Hành trình một lần mở trang: từ HTTP chữ rõ đến HTTPS

Bài 5 cho biết mỗi kết nối có IP và port ở hai đầu. Bài này đi tiếp với một tình huống cụ thể:

Để trả lời, bài đi theo thứ tự "nhìn vấn đề trước, tìm cách chặn sau":

Cần chuẩn bị

• Python 3.8 trở lên (chạy web server thử), trình duyệt, terminal.
• Wireshark đã cài và cấp quyền bắt gói. Nếu chưa có, vẫn làm được phần lớn bài tập bằng cách đọc dữ liệu mẫu.
• curl (có sẵn trên macOS, Linux; Windows dùng curl.exe).
• openssl (Lab 2, tạo chứng chỉ thử; có sẵn trên macOS, Linux; Windows dùng bản đi kèm Git for Windows).

Giao thức HTTP (Hypertext Transfer Protocol) là ngôn ngữ giữa trình duyệt và website. Trình duyệt gửi một Yêu cầu (Request), server trả một Phản hồi (Response). Khi Lan bấm "Đóng phí", trình duyệt gửi khoảng như sau (đã trình bày lại cho dễ đọc):

POST /dong-phi HTTP/1.1
Host: clb.example
Cookie: phien=a1b2c3d4
Content-Type: application/x-www-form-urlencoded
Content-Length: 29

ten=Lan&so_tien=200000&ghi=ok

• Dòng đầu: Phương thức HTTP (HTTP method) (POST = gửi dữ liệu lên; GET = lấy tài nguyên; còn PUT, DELETE), đường dẫn /dong-phi trên server, và phiên bản giao thức.
• Các dòng Tên: giá trị là Thông tin đầu thông điệp (HTTP header). Host là tên đích. Cookie mang mã phiên đăng nhập (bài 3). Content-Length là số byte của body.
• Dòng trống kết thúc header. Phần sau đó là body: dữ liệu Lan nhập.

Server trả lời bằng một response:

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 14

<h1>Hello</h1>

Dòng đầu có Mã trạng thái HTTP (HTTP status code). Bảng mã thường gặp:

Một response chứa số tài khoản sai vẫn là 200: HTTP chỉ nói giao thức chạy ổn, tính đúng của dữ liệu là chuyện toàn vẹn (bài 1).

Bài giảng đến đây đã nói HTTP là chữ rõ. Lab này để bạn tự chứng minh điều đó trên máy mình: tự tạo một trang web, tự chạy web server, tự gửi request, rồi tự bắt gói bằng Wireshark để đọc nguyên văn nội dung. Mọi thứ chạy trong máy bạn, không đụng đến mạng ngoài. Địa chỉ Kết nối về chính máy (Loopback) 127.0.0.1 luôn trỏ về chính máy, nên gói không rời khỏi máy; dùng Bắt lưu lượng (Packet capture) của Wireshark để xem các gói đó.

Bước 0. Kiểm tra máy đã có đủ công cụ chưa

Bạn cần ba thứ: terminal (cửa sổ gõ lệnh), Python 3 (để chạy web server) và curl (để gửi request từ dòng lệnh). Mở terminal như sau:

Gõ lệnh kiểm tra rồi nhấn Enter:

python3 --version
curl --version

py --version
curl.exe --version

python3 --version
curl --version

Python 3.9.6
curl 8.7.1 (x86_64-apple-darwin26.0) ...

Python từ 3.8 trở lên là đủ. Nếu báo "command not found" hoặc "not recognized": macOS chạy xcode-select --install hoặc tải Python tại python.org; Windows tải bộ cài tại python.org và tick ô Add python.exe to PATH trước khi cài; Linux chạy sudo apt install python3 curl. Cài xong, đóng và mở lại terminal rồi kiểm tra lại.

Wireshark tải tại wireshark.org. Lúc cài: macOS cài xong thường còn phải cài thêm ChmodBPF để được phép bắt gói (hướng dẫn ở bước 3, mục 3a); Windows giữ tùy chọn cài Npcap và tick hỗ trợ loopback; Linux cho phép người dùng thường bắt gói khi được hỏi, hoặc chạy Wireshark bằng sudo.

Bước 1. Tạo thư mục làm việc và file index.html

Web server phục vụ file ở thư mục mà bạn chạy lệnh, và cho phép đọc mọi file trong đó. Vì vậy hãy tạo một thư mục trống riêng, đừng chạy server ở thư mục Home hay Documents (nơi có dữ liệu cá nhân). Trong terminal:

mkdir ~/network-lab
cd ~/network-lab
pwd

mkdir $HOME\network-lab
cd $HOME\network-lab
pwd

mkdir ~/network-lab
cd ~/network-lab
pwd

Tiếp theo tạo file index.html, một trang web chỉ có một dòng tiêu đề (không dấu để tránh lỗi font khi xem gói):

echo '<h1>Cau lac bo - Lich sinh hoat</h1>' > index.html
ls -l
cat index.html

Set-Content -Path index.html -Value '<h1>Cau lac bo - Lich sinh hoat</h1>' -Encoding ascii
dir
type index.html

echo '<h1>Cau lac bo - Lich sinh hoat</h1>' > index.html
ls -l
cat index.html

<h1>Cau lac bo - Lich sinh hoat</h1>

Bước 2. Chạy web server và mở trang

Python có sẵn một web server nhỏ. Gõ lệnh sau trong thư mục network-lab (vẫn cửa sổ terminal vừa dùng; gọi nó là Terminal A):

python3 -m http.server 8000 --bind 127.0.0.1

py -m http.server 8000 --bind 127.0.0.1

python3 -m http.server 8000 --bind 127.0.0.1

Serving HTTP on 127.0.0.1 port 8000 (http://127.0.0.1:8000/) ...

