Đồ án mô phỏng tấn công SQL Injection vào Web Server - ĐH Mỏ Địa chất

Tài liệu đồ án mô phỏng tấn công SQL Injection vào Web Server chi tiết, phân tích các lỗ hổng bảo mật và đề xuất giải pháp phòng chống hiệu quả.

• Tác giả: Nguyễn Văn Tài
• Người hướng dẫn: TS. Phạm Đình Tân
• Trường học: Trường Đại học Mỏ - Địa chất
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Triển khai mô phỏng tấn công SQL Injection vào Web Server
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng quan về mô phỏng tấn công SQL Injection vào Web Server

Hệ thống ứng dụng web hiện đại phụ thuộc chặt chẽ vào cơ sở dữ liệu máy chủ. Cơ sở dữ liệu lưu trữ toàn bộ tài sản số quan trọng như thông tin định danh, tài khoản quản trị và bí mật thương mại. Khi giao tiếp giữa máy chủ web và hệ quản trị dữ liệu thiếu các cơ chế kiểm tra an toàn, hệ thống sẽ xuất hiện các lỗ hổng nghiêm trọng. Lỗ hổng SQL Injection là một trong những mối đe dọa hàng đầu đối với hạ tầng web toàn cầu. Kỹ thuật này cho phép đối tượng tấn công can thiệp trực tiếp vào logic xử lý của câu lệnh truy vấn. Quá trình mô phỏng tấn công giúp nhận diện chính xác các điểm yếu tồn tại trong mã nguồn backend. Hoạt động thực nghiệm cung cấp cái nhìn trực quan về lộ trình xâm nhập trái phép của tin tặc. Qua đó, đội ngũ kỹ thuật có thể đánh giá mức độ rủi ro đối với dữ liệu nội bộ. Việc xây dựng môi trường thử nghiệm đóng vai trò then chốt trong nghiên cứu bảo mật. Phương pháp này đảm bảo an toàn cho hệ thống thực tế trong quá trình khảo sát kỹ thuật.

1.1. Khái niệm và bản chất lỗ hổng SQL Injection

SQL Injection là hình thức tấn công nguy hiểm vào ứng dụng mạng. Lỗ hổng này phát sinh do lập trình viên không lọc dữ liệu đầu vào từ người dùng. Kẻ tấn công lợi dụng sơ hở để chèn các ký tự điều khiển đặc biệt. Hệ quản trị cơ sở dữ liệu tiếp nhận chuỗi ký tự này như một phần lệnh thực thi. Kết quả là cấu trúc câu truy vấn gốc bị thay đổi hoàn toàn. Hệ thống máy chủ buộc phải trả về dữ liệu trái phép hoặc thực hiện các tác vụ ngoài ý muốn. Kỹ thuật này đe dọa trực tiếp đến tính toàn vẹn và tính bí mật của toàn bộ kho dữ liệu doanh nghiệp.

1.2. Mục tiêu nghiên cứu đề tài mô phỏng tấn công

Đề tài tập trung phân tích toàn diện cấu trúc cơ sở dữ liệu trên máy chủ web. Mục tiêu chính là làm rõ cơ chế vận hành của các cuộc tấn công SQL Injection. Nghiên cứu triển khai môi trường thực nghiệm độc lập để quan sát hành vi khai thác lỗ hổng. Quá trình kiểm thử cho phép ghi nhận chi tiết phản hồi của máy chủ trước các chuỗi truy vấn độc hại. Dữ liệu thu thập từ mô phỏng giúp đánh giá chính xác mức độ tổn thương của hệ thống. Đây là cơ sở khoa học vững chắc để đề xuất các giải pháp kỹ thuật phòng ngừa tối ưu và nâng cao tính sẵn sàng bảo mật.

