng công ty
thông qua kết nối HTTPS ở lớp ứng dụng thay vì tạo “đường hầm” ở lớp mạng như
giải pháp IPSec đã nói ở trên. Vậy SSL VPN cũng là một giải pháp VPN dưới dạng là
một ứng dụng (application based VPN).
d) Giải pháp AntiVirus Client and Server

38
Một doanh nghiệp lớn nhiều máy tính kết nối tới Internet luôn cần một giải
pháp chống Virus hiệu quả nhất. Ta có thể sử dụng giải pháp Antivirus Client and
Server - của Norton phiên bản Antivirus Coporation. Tạo ra một hệ thống Antivirus
duy nhất cho cả hệ thống máy tính, giúp người quản lý đơn giản hơn trong việc quản
trị hệ thống, tiết kiệm băng thông, nâng cao bảo mật.
Ở đây là mô hình sử dụng phần mềm Antivirus Server, với giải pháp này hệ
thống chỉ cần một máy tính nối ra Internet và Update sau đó sẽ cung cấp bản update
này cho Client một cách tự động, giảm thời giản quản lý, đảm bảo tính bảo mật.
Toàn bộ thiết lập về Update, cài đặt… chúng ta thực hiện chủ yếu trên Server.
Client không thể Manual update được mà sẽ tự động update từ máy chủ. Khi cài đặt
mô hình Client Server này các máy Client cũng không có quyền tự động gỡ bỏ phần
mềm diệt Virus này.
Bất kỳ máy tính nào trong hệ thống nhiễm virus lập tức thông tin đó được gửi
về cho Server, nhà quản trị biết được thông tin đó sẽ có những hành động trực tiếp tới
máy tính nhiễm virus đó.

39
CHƯƠNG 7. KỸ THUẬT PENETRATION TESTING
1. TỔNG QUAN PENETRATION TESTING
a) Penetration Testing là gì?
Penetration Testing là phương thức nhằm đánh giá, ước chừng độ an toàn và tin
cậy của hệ thống máy tính hay môi trường mạng bằng cách giả lập (simulating) cuộc
tấn công từ hacker.
b) Tại sao phải kiểm tra thâm nhập.
 Đối với doanh nghiệp, tổ chức:
Xác định các mối đe dọa đối với tài sản thông tin của một tổ chức.
Giảm chi phí bảo mật của một tổ chức và đầu tư công nghệ bảo mật một cách
tốt hơn bằng cách xác định và giải quyết các lỗ hổng và điểm yếu
Cung câp một kế hoạch với sự đảm bảo, một đánh giá kỹ lưỡng và toàn diện
của một kế hoạch an ninh bao gồm chính sách, thủ tục, thiết kế và thực hiện.
Đạt được và duy trì chứng nhận quy định ngành ( BS7799, HIPAA etc.)
 Đối với chuyên môn:
Thử nghiệm và xác nhận hiệu quả của việc bảo vệ an ninh và kiểm soát.
Nó tập trung vào các lỗ hổng có mức độ cao và nhấn mạnh các vấn đề bảo mật
cấp độ ứng dụng cho các nhóm phát triển và quản lý.
Cung cấp phương pháp tiếp cận toàn diện của các bước chuẩn bị có thể
được thực hiện để ngăn chặn khai thác trái phép sắp tới.
Đánh giá hiệu quả của các thiết bị an ninh mạng như firewalls, routers, and web
servers.
Để thay đổi, nâng cấp cơ sở hạ tầng hiện có của phần mềm, phần cứng, hoặc
thiết kế hệ thống mạng.
c) Những gì nên được kiểm tra?
Tổ chức phải tiến hành một hoạt động đánh giá rủi ro trước khi thử nghiệm
thâm nhập sẽ giúp xác định các mối đe dọa chính, chẳng hạn như:
- Thất bại trong việc truyền dẫn, thất bại trong việc kinh doanh trên
mạng, và mất thông tin bí mật.
- Hệ thống phải đối mặt với cộng đồng như: các trang web, cổng email, và
các nền tảng truy cập từ xa.
- Mail, DNS, firewalls,passwords,FTP,IIS,and web servers.
d) Điều gì làm nên một Penetration Test tốt?
- Thiết lập các tham số cho các penetration test như mục tiêu, hạn chế, và sự
đúng đắn của quy trình.
- Thuê chuyên gia lành nghề và giàu kinh nghiệm để thực hiện các kiểm tra.
- Chọn một bộ các phần kiểm tra phù hợp để cân bằng chi phí và lợi ích.
- Một phương pháp tốt luôn đi với lập kế hoạch và tài liệu
- Ghi chép kết quả một cách cẩn thận và dễ hiểu cho khách hàng