Terminal A đứng yên, không trả về dấu nhắc lệnh. Đó là bình thường: server đang chạy và chờ kết nối. Đừng đóng cửa sổ này; muốn dừng thì nhấn Ctrl + C. Từ giờ, mọi lệnh khác gõ ở một cửa sổ mới (Terminal B): macOS nhấn ⌘ + T để mở tab mới, Windows mở thêm một PowerShell, Linux nhấn Ctrl + Shift + T. Nhớ cd vào network-lab (với macOS/Linux là cd ~/network-lab) ở cửa sổ mới.

Mở trình duyệt, vào http://127.0.0.1:8000/. Bạn thấy dòng tiêu đề "Cau lac bo - Lich sinh hoat". Quay lại Terminal A, server đã in nhật ký của lần truy cập:

127.0.0.1 - - [19/Oct/2026 20:05:38] "GET / HTTP/1.1" 200 -
127.0.0.1 - - [19/Oct/2026 20:05:38] code 404, message File not found
127.0.0.1 - - [19/Oct/2026 20:05:38] "GET /favicon.ico HTTP/1.1" 404 -

Bây giờ gửi cùng request đó bằng curl ở Terminal B, thêm -i để in cả phần header của response:

curl -i http://127.0.0.1:8000/

HTTP/1.0 200 OK
Server: SimpleHTTP/0.6 Python/3.9.6
Content-type: text/html
Content-Length: 37

<h1>Cau lac bo - Lich sinh hoat</h1>

Đây chính là response ở phần A1: dòng trạng thái, các header, dòng trống, rồi body. Server Python này trả HTTP/1.0 dù curl gửi HTTP/1.1; hai bên chỉ cần tương thích.

Gặp lỗi?

Bước 3. Làm quen với Wireshark (làm một lần, dùng cho cả hai lab)

Wireshark là chương trình nghe lén có phép trên máy của chính bạn: nó chép lại mọi gói tin đi qua một giao diện mạng và trình bày chúng thành bảng để đọc. Phần này chỉ để bạn biết bấm cái gì, gõ vào đâu, nút nào làm gì; các thao tác bắt gói thật nằm ở bước 4. Nội dung theo Wireshark 4.x trên macOS; Windows và Linux gần như giống (phím Ctrl thay cho ⌘).

3a. Cấp quyền bắt gói (lỗi "You don't have permission to capture")

Lần đầu mở Wireshark trên macOS, bạn có thể thấy khung vàng nâu ở màn hình chào: "You don't have permission to capture on local interfaces. You can fix this by installing ChmodBPF." Lý do: macOS chỉ cho người quản trị đọc thiết bị bắt gói (/dev/bpf*). ChmodBPF là một thành phần nhỏ đi kèm Wireshark, cho phép tài khoản của bạn đọc thiết bị đó mà không phải chạy Wireshark bằng quyền root (chạy cả chương trình bằng root là thói quen không an toàn). Cách làm:

1. Bấm vào liên kết installing ChmodBPF trong khung vàng. Nếu không thấy liên kết, mở Finder, vào /Applications/Wireshark.app/Contents/Resources/Extras/ (chuột phải Wireshark → Show Package Contents để đi vào) và nhấp đúp Install ChmodBPF.pkg.
2. Trong bộ cài bấm Continue → Install, nhập mật khẩu máy khi macOS hỏi, đợi báo "The installation was successful".
3. Thoát hẳn Wireshark (⌘ + Q, không chỉ đóng cửa sổ) rồi mở lại. Khung vàng biến mất, mỗi giao diện trong danh sách có thêm đường sóng nhỏ. Nếu vẫn báo lỗi: đăng xuất rồi đăng nhập lại, hoặc khởi động lại máy, vì quyền nhóm mới chỉ có hiệu lực cho phiên đăng nhập mới.

3b. Màn hình chào: chọn giao diện để bắt

Khi mở Wireshark bạn thấy ba thứ chính ở giữa màn hình:

Danh sách trên Mac có rất nhiều tên lạ vì macOS tạo sẵn nhiều giao diện cho tính năng hệ thống. Bảng dưới giải thích từng nhóm (tên và số có thể khác theo máy bạn). Với lab chỉ cần hai dòng in đậm; còn lại bạn có thể bỏ qua.

Các dòng có biểu tượng bánh răng ở cuối danh sách (Cisco remote capture: ciscodump, Random packet generator: randpkt, SSH remote capture: sshdump, và các dòng tương tự như UDP Listener, Wi-Fi remote capture) không phải card mạng. Đó là công cụ bổ trợ (extcap) của Wireshark: ciscodump và sshdump bắt gói từ một thiết bị khác (router Cisco, máy chủ SSH) qua mạng; randpkt sinh gói giả để thử nghiệm. Bấm đúp vào chúng sẽ mở hộp cấu hình kết nối tới máy khác, nằm ngoài phạm vi bài này. Chỉ cấu hình khi bạn được phép bắt gói trên thiết bị đó.

3c. Cửa sổ chính khi đang bắt gói: sáu vùng cần biết

3d. Các nút trên thanh công cụ (từ trái sang phải)

Rê chuột lên một nút để xem tên đầy đủ. Những nút cần dùng trong bài:

3e. Bộ lọc hiển thị: gõ gì vào ô ②

Các bộ lọc sau đủ cho cả hai lab. Gõ vào ô lọc rồi nhấn Enter; xóa trắng ô rồi Enter để hiện lại tất cả. Có thể ghép bằng && (và), || (hoặc), ! (phủ định).

Gõ dần dần, Wireshark gợi ý tên trường trong danh sách thả xuống. Nếu ô chuyển nền đỏ, hay gặp: sai dấu (= thay vì ==), thiếu dấu ngoặc kép quanh chuỗi, gõ sai tên trường.