II. Phân tích cơ chế tấn công SQL Injection vào Web Server thực tế

Cơ chế tấn công SQL Injection bắt đầu từ việc khai thác các trường nhập liệu không an toàn trên giao diện web. Biểu mẫu đăng nhập, thanh tìm kiếm và tham số URL là những vị trí dễ bị tổn thương nhất. Khi người dùng nhập dữ liệu, máy chủ web ghép trực tiếp chuỗi ký tự vào câu lệnh SQL mà không qua khâu xử lý. Kẻ tấn công sử dụng các toán tử logic như OR hoặc AND để làm biến đổi điều kiện kiểm tra. Câu lệnh truy vấn bị bẻ gãy và luôn trả về giá trị đúng trong mọi trường hợp. Hệ thống xác thực bị vô hiệu hóa hoàn toàn trước các chuỗi mã độc. Sau khi vượt qua bước đăng nhập, kẻ tấn công có thể trích xuất toàn bộ bảng dữ liệu nhạy cảm. Thông tin cá nhân, số chứng minh nhân dân và mật khẩu quản trị đều bị phơi bày. Việc để lộ cơ sở dữ liệu gây ra thiệt hại nghiêm trọng về uy tín và tài chính cho tổ chức. Do đó, việc hiểu rõ từng bước tấn công là yêu cầu bắt buộc để xây dựng chiến lược phòng thủ.

2.1. Kỹ thuật vượt qua xác thực đăng nhập Web Server

Kỹ thuật vượt qua đăng nhập là phương thức khai thác phổ biến nhất của SQL Injection. Tin tặc nhập các chuỗi ký tự đặc biệt như dấu nháy đơn kết hợp mệnh đề logic ' OR '1'='1 vào ô tài khoản. Câu lệnh xác thực trên máy chủ lập tức bị thay đổi bản chất logic. Mệnh đề điều kiện luôn trả về kết quả đúng bất kể mật khẩu nhập vào là gì. Máy chủ web chấp nhận yêu cầu và cấp quyền truy cập quản trị viên cấp cao. Toàn bộ cơ chế kiểm soát đăng nhập bị vô hiệu hóa nhanh chóng mà không cần bẻ khóa mật khẩu phức tạp. Lỗ hổng này mở đường cho kẻ tấn công kiểm soát hoàn toàn hệ thống.

2.2. Nguy cơ rò rỉ dữ liệu nhạy cảm từ cơ sở dữ liệu

Khi chiếm quyền truy cập, tin tặc có thể thực thi các câu lệnh truy vấn mở rộng như UNION SELECT. Thao tác này cho phép kết xuất dữ liệu từ các bảng ẩn trong hệ thống. Các thông tin nhạy cảm bao gồm số căn cước công dân, số điện thoại và hồ sơ tài chính bị trích xuất hàng loạt. Toàn bộ cơ sở dữ liệu khách hàng hoặc người dùng có nguy cơ bị phát tán trên không gian mạng. Hậu quả trực tiếp là sự gián đoạn kinh doanh và tổn thất pháp lý nặng nề cho đơn vị chủ quản. Nguy cơ mất an toàn thông tin đòi hỏi các biện pháp can thiệp kỹ thuật khẩn cấp.

III. Giải pháp phòng chống tấn công SQL Injection vào Web Server

Để bảo vệ máy chủ web trước nguy cơ SQL Injection, các nhà phát triển phải áp dụng nguyên tắc phòng thủ theo chiều sâu. Giải pháp quan trọng hàng đầu là chuẩn hóa toàn bộ câu truy vấn dữ liệu trong mã nguồn. Việc sử dụng Prepared Statements giúp tách biệt hoàn toàn giữa dữ liệu người dùng và lệnh thực thi. Máy chủ cơ sở dữ liệu sẽ không coi dữ liệu đầu vào là mã lệnh trong bất kỳ tình huống nào. Bên cạnh đó, hệ thống cần thực hiện lọc và kiểm tra tính hợp lệ của mọi tham số đầu vào. Cơ chế xác thực chặt chẽ giúp loại bỏ các ký tự đặc biệt nguy hiểm trước khi xử lý. Triển khai tường lửa ứng dụng web WAF là lớp phòng vệ bổ sung vô cùng hiệu quả. WAF có khả năng phát hiện và ngăn chặn các mẫu tấn công SQL Injection ngay tại tầng mạng. Đồng thời, việc áp dụng nguyên tắc đặc quyền tối thiểu cho tài khoản cơ sở dữ liệu giúp hạn chế tối đa phạm vi ảnh hưởng khi xảy ra sự cố.