40
- Nêu rõ rủi ro tiềm ẩn và việc tìm kiếm một cách rõ ràng trong báo
cáo cuối cùng
e) Kiểm tra tự động
Sử dụng các công cụ được lập trình sẵn kiểm tra hệ thống.
Tự động kiểm tra có thể tiết kiệm thời gian và tiết kiệm chi phí trong một thời
gian dài, tuy nhiên, nó không thể thay thế kinh nghiệm của sự bảo mật chuyên nghiệp.
Như với máy quét lỗ hổng , có thể là có thể đưa ra kết quả đúng hoặc sai.
Công cụ có thể học hỏi theo một biểu đồ , và cần phải cập nhập thường xuyên để
có hiểu quả.
Với kiểm tra tự động , ở đó không tồi tại phạm vị kiểm tra cho bất kì thành phần
kiến trúc.
f) Kiểm tra thủ công
Hướng dẫn kiểm tra là lựa chọn tốt nhất một tổ chức có thể chọn để hưởng lợi từ
kinh nghiệm của một chuyên gia an ninh.
Mục đích của các chuyên gia là đánh giá tình trạng bảo mật của tổ chức từ góc
độ của một kẻ tấn công.
Để tiếp cận hướng dẫn đòi hỏi có quy hoạch, kiểm tra thiết kế, lập kế hoạch,và
chăm tìm tài liệu hướng dẫn để nắm bắt kết quả của quá trình kiểm định.
2. GIỚI THIỆU MỘT SỐ CÔNG CỤ
a) Công cụ đánh giá Bảo mật ứng dụng:
 WebScarab
WebScarab là một công cụ kiểm tra bảo mật ứng dụng web. Nó hoạt động như
một proxy, cho phép các nhà quản trị xem xét và sửa đổi các yêu cầu được tạo ra bởi
các trình duyệt trước khi chúng được gửi đến máy chủ. WebScarab có khả năng đánh
chặn cả HTTP và HTTPS.
 Acunetix

41
Acunetix Web Vulnerability Scanner là một chương trình ứng dụng quét lỗ
hổng web. Acunetix kiểm tra các lỗ hổng khác nhau trong ứng dụng và tạo ra báo cáo
theo các kết quả.
Một số công công cụ đánh giá bảo mật khác: Wapiti, Netsparker, Watcher,NStalker,
Websecurify, Skipfish, x5s,…
b) Công cụ đánh giá an ninh mạng :
 Angry IP scanner
Phần mềm Angry IP Scanner cho phép quét địa chỉ IP cũng như cổng trong
phạm vi bất kỳ.
 Cain and Abel

42
Cain và Abel (thường viết tắt là Cain) là một công cụ khôi phục mật khẩu cho
Microsoft Windows. Nó có thể phục hồi nhiều loại mật khẩu bằng cách sử dụng các
phương pháp như đánh hơi gói dữ liệu mạng, bẻ các mật khẩu hash khác nhau bằng
cách sử dụng các phương pháp như tấn công từ điển, brute force và tấn công giải mã.
Các công cụ đánh giá an ninh mạng khác: Nessus, John the Ripper, Snort,
Kismet, Tcpdump, Ntop, Wireshark,…
c) Cộng cụ đánh giá truy cập không dây từ xa:
 Kismet
Đây là chuẩn 802,11 lớp 2 mạng không dây , sniffer, và hệ thống phát hiện xâm
nhập.
Xác định mạng lưới bằng cách thụ động thu thập các gói tin.
Phát hiện mạng lưới ẩn và sự hiện diện của mạng nonbeaconing thông qua dữ
liệu lưu lượng.