3e-2. Đọc hiểu một bộ lọc: tên trường, toán tử, giá trị

Mọi bộ lọc hiển thị đều có cùng một hình dạng: tên_trường toán_tử giá_trị. Ví dụ tcp.port == 8000 đọc là "trường tcp.port bằng 8000". Tên trường chính là các mục bạn thấy trong khung ④ (Packet Details): tcp là giao thức, dấu chấm đi vào từng thuộc tính của giao thức đó. Bấm một dòng ở khung ④, thanh dưới cùng của cửa sổ hiện đúng tên trường để bạn chép vào ô lọc. Chỉ gõ tên giao thức (như http, tls, dns) nghĩa là "gói có giao thức này".

Các trường (thuộc tính) hay dùng

Toán tử (đặt giữa tên trường và giá trị) và cách ghép nhiều điều kiện:

Mổ xẻ một bộ lọc dài:

http.request.method == "POST" && tcp.dstport == 8000 && frame contains "demo123"

Kết quả: đúng gói request của Lan có cookie, bỏ qua mọi gói khác. Nếu bộ lọc này không trả về dòng nào khi bạn bắt HTTPS, đó chính là bằng chứng dữ liệu đã được mã hóa.

Cột Info: các cờ TCP bạn sẽ gặp

3f. Follow TCP Stream: đọc cả cuộc hội thoại như một đoạn chat

Đây là tính năng làm nên "khoảnh khắc ngộ ra" của lab. Một request và response thường rải qua nhiều gói; Follow TCP Stream ghép chúng lại. Chuột phải vào một dòng gói của luồng cần xem → Follow → TCP Stream (hoặc menu Analyze → Follow → TCP Stream, phím tắt ⌥⌘⇧T trên macOS, Ctrl + Alt + Shift + T trên Windows/Linux). Cửa sổ mới hiện ra:

Với luồng HTTP ở port 8000, bạn đọc được trọn vẹn request và response. Với luồng HTTPS ở port 8443, cửa sổ chỉ hiện ký tự lộn xộn: đó là bằng chứng bằng mắt rằng nội dung đã được mã hóa.

3g. Phím tắt đáng nhớ

3h. Lỗi thường gặp khi dùng Wireshark

Bước 4. Bắt gói và đọc chữ rõ bằng Wireshark

Server vẫn chạy ở Terminal A. Giờ ta quan sát những gì thực sự chạy trên dây (ở đây là giao diện loopback). Tên giao diện loopback tùy hệ điều hành:

1. Mở Wireshark. Ở màn hình đầu, nhấp đúp vào giao diện loopback ở bảng trên. Đường sóng bên cạnh tên sẽ nhảy lên và gói bắt đầu hiện. Nếu chưa có gói nào, đừng lo, chưa có ai gọi server. Kiểm tra thanh tiêu đề cửa sổ: phải ghi Capturing from Loopback: lo0. Nếu ghi Wi-Fi: en0 là bạn đang bắt sai giao diện: gói gửi tới 127.0.0.1 không bao giờ đi qua Wi-Fi nên bảng sẽ trống mãi. Khi đó bấm hình vuông đỏ, bấm nút X để về màn hình chào rồi chọn lại loopback. Nếu bạn chạy server ở port khác 8000 thì sửa luôn bộ lọc cho khớp port đó.
2. Ở Terminal B, gửi một request có kèm cookie giả (cookie là đoạn "bằng chứng đã đăng nhập" của bài 3, ở đây chỉ là dữ liệu giả):

curl -H "Cookie: phien=demo123" http://127.0.0.1:8000/

3. Quay lại Wireshark, bấm nút hình vuông đỏ (Stop) để dừng bắt gói.
4. Gõ vào ô lọc phía trên cùng (nền chuyển xanh lá là cú pháp đúng) rồi nhấn Enter:

tcp.port == 8000

Đây là Bộ lọc hiển thị (Display filter): chỉ ẩn bớt dòng, không xóa gói. Bạn sẽ thấy khoảng chục dòng: ba gói đầu là bắt tay TCP (SYN, SYN, ACK, ACK, phần B3), tiếp theo là dòng HTTP GET / HTTP/1.1, dòng HTTP/1.0 200 OK, rồi các gói đóng kết nối.

5. Nhấp vào dòng GET / HTTP/1.1. Ở khung giữa, mở mục Hypertext Transfer Protocol để thấy từng header.
6. Chuột phải vào dòng đó, chọn Follow → TCP Stream (hoặc menu Analyze → Follow → TCP Stream). Wireshark ghép các gói thành cuộc hội thoại: chữ đỏ là client gửi, chữ xanh là server trả.

GET / HTTP/1.1
Host: 127.0.0.1:8000
User-Agent: curl/8.7.1
Accept: */*
Cookie: phien=demo123

HTTP/1.0 200 OK
Server: SimpleHTTP/0.6 Python/3.9.6
Content-type: text/html
Content-Length: 37

<h1>Cau lac bo - Lich sinh hoat</h1>

Dòng Cookie: phien=demo123 nằm đó, đọc được nguyên văn. Với một cookie phiên thật, bất kỳ thiết bị nào nhìn thấy gói này cũng có thể dùng lại nó. Nếu không thấy gói: kiểm tra đã chọn đúng giao diện loopback, Terminal A còn chạy, và capture đã bắt đầu trước khi gõ lệnh curl (gói đã đi qua trước đó thì không bắt lại được). Bảng dưới là dữ liệu minh họa đã giản lược (không phải capture từ máy bạn); bấm một dòng để xem giải thích.

Bước 5. Mô phỏng Lan bấm "Đóng phí" (gửi dữ liệu bằng POST)

Ở bước 4 bạn mới bắt request GET. Tình huống của bài là Lan gửi tên và số tiền, tức POST có body. Server Python mặc định không nhận POST, nên ta viết một server nhỏ hơn, dài chừng 40 dòng, dùng chung cho cả hai lab.