3.1. Sử dụng Prepared Statements và Parameterized Queries

Prepared Statements là kỹ thuật lập trình an toàn cốt lõi để triệt tiêu lỗ hổng SQL Injection. Cơ chế này yêu cầu định nghĩa trước cấu trúc câu truy vấn trước khi gán tham số. Mọi dữ liệu do người dùng cung cấp đều được xử lý dưới dạng giá trị thuần túy thay vì mã thực thi. Kẻ tấn công không thể chèn thêm lệnh điều khiển để làm thay đổi logic ban đầu của ứng dụng. Kỹ thuật này giúp bảo vệ cơ sở dữ liệu tuyệt đối trước các chuỗi truy vấn độc hại. Đây là tiêu chuẩn bắt buộc trong quy trình phát triển và kiểm thử phần mềm an toàn hiện đại.

3.2. Thiết lập tường lửa ứng dụng WAF và kiểm soát quyền

Tường lửa ứng dụng web WAF đóng vai trò như một lá chắn bảo vệ bên ngoài máy chủ. Hệ thống WAF liên tục phân tích và lọc các gói tin HTTP chứa mẫu truy vấn bất thường. Khi phát hiện dấu hiệu khai thác SQL Injection, tường lửa sẽ lập tức chặn đứng yêu cầu độc hại. Bên cạnh đó, quản trị viên cần phân quyền tài khoản kết nối cơ sở dữ liệu theo đúng phạm vi hoạt động. Việc giới hạn quyền quản trị giúp ngăn chặn nguy cơ xóa bảng hoặc chỉnh sửa dữ liệu trái phép nếu máy chủ web gặp sự cố bảo mật bất ngờ.

IV. Kết luận về mô phỏng tấn công SQL Injection vào Web Server

Nghiên cứu mô phỏng tấn công SQL Injection cung cấp góc nhìn thực tiễn về an ninh mạng trên nền tảng web. Đề tài đã làm rõ mức độ nguy hiểm của các lỗ hổng bảo mật trong cơ sở dữ liệu. Kết quả thực nghiệm chứng minh rằng các lỗi lập trình cơ bản có thể dẫn đến việc mất mát dữ liệu quy mô lớn. Việc giả lập tấn công giúp các kỹ sư công nghệ thông tin chủ động nhận diện rủi ro trước khi đưa sản phẩm vào vận hành. Đây là giải pháp hữu hiệu để đánh giá tính toàn vẹn của hệ thống máy chủ một cách an toàn. Trong kỷ nguyên số hóa, an toàn thông tin cần được tích hợp xuyên suốt vòng đời phát triển ứng dụng. Việc kết hợp kiểm thử bảo mật thường xuyên và chuẩn hóa mã nguồn là chìa khóa duy trì tính ổn định của hạ tầng mạng. Nghiên cứu khẳng định tầm quan trọng của việc nâng cao nhận thức bảo mật cho đội ngũ kỹ thuật viên và nhà quản trị hệ thống.

4.1. Đánh giá kết quả từ mô hình thực nghiệm giả lập

Mô hình thực nghiệm đã chứng minh tính khả thi của các kịch bản khai thác SQL Injection. Quá trình kiểm thử trên website bán hàng giả lập cho thấy khả năng vượt qua lớp xác thực một cách dễ dàng. Dữ liệu nhạy cảm được trích xuất thành công khi hệ thống chưa được vá lỗ hổng kỹ thuật. Những kết quả thu được phản ánh chân thực các nguy cơ an ninh mạng hiện hữu trên môi trường thực tế. Hoạt động mô phỏng giúp đội ngũ phát triển nhận thức rõ ràng hậu quả của việc thiếu sót kiểm tra dữ liệu đầu vào trong sản phẩm phần mềm.