43
Một số công cụ đánh giá truy cập từ xa, không dây: Aircrack, Airsnort,
Stumbler,…

44
d) Công cụ đánh giá an ninh hệ thống điện thoại:
 Omnipeek
Omnipeek là một mạng lưới cung cấp phân tích thời gian thực VoIP theo dõi
và phân tích kết hợp với Ethernet, không dây , l0GbE , Gigabit , và WAN.
3. TÓM TẮT
a) Tóm tắt quá trình.
Việc quan trọng đầu tiên là Pen Test (Penetration Testing) là việc phải suy nghĩ
như Hacker làm việc như một nhà tư vấn độc lập, kiểm định độc lập.
Bước 1: Bước đầu tiên của Pen Test là việc 2 bên đồng ý làm việc này, không
kiện cáo gì và tránh những thiệt hại (cam kết đủ thứ) - đây là bước quan trọng nhất.
Bước 2: Hãy thực hiện như một Hacker thứ thiệt, tức là với những kiến thức của
mình, khai thác trên mạng và triển khai tấn công hệ thống. Xem xét các mức độ có thể
triển khai và làm cái báo cáo để gửi cho công ty đó nữa. Kèm theo các bản Demo nếu
có, các sự kiện ....
Bước 3: Đóng vai trò của một partner - tức là người lạ đi vào công ty và thử triển
khai các việc tấn công khi vào tận nơi công ty - tấn công Local - đây là bản report thứ
hai cần cho công ty.
Bước 3: hãy thử vai trò là một người trong công ty đã nghỉ việc và sử dụng
những hiểu biết về công ty để tấn công vào công ty cũ. Trường hợp này là mệt mỏi
nhất đó...
Các bản Report hoặc các kỹ thuật triển khai đòi hỏi những vấn đề về Hacking;
nhưng việc gì thì việc công tác Pen Test còn phải theo dõi những việc triển khai hệ
thống, những bản vá lỗi và những dự kiến về các lỗi mở rộng nữa....
b) Tóm tắt sáu bước trong kĩ thuật kiểm thử thâm nhập:

45
 Enumeration (điều tra)
Cố gắng thu thập càng nhiều sự kiện về hệ thống đích càng tốt. Một số phương
pháp phổ biến được áp dụng như: Web Searches bằng Google, truy vấn NICs,
Whois, truy vấn DNS, SMTP probing,…
Mục đích: Tìm hiểu về hệ thống đích.
 IP Scanning
Bước kế tiếp là thực hiện việc quét hệ thống đích. Các phương pháp bao gồm:
ICMP Sanning and Probing, TCP and UDP Port Scanning, Third Party TCP
Scanning.
Các Scan Tool phổ biến: NMAP, SING, hping2, lsrscan and fragroute.
Mục đích: Nhận diện các dịch vụ đang chạy trên hệ thống.
 Ước định các dịch vụ đã tìm được ( Assessing discovered services)
Đưa ra các version của Web, FTP, Database, Mail, VPN, Telnet, SSH, DNS,
SNMP, LDAP, X-Windows… Các dịch vụ đang chạy trên các nền tảng khác
nhau như Microsoft, Unix.
Mục đích: tìm ra các version của các dịch vụ nằm ở đâu
 Tìm hoặc ghi lại các lỗ hổng
Sau khi thu thập các thông tin cần thiết ở trên, vào các website sau để tra cứu
xem có hiện diện lỗ hổng nào trong các version vừa tìm ra không:
securityfocus.com, cve.mitre.org, xforce.iss.net, packetstormsecurity.org,
kb.cert.org/vuls,…
Mục đích: tìm ra “key” để đi vào hệ thống.
 Khai thác những lỗ hổng trên hệ thống đích
Lợi dụng những điểm yếu vừa tìm được, khai thác chúng nhằm lấy quyền truy
cập. Sau đó xóa dấu vết mà bạn đã để lại trên hệ thống đích.
Mục đích: Truy cập trái phép vào hệ thống đích.
 Cung cấp tư liệu về những lỗ hổng có thể bị tấn công và đưa ra giải pháp
bảo mật cho hệ thống đích.
Tham khảo các website của những dịch vụ mà bạn tìm ra lỗ hổng và cập nhật lên phiên bản
mới nhất.