Trước hết dừng server cũ: ở Terminal A nhấn Ctrl + C (port 8000 phải được giải phóng). Rồi tạo file server.py trong thư mục network-lab. Cách nhanh nhất là dán lệnh sau vào terminal (nhấn nút Sao chép):

cat > server.py <<'EOF'
# server.py - web server thu nghiem cho bai 6. Chi nghe tren may cua ban.
# Chay HTTP:   python3 server.py        (port 8000)
# Chay HTTPS:  python3 server.py --tls  (port 8443, can cert.pem va key.pem)
import ssl
import sys
from http.server import BaseHTTPRequestHandler, HTTPServer
from urllib.parse import parse_qs

USE_TLS = "--tls" in sys.argv
PORT = 8443 if USE_TLS else 8000


class Handler(BaseHTTPRequestHandler):
    def reply(self, status, body):
        self.send_response(status)
        self.send_header("Content-Type", "text/html; charset=utf-8")
        self.send_header("Content-Length", str(len(body)))
        self.end_headers()
        self.wfile.write(body)

    def do_GET(self):
        try:
            with open("index.html", "rb") as f:
                self.reply(200, f.read())
        except FileNotFoundError:
            self.reply(404, b"Khong tim thay index.html. Hay chay server trong thu muc network-lab.")

    def do_POST(self):
        size = int(self.headers.get("Content-Length", 0))
        fields = parse_qs(self.rfile.read(size).decode("utf-8"))
        print("  Cookie server nhan duoc :", self.headers.get("Cookie"))
        print("  Du lieu server nhan duoc:", fields)
        self.reply(200, b"<h1>Da nhan phi cua Lan</h1>")


server = HTTPServer(("127.0.0.1", PORT), Handler)
if USE_TLS:
    context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
    context.load_cert_chain("cert.pem", "key.pem")
    server.socket = context.wrap_socket(server.socket, server_side=True)
scheme = "https" if USE_TLS else "http"
print(f"Dang chay tai {scheme}://127.0.0.1:{PORT}/  (Ctrl+C de dung)")
server.serve_forever()
EOF

@'
# server.py - web server thu nghiem cho bai 6. Chi nghe tren may cua ban.
# Chay HTTP:   python3 server.py        (port 8000)
# Chay HTTPS:  python3 server.py --tls  (port 8443, can cert.pem va key.pem)
import ssl
import sys
from http.server import BaseHTTPRequestHandler, HTTPServer
from urllib.parse import parse_qs

USE_TLS = "--tls" in sys.argv
PORT = 8443 if USE_TLS else 8000


class Handler(BaseHTTPRequestHandler):
    def reply(self, status, body):
        self.send_response(status)
        self.send_header("Content-Type", "text/html; charset=utf-8")
        self.send_header("Content-Length", str(len(body)))
        self.end_headers()
        self.wfile.write(body)

    def do_GET(self):
        try:
            with open("index.html", "rb") as f:
                self.reply(200, f.read())
        except FileNotFoundError:
            self.reply(404, b"Khong tim thay index.html. Hay chay server trong thu muc network-lab.")

    def do_POST(self):
        size = int(self.headers.get("Content-Length", 0))
        fields = parse_qs(self.rfile.read(size).decode("utf-8"))
        print("  Cookie server nhan duoc :", self.headers.get("Cookie"))
        print("  Du lieu server nhan duoc:", fields)
        self.reply(200, b"<h1>Da nhan phi cua Lan</h1>")


server = HTTPServer(("127.0.0.1", PORT), Handler)
if USE_TLS:
    context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
    context.load_cert_chain("cert.pem", "key.pem")
    server.socket = context.wrap_socket(server.socket, server_side=True)
scheme = "https" if USE_TLS else "http"
print(f"Dang chay tai {scheme}://127.0.0.1:{PORT}/  (Ctrl+C de dung)")
server.serve_forever()
'@ | Set-Content -Path server.py -Encoding ascii

cat > server.py <<'EOF'
# server.py - web server thu nghiem cho bai 6. Chi nghe tren may cua ban.
# Chay HTTP:   python3 server.py        (port 8000)
# Chay HTTPS:  python3 server.py --tls  (port 8443, can cert.pem va key.pem)
import ssl
import sys
from http.server import BaseHTTPRequestHandler, HTTPServer
from urllib.parse import parse_qs

USE_TLS = "--tls" in sys.argv
PORT = 8443 if USE_TLS else 8000


class Handler(BaseHTTPRequestHandler):
    def reply(self, status, body):
        self.send_response(status)
        self.send_header("Content-Type", "text/html; charset=utf-8")
        self.send_header("Content-Length", str(len(body)))
        self.end_headers()
        self.wfile.write(body)

    def do_GET(self):
        try:
            with open("index.html", "rb") as f:
                self.reply(200, f.read())
        except FileNotFoundError:
            self.reply(404, b"Khong tim thay index.html. Hay chay server trong thu muc network-lab.")

    def do_POST(self):
        size = int(self.headers.get("Content-Length", 0))
        fields = parse_qs(self.rfile.read(size).decode("utf-8"))
        print("  Cookie server nhan duoc :", self.headers.get("Cookie"))
        print("  Du lieu server nhan duoc:", fields)
        self.reply(200, b"<h1>Da nhan phi cua Lan</h1>")


server = HTTPServer(("127.0.0.1", PORT), Handler)
if USE_TLS:
    context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
    context.load_cert_chain("cert.pem", "key.pem")
    server.socket = context.wrap_socket(server.socket, server_side=True)
scheme = "https" if USE_TLS else "http"
print(f"Dang chay tai {scheme}://127.0.0.1:{PORT}/  (Ctrl+C de dung)")
server.serve_forever()
EOF

Kiểm tra bằng ls (macOS/Linux) hoặc dir (Windows): thư mục phải có index.html và server.py. Cũng có thể tạo bằng trình soạn thảo: dán nguyên đoạn Python vào, lưu với tên server.py (cùng lưu ý về Notepad và TextEdit ở bước 1). Ý nghĩa các phần chính của file:

Chạy server mới ở Terminal A, rồi gửi POST từ Terminal B khi Wireshark đang bắt gói (bấm Start lại trên loopback; nếu Wireshark hỏi lưu bản capture cũ thì chọn Continue without Saving):

python3 server.py

py server.py

python3 server.py

curl -i -X POST -H "Cookie: phien=demo123" -d "ten=Lan&so_tien=200000&ghi=ok" http://127.0.0.1:8000/dong-phi

Dang chay tai http://127.0.0.1:8000/  (Ctrl+C de dung)
  Cookie server nhan duoc : phien=demo123
  Du lieu server nhan duoc: {'ten': ['Lan'], 'so_tien': ['200000'], 'ghi': ['ok']}
127.0.0.1 - - [19/Oct/2026 20:05:47] "POST /dong-phi HTTP/1.1" 200 -

HTTP/1.0 200 OK
Server: BaseHTTP/0.6 Python/3.9.6
Content-Type: text/html; charset=utf-8
Content-Length: 28

<h1>Da nhan phi cua Lan</h1>

Dừng capture, lọc tcp.port == 8000, chuột phải vào dòng POST /dong-phi → Follow → TCP Stream. Bạn đọc được cả Cookie: phien=demo123 lẫn body ten=Lan&so_tien=200000&ghi=ok. Server nhận được dữ liệu vì nó là một đầu của kết nối; nhưng bất cứ ai nằm giữa đường cũng đọc được y hệt, và với HTTP thì còn sửa được trước khi tới server. Phần C sẽ chặn việc này.

Phần A dùng địa chỉ số trực tiếp. Trên Internet, Lan gõ tên, nên trước tiên máy phải đổi tên thành IP. Việc này do Hệ thống tên miền (DNS) làm: Bộ phân giải DNS (DNS resolver) nhận câu hỏi, dùng kết quả đã lưu (Bộ nhớ đệm (Cache)) hoặc hỏi tiếp các máy chủ DNS.

Rủi ro bảo mật của DNS

• DNS thông thường không mã hóa và không tự xác thực: ai ở giữa đường nhìn thấy tên website bạn truy cập, và nếu giả được câu trả lời (DNS spoofing) thì đưa được người dùng tới máy chủ giả.
• Kẻ chiếm được tài khoản nhà đăng ký tên miền (bài 2) sửa được bản ghi A và chuyển cả website sang máy chủ của họ. Cần MFA và quyền tối thiểu cho tài khoản này.
• Tra được IP chưa chứng minh trang tải được, hay đúng là trang mong muốn.

nslookup example.com
dig example.com

Biết IP máy chủ rồi, gói tin rời mạng nhà qua Bộ định tuyến (Router). Router có hai việc đáng chú ý về bảo mật.

Việc 1: dịch địa chỉ (NAT)

IP riêng như 192.168.1.10 không dùng trực tiếp trên Internet. Khi gói đi ra, router thực hiện Dịch địa chỉ mạng (NAT): thay địa chỉ nguồn bằng IP công cộng của router. Nhiều thiết bị chung một IP công cộng nên router còn đổi cả port (Dịch địa chỉ kèm cổng (PAT)) và ghi vào bảng ánh xạ:

Hai máy cùng dùng port 51514 vẫn được tách nhờ hai port ngoài khác nhau. Khi server trả lời về 62001 hoặc 62002, router tra bảng và chuyển về đúng máy.

Việc 2: là điểm mọi gói đều đi qua

Router (và mọi thiết bị trên đường: Wi-Fi công cộng, nhà mạng, thiết bị trung gian) thấy được IP, port và với HTTP cả nội dung. Router bị chiếm thì kẻ tấn công đọc và sửa được lưu lượng chưa mã hóa (tấn công kẻ đứng giữa, Tấn công kẻ đứng giữa (MitM)). Vì vậy: đổi mật khẩu quản trị mặc định của router, cập nhật firmware, và đừng tin Wi-Fi lạ cho dữ liệu nhạy cảm.

Tường lửa

Tường lửa (Firewall) cho phép hoặc chặn lưu lượng theo quy tắc (IP, port, giao thức, trạng thái kết nối). Nguyên tắc: chặn mặc định, chỉ mở thứ cần thiết (default deny). Mỗi port mở ra ngoài là một điểm có thể bị tấn công. Ví dụ quy tắc cho máy chủ của câu lạc bộ:

Kết nối chỉ thành công khi nhiều lớp cùng đúng: có đường đi, firewall không chặn, có chương trình đang lắng nghe đúng IP và port, hai bên nói giao thức tương thích, và ứng dụng cho phép yêu cầu. Vì vậy "mở port", "chạy server" và "cấp quyền sửa dữ liệu" là ba việc khác nhau. Mở port 8000 không tạo ra web server; server chỉ lắng nghe 127.0.0.1 thì máy khác không vào được dù firewall đã mở.

TCP: bắt tay ba bước

Giao thức TCP (Transmission Control Protocol) cho luồng byte đúng thứ tự, truyền lại phần bị mất. Trước khi gửi dữ liệu, hai bên làm Bắt tay thiết lập kết nối (Handshake): SYN (client xin kết nối) → SYN/ACK (server đồng ý) → ACK (client xác nhận). Chỉ sau đó HTTP mới bắt đầu chạy bên trên.

• Bắt tay TCP không mã hóa. Kết nối HTTP vẫn dùng TCP, nội dung vẫn là chữ rõ.
• Server phải giữ trạng thái cho mỗi kết nối đang bắt tay dở. Kẻ tấn công gửi rất nhiều SYN mà không hoàn tất (SYN flood) làm cạn tài nguyên: một dạng Tấn công từ chối dịch vụ (DoS). Phòng bằng giới hạn tốc độ và cơ chế chống SYN flood của hệ điều hành hoặc nhà cung cấp.
• TCP có thể chuyển đúng request mà ứng dụng vẫn trả 403 hay 404. TCP không biết gì về nghiệp vụ.