4.2. Khuyến nghị bảo mật toàn diện cho nhà phát triển

Nhà phát triển cần thiết lập quy trình kiểm thử bảo mật định kỳ trước khi phát hành ứng dụng web. Việc rà soát mã nguồn tự động kết hợp đánh giá thủ công giúp phát hiện sớm các lỗ hổng tiềm ẩn trong hệ thống. Bên cạnh đó, các tổ chức nên tổ chức đào tạo chuyên sâu về an toàn thông tin cho lập trình viên. Việc áp dụng các khung tiêu chuẩn bảo mật như OWASP Top 10 là kim chỉ nam để xây dựng phần mềm vững chắc. Sự chủ động trong phòng ngừa rủi ro sẽ bảo vệ tối đa dữ liệu của người dùng và nâng cao uy tín cho doanh nghiệp.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 TỔNG QUAN VỀ AN TOÀN VÀ BẢO MẬT THÔNG TIN 1.Tổng quan về an toàn và bảo mật thông tin.Giới thiệu về an toàn và bảo mật thông tin. Khi hoạt động thương mại, mua sắm trực tuyến dần phổ biến thì nhu cầu sử dụng trao đổi thông tin dữ liệu ngày càng cần thiết và phát triển, ngoài việc nâng cao chất lượng, lưu lượng truyền tin thì an toàn và bảo mật thông tin cũng là một chủ đề luôn được xoay quanh sự phát triển mạnh mẽ của công nghệ thông tin hiện nay. An toàn bảo mật thông tin là vô cùng quan trọng đối với mỗi doanh nghiệp, cơ quan hay thậm chí là mỗi cá nhân, là hoạt động duy trì bảo mật, tính xác thực và toàn vẹn của thông tin, các yếu tố trên đi cùng nhau và không thể tách rời.Các yếu tố an toàn và bảo mật thông tin. a) Tính bảo mật (Confidentiality): Đảm bảo dữ liệu được truyền đi một các an toàn và không bị thất thoát thông tin nếu như có ai đó cố tình lấy cắp thông tin nội dung lữ liệu gốc ban đầu.

Chỉ những người quản trị và người được cho phép mới đọc được những nội dung thông tin được bảo mật. b) Tính xác thực (Authentication) : Xác thực dữ liệu thông tin nhận được chắc chắn là dữ liệu gốc ban đầu. Người đánh cắp thông tin không thể giả dạng một người khác, không thể mạo danh để gửi dữ liệu đồng thời người nhận có khả năng kiểm tra nguồn gốc thông tin mà họ nhận được. c) Tính toàn vẹn (Integrity): Người nhận có thể kiểm tra được dữ liệu truyền đi có bị thay đổi trên đường truyền hay không.

Kẻ giả mạo không thể có khả năng thay thế dữ liệu ban đầu bằng nội dung thay thế khác. d) Tính không thể chối bỏ (Non-repudation): Khi thông tin được gửi đi, người gửi và người nhận dữ liệu đều thông thể chối bỏ trách nhiệm.Hành vi xâm phạm dữ liệu và các chiến lược an toàn hệ thống a) Hành vi xâm phạm dữ liệu Nguyễn Văn Tài 11 Đồ án tốt nghiệp chuyên ngành Mạng Máy Tính Đối với thông tin dữ liệu của cá nhân hay bất kì cơ quan, tổ chức nào cũng đều là tải sản cần được bảo vệ, các hình thức xâm phạm dữ liệu thông tin đã và đang diễn ra vô cùng đa dạng, với nhiều mục đích, của các nhóm đối tượng ẩn danh khác nhau. Hình 1-1: Xâm phạm dữ liệu (Nguồn:https://static.vn/800x450/images/upload/buituananh/ 02252021/2- jpg) Dữ liệu cá nhân, tổ chức trở thành tài sản được mua bán tràn lan trên mạng xã hội, tiềm ẩn nhiều nguy cơ và rủi ro. Ở Việt Nam hay cả trên thế giới mọi thông tin của mọi chủ thể đều dễ dàng đem ra mua bán, trao đổi khi có cung và cầu.