46
CHƯƠNG 8. KẾT QUẢ ĐẠT ĐƯỢC
1. Nội dung kiến thức được bổ sung và củng cố
 Tìm hiểu thêm về hệ điều hành Linux, về bản phân phối CentOS.
 Nắm được kiến thức về web hosting, mail server trên Linux.
 Kiến thức về tạo trang web dùng mã nguồn mở (Joomla).
 Hiểu biết về Webmin, Virtualmin.
 Kiến thức về an toàn, an ninh mạng.
 Trau dồi thêm về kỹ thuật pen test (kiểm tra thâm nhập).
2. Kỹ năng thực hành
 Rèn luyện kỹ năng tự lập trong công việc, tìm hiểu các tài liệu liên quan đến
chuyên môn.
 Bổ sung kỹ năng làm việc và giao tiếp với các thành viên trong Trung tâm,
đồng thời giúp phát triển những kỹ năng mềm khác.
 Hoàn thiện hơn kỹ năng thực hành các yêu cầu của đề tài, lắng nghe và hiểu
các vấn đề mà cán bộ hướng dẫn đưa ra.
3. Kinh nghiệm thực tiễn
 Trải qua kỳ thực tập, trải nghiệm được nhiều vấn đề như cần bổ sung thêm
các kiến thức cơ bản, hay được tiếp xúc và làm việc với các thành viên
Trung tâm, cũng như là khả năng tiếp thu được cải thiện.
 Hiểu được tầm quan trọng của nội dung đề tài trong thời đại công nghệ hiện
nay.
 Định hướng phát triển nghề nghiệp trong tương lai.
 Chuẩn bị cho đợt thực tập tốt nghiệp.
4. Các file báo cáo, thuyết trình, các clip giới thiệu và thực hiện
 File báo cáo, thuyết trình (upload lên SlideShare):
http://www.slideshare.net/avp0248/linux-web-hosting-thuyet-trinh
 Clip giới thiệu bản thân và đề tài: http://youtu.be/gz2rtsGqv3I
 Clip báo cáo kết quả thực hiện đề tài: http://youtu.be/OFLq0jSIc88
 Các clip hướng dẫn thực hiện đề tài:
http://www.youtube.com/watch?v=Cwruef63bpE&list=PLwBhqicZ9Os22C
Wtd-YnZbFKv6Qj5vpkU
 Link website (blog) trình bày chi tiết đề tài:
http://merryheartss.blogspot.com/p/blog-page_25.html

47
LỜI KẾT
Với tình hình phát triển thông tin như vũ bão ngày nay. Thì bất cứ một doanh
nghiệp nào cũng cần một hệ thống thông tin chứ không chỉ đơn giản là dùng máy tính
nữa.
Web Hosting là dịch vụ lưu trữ website chuyên nghiệp. Giải pháp phù hợp cho
Cá nhân hoặc Doanh nghiệp muốn website hoạt động hiệu quả và tiết kiệm chi phí.
Từ khi máy tính và các hệ điều hành ra đời thì đã xuất hiện các lỗ hổng bảo mật
trên các hệ điều hành và chỉ cần 2 máy tính kết nối với nhau thì đã có thể xâm nhập để
lấy dữ liệu quan trọng của nhau. Không chỉ có thế khi Mạng được ra đời và phát triển
đến ngày nay thì nguy cơ về bảo mật cho các hệ thống máy tính, nguy cơ bị tấn công
từ các máy khác thông qua mạng internet không những giảm đi mà còn ngày càng
nguy hiểm, nghiêm trọng hơn từ mạng LAN cho đến ra ngoài internet.
Mỗi năm, các phiên bản Hệ Điều Hành ra đời liên tục, các phần mềm luôn luôn
có lỗi. Các lỗi bảo mật cũng theo đó mà tăng lên hằng ngày. Số lượng lập trình viên là
có hạn trong khi người sử dụng là vô cùng lớn. Vậy nên nhà sản xuất không thể phát
hiện và vá kịp thời tất cả lỗ hổng hệ thống được. Do đó, mỗi người trong chúng ta khi
sử dụng máy tính với các Hệ Điều Hành thì cần hiểu biết về các lỗi có thể hiện diện
trên hệ thống, nhờ đó có khả năng ngăn chặn được các nguy cơ tiềm tang của những
cuộc tấn công vào lỗ hổng bảo mật của các hacker.
Xin cảm ơn Trung tâm đào tạo và quản trị mạng ATHENA tạo điều kiện
cho em được tìm hiểu và thực hành các bài lab được trình bày trong quyển báo cáo.
Trên hết, em xin cảm ơn thầy Võ Đỗ Thắng đã nhiệt tình hướng dẫn em trong
suốt thời gian thực tập này!

48
TÀI LIỆU THAM KHẢO
[1] Nguyễn Trí Thức, “Athena Lab Linux LPI 1 + 2”.
[2] Lê Đình Nhân, “Athena Ethical Hacker Lab”.
[3] “Quản trị mạng Linux”, Trung tâm Tin học – ĐH KHTN TP.HCM.
[4] “CompTIA Security+”, Trung tâm Tin học – ĐH KHTN TP.HCM.
[5] Machtelt Garrels, “Introduction to Linux – A Hands on Guide”.
[6] Timothy Boronczyk, Christopher Negus, “CentOS Bible”.
[7] “Certified Ethical Hacker (CEH) v8”, EC-Council.
[8] Emmett Dulaney, “CompTIA Security+ Deluxe Study Guide”.
---- HẾT ----

Linux web hosting (Bao cao)

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (17)

Similar to Linux web hosting (Bao cao)

Similar to Linux web hosting (Bao cao) (20)

Linux web hosting (Bao cao)