Ghi chú: Giao thức UDP (User Datagram Protocol) gửi từng gói rời, không bảo đảm đủ và đúng thứ tự. Giao thức QUIC (QUIC) chạy trên UDP nhưng có độ tin cậy và TLS tích hợp, là nền của HTTP/3, nên thấy UDP cổng 443 không tự là dấu hiệu tấn công.

1  192.0.2.10:40001 -> server:443  SYN
2  server:443 -> 192.0.2.10:40001  SYN/ACK
3  192.0.2.10:40001 -> server:443  ACK
4  192.0.2.21:50110 -> server:443  SYN
5  192.0.2.22:50111 -> server:443  SYN
6  192.0.2.23:50112 -> server:443  SYN
7  192.0.2.24:50113 -> server:443  SYN
(... hàng nghìn dòng SYN từ nhiều IP, không có ACK ...)

Lab này dùng chính mạng nhà bạn để trả lời ba câu hỏi: trong nhà đang có thiết bị nào, mỗi thiết bị có IP và port gì; IP công cộng của nhà là gì; và có thiết bị nào "chìa ra" Internet mà không cần thiết không. Nhớ lại bài 5 và phần B2: các thiết bị trong nhà dùng IP nội bộ (thường 192.168.x.x, 10.x.x.x), còn router dùng một IP công cộng duy nhất để nói với Internet.

Mỗi bước có tab cho macOS, Windows và Linux. Chọn tab đúng với máy bạn. Dưới mỗi khối lệnh có bảng giải thích từng phần của lệnh, để bạn đổi được tham số khi cần.

Bước 0. Cài công cụ nmap

nmap là công cụ quét mạng miễn phí, dùng xuyên suốt lab. Cài một lần:

brew install nmap

Tải bộ cài tại https://nmap.org/download.html, chạy file .exe và giữ tùy chọn cài Npcap

sudo apt install nmap
# Fedora: sudo dnf install nmap

Bước 1. Tìm IP của máy mình và của router

Router là Cổng ra mạng khác (Default gateway) của mạng nhà: mọi gói ra ngoài đi qua nó. Chạy lệnh theo hệ điều hành của bạn:

ipconfig getifaddr en0
route -n get default | grep gateway

ipconfig
# Xem dòng "IPv4 Address" (IP máy) và "Default Gateway" (router)

ip -4 addr show
ip route | grep default

Ghi lại hai số: IP máy (ví dụ 192.168.1.23) và gateway (ví dụ 192.168.1.1).

Bước 2. Liệt kê thiết bị đang "quen mặt" với máy bạn

Lệnh arp -a chạy được trên cả ba hệ điều hành. Nó in bảng ARP: cặp IP và MAC của các thiết bị mà máy bạn vừa trao đổi gói tin với nó. Đây không phải danh sách đầy đủ, vì máy chỉ biết những thiết bị đã nói chuyện với nó.

arp -a

arp -a

arp -a
# Hoặc (không cần net-tools): ip neigh

Để thấy đầy đủ hơn, dùng nmap quét ping toàn mạng. Thay dải mạng bằng dải của nhà bạn:

nmap -sn 192.168.1.0/24

Kết quả mẫu (đã rút gọn, địa chỉ minh họa):

Nmap scan report for 192.168.1.1   (router)
Host is up.
Nmap scan report for 192.168.1.23  (máy của bạn)
Host is up.
Nmap scan report for 192.168.1.40  (điện thoại?)
Host is up.
Nmap done: 256 IP addresses (3 hosts up)

Bước 3. Xem từng thiết bị đang mở port nào

Với một IP trong nhà mà bạn sở hữu (ví dụ máy của chính bạn), quét các port phổ biến và đoán dịch vụ. Lệnh giống nhau trên ba hệ điều hành:

nmap -sV --top-ports 100 192.168.1.23

Đọc kết quả từng dòng: 22/tcp open ssh nghĩa là port 22 đang có dịch vụ SSH chờ kết nối. Máy đang nghe ở port nào thì đó là điểm có thể bị gõ cửa, dù cùng mạng nhà. Nhớ rằng Cổng dịch vụ (Port) là số, còn dịch vụ là chương trình đứng sau số đó.

Bước 4. Tìm IP công cộng của nhà

Có hai cách và nên làm cả hai để đối chiếu:

• Từ trang quản trị router: mục trạng thái Internet hoặc WAN ghi địa chỉ IP của router ra Internet. Đây là IP công cộng nếu nó không nằm trong dải nội bộ.
• Từ một dịch vụ hiển thị IP: dùng lệnh dưới đây. Dịch vụ thấy IP bạn đang đi ra, nên trả về IP công cộng của mạng nhà.

curl ifconfig.me

curl.exe ifconfig.me

curl ifconfig.me

Nếu địa chỉ trên router là 100.64.x.x đến 100.127.x.x, hoặc khác với IP dịch vụ trả về, nhà có thể đang dùng NAT ở nhà mạng: nhà mạng cho nhiều khách hàng dùng chung một IP. Khi đó bạn không thể mở port từ ngoài vào nhà bằng cách cấu hình router, vì IP công cộng không thuộc riêng nhà bạn.

Bước 5. Thử nhìn nhà mình từ ngoài

Muốn biết thiết bị nào đang chìa ra Internet, phải nhìn từ bên ngoài mạng nhà. Cách an toàn nhất: tắt Wi-Fi nhà, bật 4G hoặc phát hotspot từ điện thoại, rồi dùng laptop (đang ở mạng ngoài) quét IP công cộng của chính nhà bạn với một danh sách port ngắn. Lệnh giống nhau trên ba hệ điều hành:

nmap -Pn -p 21,22,23,80,443,3389,8080 203.0.113.77

Ý nghĩa các trạng thái port:

Kết luận phần B4

Mạng nhà có ba lớp cần nhìn: trong nhà (những IP nội bộ và port đang nghe), ranh giới (router và NAT, có phải CGNAT không), và ngoài Internet (port nào thấy được từ bên ngoài). Mục tiêu không phải không có port nào mở, mà là mọi port mở đều có lý do và có người chịu trách nhiệm.