Đa dạng thông tin như các danh sách khác hàng đã mua cổ phiếu của các công ty lớn, danh sách các khách hàng sử dụng dịch vụ bảo hiểm xã hội, mua bán ô tô, vàng, bạc đá quý hay các khách hàng lớn của các ngân hàng, trung tâm thương mại, phần lớn những thông tin được giao bán thương mại đều được mã hóa và được lưu trữ trong cơ sở dữ liệu trên các trang web, nhưng nếu hệ thống bảo mật không được an toàn, thì chính dữ liệu cá nhân hay các dữ liệu được lưu trên cơ sở dữ liệu của doanh nghiệp sẽ là “phần thưởng” cho những tin tặc khai thác và giao bán nó, gây ảnh hưởng không nhỏ đến chúng ta. Hành vi xâm phạm dữ liệu được chia làm hai loại là: vi phạm chủ động và vi phạm bị động. Nguyễn Văn Tài 12 Đồ án tốt nghiệp chuyên ngành Mạng Máy Tính Vi phạm thụ động chỉ nhằm mục đích sau cùng là nắm bắt được thông tin một cách bất hợp pháp, kẻ lợi dụng lỗ hổng có thể đột nhập và lấy đi được dữ liệu, kiểm tra được số lượng, độ dài và tần số trao đổi nhưng không ảnh hưởng không làm sai lệch hay hủy hoại đến nội dung dữ liệu được trao đổi. Vi phạm thụ động thường khó phát hiện nhưng biện pháp ngăn chặn thì vô cùng hiệu quả.

Trái ngược với vi phạm thụ động, vi phạm chủ động có thể xóa bỏ, thay đổi nội dung hay sắp xếp nội dung sai lệch theo trình tự vốn có của nội dung ngay tại thời điểm gửi gói tin hoặc sau đó một thời gian. Vi phạm chủ động là xâm phạm nguy hiểm, dễ bị phát hiện nhưng lại khó khăn trong việc phòng tránh ngăn chặn từ những kẻ tấn công. b) Các chiến lược an toàn hệ thống 1. Chiến lược quyền hạn tối thiểu Đây là chiến thuật cơ bản nhất, áp dụng nguyên tắc này bất kì đối tượng nào cũng sẽ bị giới hạn về một số tính năng như tài nguyên mạng, khi thâm nhập vào mạng đối tượng sẽ chỉ sử dụng được một số tài nguyên nhất định.

Bảo vệ chiều sâu Nguyên tắc bảo vệ chiều sâu: Không một chế độ nào là an toàn tuyệt đối, nên tạo nhiều chế độ an toàn để hỗ trợ lẫn nhau. Nút thắt Tạo ra một đường truyền dữ liệu riêng và chỉ cho phép thông tin đi vào hệ thống của mình bằng duy nhất đường truyền này, cho nên phải tổ chức cơ cấu để điều khiển và kiểm soát đường truyền quan trọng này. Điểm nối yếu nhất. Chiến lược dựa trên nguyên tắc: “Một dây xích chỉ chắc lại một mắt duy nhất, bức tường chỉ cứng tại điểm yếu nhất.

Hacker sẽ khai thắc lỗ hổng của hệ thống từ chỗ những chỗ yếu nhất để tấn công, vì vậy chúng ta luôn phải kiểm tra rà soát và gia cố những điểm yếu nhất của hệ thống. Thông thường kẻ tấn công trên mạng sẽ là đối tượng được chúng ta quan tâm nhiều hơn là kẻ tiếp cận hệ thống, do đó an toàn vật lý được coi là điểm yếu nhất của hệ thống chúng ta. Nguyễn Văn Tài 13 Đồ án tốt nghiệp chuyên ngành Mạng Máy Tính 5. Tính toàn cục.

Các hệ thống an toàn đòi hỏi phải có tính toàn cục của các hệ thống cục bộ, khi hệ thống bị xâm phạm bẻ gãy một cơ chế an toàn thì chúng hoan toàn có thể tấn công vào hệ thống tự do của ai đó và tấn công hệ thống từ nội bộ bên trong. Tính đa dạng bảo vệ. Sử dụng nhiều biện pháp bảo vệ khác nhau cho hệ thống khác nhau, nếu không có kẻ tấn công vào một hệ thống thì chúng sẽ dễ dàng tấn công vào hệ thống khác.4 Mức bảo vệ và nguyên tắc chung của an toàn bảo mâṭ thông tin Mức bảo vệ Không có biện pháp bảo vệ nào là tuyệt đối, vì thế nhiều các biện pháp bảo mật được sử dụng đồng thời ngăn chặn các mối đe dọa từ môi trường. Mọi biện pháp bảo vệ nhằm chống thất thoát thông tin trên các server đều tập chung vào việc xây dựng các mức rào chắn từ ngoài vào trong cho các hệ thống bao gồm một số mức bảo vệ sau: a) Quyền truy nhập Lớp bảo vệ trong cùng là quyền truy nhập nằm kiểm soát các tài nguyên mạng và quyền hạn trên tài nguyên đó.