PORT     STATE     SERVICE
22/tcp   open      ssh
80/tcp   filtered  http
443/tcp  closed    https
8080/tcp open      http-proxy

Phần A cho thấy vấn đề (chữ rõ), phần B cho thấy ai nằm trên đường đi. Giải pháp: Bảo mật tầng truyền tải (TLS), cơ chế mã hóa kênh truyền. HTTP qua kênh bảo vệ (HTTPS) là HTTP chạy bên trong kênh TLS, thường ở port 443. Sau khi TCP bắt tay xong, hai bên làm bắt tay TLS:

1. Thống nhất phiên bản và thuật toán.
2. Server gửi Chứng chỉ số của máy chủ (Server certificate): gắn tên miền với khóa công khai, được ký bởi một tổ chức cấp chứng chỉ (CA) mà trình duyệt tin tưởng.
3. Client kiểm tra: tên miền khớp, chưa hết hạn, chuỗi chứng chỉ dẫn tới CA tin cậy.
4. Hai bên tạo khóa phiên chung và dùng khóa đó mã hóa mọi dữ liệu còn lại.

Kênh thiết lập xong cho ba bảo vệ, khớp với bài 1: bí mật (người ngoài không đọc được), toàn vẹn (sửa giữa đường bị phát hiện), xác thực máy chủ (đúng chủ của tên miền). Nhờ đó, request của Lan ở phần A1 đi qua router và nhà mạng dưới dạng dữ liệu mã hóa: người trung gian không đọc được cookie và không sửa được trang trả về mà không bị phát hiện.

HTTPS chưa giải quyết hết

Cấu hình HTTPS đúng cho website của bạn

• Chuyển hướng (301) mọi truy cập HTTP sang HTTPS, và bật header Strict-Transport-Security (HSTS) để trình duyệt tự dùng HTTPS từ lần sau.
• Đặt cờ Secure cho cookie phiên (chỉ gửi qua HTTPS) và HttpOnly (script trong trang không đọc được cookie).
• Theo dõi hạn chứng chỉ: hết hạn thì trình duyệt cảnh báo và người dùng không vào được.
• Khi trình duyệt cảnh báo chứng chỉ, đừng bấm bỏ qua với trang có đăng nhập hay thanh toán.

Lab 1 cho thấy HTTP lộ hết. Lab này đặt cùng một request lên hai kênh, HTTP và HTTPS (HTTP chạy trong kênh Bảo mật tầng truyền tải), rồi bắt gói để so sánh. Ta dùng đúng server.py vừa viết: không có tham số thì chạy HTTP ở port 8000, có --tls thì chạy HTTPS ở port 8443. Làm trong máy mình nên không cần Internet, không rủi ro và kết quả lặp lại được.

Bước 1. Tạo chứng chỉ tự ký

HTTPS cần hai file: khóa riêng (key.pem, giữ bí mật ở server) và Chứng chỉ số của máy chủ (cert.pem, gắn tên miền với khóa công khai). Website thật xin chứng chỉ từ một tổ chức cấp (CA). Ở lab, ta tự ký cho chính mình, nên trình duyệt và curl sẽ không tin sẵn; đó là điều ta muốn quan sát. Vào thư mục network-lab (cd ~/network-lab hoặc cd $HOME\network-lab) và gõ trên một dòng:

openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 7 -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1"

& "C:\Program Files\Git\usr\bin\openssl.exe" req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 7 -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1"

openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 7 -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1"
# Chưa có openssl: sudo apt install openssl

Generating a RSA private key
..+++++
writing new private key to 'key.pem'
-----

Kiểm tra bằng ls hoặc dir: có thêm cert.pem và key.pem.

Bước 2. Chạy cùng lúc server HTTP và server HTTPS

Cần hai server song song nên dùng hai terminal, cả hai đều cd vào network-lab:

python3 server.py

python3 server.py --tls

py server.py

py server.py --tls

python3 server.py

python3 server.py --tls

Terminal A:  Dang chay tai http://127.0.0.1:8000/  (Ctrl+C de dung)
Terminal B:  Dang chay tai https://127.0.0.1:8443/  (Ctrl+C de dung)

Lỗi FileNotFoundError: cert.pem ở Terminal B nghĩa là bạn đang đứng sai thư mục hoặc chưa làm xong bước 1. Mở thêm Terminal C (cũng trong network-lab) để gõ lệnh curl.

Bước 3. Gọi HTTPS và xem TLS làm gì

3a. Gọi khi chưa tin chứng chỉ. Ở Terminal C:

curl https://localhost:8443/

curl: (60) SSL certificate problem: self signed certificate
More details here: https://curl.se/docs/sslcerts.html

Đây chính là trường hợp "chứng chỉ tự ký" của bài tập 8: kênh có thể mã hóa được, nhưng không có CA nào bảo đảm rằng chủ của localhost là bạn, nên curl từ chối. Trình duyệt cũng vậy: vào https://localhost:8443/ sẽ thấy trang cảnh báo đỏ ("Your connection is not private"). Ở lab này bấm tiếp tục là chấp nhận được vì chính bạn tạo ra chứng chỉ; với trang đăng nhập hay thanh toán thật thì không bao giờ bấm bỏ qua.

3b. Chỉ rõ chứng chỉ nào được tin. Thay vì tắt kiểm tra, ta bảo curl tin đúng file cert.pem của mình:

curl -i --cacert cert.pem https://localhost:8443/

HTTP/1.0 200 OK
Server: BaseHTTP/0.6 Python/3.9.6
Content-Type: text/html; charset=utf-8
Content-Length: 37

<h1>Cau lac bo - Lich sinh hoat</h1>

Nội dung y hệt khi dùng HTTP: người dùng cuối không nhìn thấy khác biệt, khác biệt nằm trên đường truyền. Giờ gửi POST của Lan qua HTTPS:

curl -i --cacert cert.pem -X POST -H "Cookie: phien=demo123" -d "ten=Lan&so_tien=200000&ghi=ok" https://localhost:8443/dong-phi

Nhìn Terminal B: server vẫn in ra đủ phien=demo123 và ten=Lan. Server là một đầu của kênh nên đọc được hết; điều TLS làm là khiến người đứng giữa không đọc được.

3c. Xem bắt tay TLS từ phía client. Thêm -v (verbose) để curl kể từng bước:

curl -v --cacert cert.pem https://localhost:8443/

* Host localhost:8443 was resolved.
* IPv6: ::1
* IPv4: 127.0.0.1
*   Trying [::1]:8443...
* connect to ::1 port 8443 failed: Connection refused
*   Trying 127.0.0.1:8443...
* Connected to localhost (127.0.0.1) port 8443
* (304) (OUT), TLS handshake, Client hello (1):
* (304) (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
...
> GET / HTTP/1.1

Đọc theo thứ tự: tên localhost được đổi thành IP (DNS, B1); curl thử IPv6 ::1 bị từ chối vì server chỉ nghe IPv4 127.0.0.1, rồi quay về IPv4 (bình thường, liên quan đến bài 5); TCP kết nối xong; sau đó mới đến Client hello, Server hello, Certificate, Finished của TLS; chỉ sau cùng mới là dòng GET / HTTP/1.1 được gửi trong kênh đã mã hóa. Đúng thứ tự DNS → TCP → TLS → HTTP của phần D.

Bước 4. Bắt gói và so sánh hai kênh

1. Mở Wireshark, bắt trên giao diện loopback như Lab 1 (macOS lo0, Linux lo, Windows Npcap Loopback). Bắt đầu capture trước khi gõ lệnh.
2. Ở Terminal C gửi lần lượt hai POST giống hệt nhau, một HTTP và một HTTPS:

curl -i -X POST -H "Cookie: phien=demo123" -d "ten=Lan&so_tien=200000&ghi=ok" http://127.0.0.1:8000/dong-phi

curl -i --cacert cert.pem -X POST -H "Cookie: phien=demo123" -d "ten=Lan&so_tien=200000&ghi=ok" https://localhost:8443/dong-phi

3. Dừng capture. Lọc hai kênh cùng lúc:

tcp.port == 8000 || tcp.port == 8443

Cột Protocol của luồng port 8000 ghi HTTP; luồng port 8443 ghi TLSv1.2 hoặc TLSv1.3. Nếu luồng 8443 chỉ hiện TCP, chuột phải vào một gói của nó → Decode As… → đặt TCP port 8443 thành TLS → OK.

4. Nhấp vào các dòng của luồng 8443 và mở khung giữa. Bạn sẽ thấy lần lượt:

5. Chuột phải vào một gói của luồng 8443 → Follow → TCP Stream: chỉ là ký tự lộn xộn. So với luồng 8000 vừa đọc được trọn vẹn request.
6. Phép thử quyết định. Gõ ô lọc sau và Enter:

frame contains "demo123"

frame contains "so_tien"

Chỉ gói của luồng port 8000 hiện ra. Không có gói nào ở port 8443 chứa chuỗi này, dù cùng một cookie và cùng một body đã được gửi. Đó là sự khác biệt giữa HTTP và HTTPS, tự bạn chứng minh bằng dữ liệu của chính mình.

Bước 5 (tùy chọn). Thử với một website thật

Muốn thấy cả DNS, hãy bắt trên giao diện Wi-Fi hoặc Ethernet thật (không phải loopback), đóng ứng dụng không cần thiết và không đăng nhập thứ nhạy cảm trong lúc bắt. Dùng example.com, trang mẫu công khai:

nslookup example.com
curl --http1.1 -I https://example.com

--http1.1 ép HTTP/1.1 cho dễ quan sát; -I chỉ lấy header (method HEAD). Trên Windows PowerShell dùng curl.exe. Dừng capture, lọc lần lượt dns, tcp, tls. Bạn thấy truy vấn DNS (chữ rõ, ai cũng đọc được tên bạn tra), bắt tay TCP, bắt tay TLS với server_name là example.com, rồi chỉ còn Application Data. Truy vấn DNS và kết nối HTTPS có thể ra IP khác nhau (cache, IPv4/IPv6, cân bằng tải), nên đừng ghép hai dòng chỉ vì chúng gần nhau.

Dọn dẹp

Ở mỗi terminal đang chạy server nhấn Ctrl + C. Xóa khóa riêng và file capture bạn không còn cần: rm key.pem cert.pem (macOS/Linux) hoặc del key.pem, cert.pem (Windows); file .pcapng xóa bằng trình quản lý file vì có thể chứa dữ liệu luồng khác. Có thể giữ thư mục network-lab để làm lại.

Hành trình đi qua nhiều lớp, và mỗi lớp lỗi cho một dấu hiệu khác. Biết thứ tự này, thay vì sửa ngẫu nhiên, bạn đọc dấu hiệu để chọn đúng lớp kiểm tra:

Khi gắn thêm tên miền mới vào cùng máy chủ, phải đúng cả bốn lớp: DNS trỏ đúng máy; web server biết tên mới thuộc website nào; chứng chỉ TLS có tên mới; ứng dụng chỉnh URL chuẩn và cookie. "Đã trỏ A record đúng" chỉ là một quan sát ở lớp DNS, chưa phải kết luận mọi thứ xong.