Trú trọng vào kiểm soát cấu trúc dữ liệu một cách chi tiết. Hiện tại việc kiểm soát thường ở mức tệp. b) Đăng kí tên/mật khẩu. Tương tự với kiểm soát truy nhập, quyền truy nhập này ở mức hệ thống.

Đây là phương pháp bảo vệ phổ biến nhất vì nó đơn giản và ít phí tổn nhưng lại vô cùng hiệu quả. Mỗi nười sử dụng muốn được tham gia vào mạng để sử dụng tài nguyên đều phải đăng kí thông tin tên và mật khẩu phục vụ đăng nhập. Người quản trị có trách nhiệm quản lí, kiểm soát mọi hoạt động, xác định quyền truy nhập của mọi thành viên theo thời gian và không gian ( có thể xác định thời gian sử dụng và ở tại vị trí nào ) Về lý thuyết nếu mọi người đều giữ kín được mật khẩu và tên đăng ký của mình thì sẽ không xảy ra các vấn đề như truy nhập trái phép. Song điều đó khó đảm bảo trong thực tế vì có nhiều nguyên nhân rất đời thường làm giảm hiệu quả của lớp bảo vệ này.

Có thể khác phục bằng cách người quản trị chịu trách nhiệm đặt mật khẩu và thay đổi mật khẩu theo thời gian. Nguyễn Văn Tài 14 Đồ án tốt nghiệp chuyên ngành Mạng Máy Tính c) Mã hóa dữ liệu Một trong những phương pháp bảo mật phổ biến được sử dụng hiện nay là mã hóa dữ liệu. Thông tin được mã hóa từ dạng nhận thức được sang dạng không nhận thức được theo một thuật toán nào đó và sẽ được biến đổi ngược lại ở trậm nhận ( giải mã ). Đây là lớp bảo mật thông tin rất quan trọng.

d) Bảo vệ vật lý Ngăn cản mọi truy nhập vật lý vào hệ thống, các biện pháp thường rất truyền thống, đơn giản như ngăn cấm mọi hoạt động gần khu quản trị dữ liệu, dùng ổ khóa trên máy tính hoặc các máy trạm trên ổ mềm. e) Tường lửa Tường lửa là công cụ thiết lập khá đơn giản trên máy tính nhưng lại bảo vệ khá tốt dữ liệu, ngăn chặn thâm nhập trái phép, hoặc lọc bỏ những gói tin lạ được cho là nguy hiểm với máy tính hay cả mạng nội bộ intranet. f) Quản trị mạng Với sự phát triển của công nghệ thông tin, mạng máy tính quyết định toàn bộ hoạt động của công ty hay cơ quan tổ chức. Vì vậy việc đảm bảo cho hệ thống mạng máy tính một cách an toàn, không xảy ra sự cố khi hoạt động là việc cấp thiết hàng đầu.

Công tác quản trị mạng máy tính phải được thực hiện một cách khoa học đảm bảo các yếu cầu bảo mật sau: - Toàn bộ thệ thống làm việc hoạt động bình thường trong thời gian sử dụng. - Có hệ thống dự phòng khi có sự cố về phần cứng hoặc phần mềm xảy ra. - Backup dữ liệu theo định kì. - Bảo dưỡng mạng theo định kì.

- Bảo mật dữ liệu, phân quyền truy cập, tổ chức nhóm làm việc trên mạng. Nguyên tắc an toàn bảo mật thông tin Để đảm an toàn thông tin cho dữ liệu trong quá trình được gửi đi và sử dụng một cách hiệu quả trước tiên phải phòng tránh, lường trước hoặc dự đoán các khả năng không an toàn hay khả năng xâm phạm có thể xảy ra đối với dự liệu đã lưu trữ được trao đổi trên đường truyền. Mức độ xác định chính xác các rủi ro càng cao thì thiệt hại về công ty hay cá nhân sẽ càng thấp.