Lỗ Hổng SQL Injection Trong Các Ứng Dụng Sử Dụng GraphQL

Lỗ hổng SQL Injection là một trong những mối đe dọa lớn nhất đối với bảo mật ứng dụng web, đặc… 73 trang · Học viện Công nghệ Bưu chính Viễn thông · 2021.

• Tác giả: Phạm Hải Vũ
• Người hướng dẫn: TS. Nguyễn Ngọc Điệp
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Lỗ Hổng SQL Injection Trong Ứng Dụng GraphQL
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: CÔNG NGHỆ GRAPHQL
• 1.1. Tổng quan về GraphQL
• 1.2. Lịch sử phát triển của GraphQL
• 1.3. Kiến trúc triển khai GraphQL
• 1.3.1. Máy chủ GraphQL kết nối trực tiếp với cơ sở dữ liệu
• 1.3.2. Máy chủ GraphQL tích hợp với các hệ thống sẵn có
• 1.3.3. Kiến trúc kết hợp
• 1.4. Các thành phần của GraphQL
• 1.4.1. Hệ thống kiểu dữ liệu (Type system)
• 1.4.2. Kiểu dữ liệu đối tượng (Object type)
• 1.4.3. Kiểu dữ liệu truy vấn và đột biến (Query and Mutation type)
• 1.4.4. Kiểu dữ liệu vô hướng (Scalar type)
• 1.4.5. Kiểu dữ liệu liệt kê (Enumeration)
• 1.4.6. Bộ nghĩa List và Non-null (List and Non-null type modifier)
• 1.4.7. Dạng liên hợp (Union type)
• 1.4.8. Dạng đầu vào (Input type)
• 1.5. Ngôn ngữ truy vấn (Query language)
• 1.6. Chi tiết cấu hình kiểu (Type introspection)
• 1.7. Đánh giá ưu điểm và nhược điểm
• 2. CHƯƠNG 2: LỖ HỔNG SQL INJECTION TRONG GRAPHQL API
• 2.1. Các vấn đề về bảo mật trong GraphQL
• 2.2. Lỗ hổng bảo mật trong các thành phần tích hợp
• 2.3. Lỗ hổng SQL Injection trong GraphQL API
• 2.3.1. Tấn công In-band SQL Injection
• 2.3.2. Tấn công Blind SQL Injection
• 2.3.3. Tấn công Out-of-band SQL Injection
• 2.4. Các bước khai thác
• 2.5. Thu thập thông tin
• 2.6. Công cụ hỗ trợ khai thác
• 3. CHƯƠNG 3: XÂY DỰNG MÔI TRƯỜNG LAB ĐỂ THỬ NGHIỆM TẤN CÔNG SQL INJECTION TRONG GRAPHQL API
• 3.1. Damn Vulnerable GraphQL Application
• 3.2. Mục tiêu phát triển
• 3.3. Đối tượng hướng đến
• 3.4. Mô tả chức năng chính
• 3.5. Cung cấp các thông tin và cách cài đặt lab
• 3.6. Tự động thiết lập cơ sở dữ liệu
• 3.7. Thiết lập mức độ bảo mật cho các dạng kỹ thuật khai thác SQL Injection
• 3.8. Thực hành các kỹ thuật khai thác SQL Injection
• 3.8.1. Error-based SQL Injection
• 3.8.2. Union-based SQL Injection
• 3.8.3. Boolean-based SQL Injection
• 3.8.4. Time-based SQL Injection
• 3.8.5. Out-of-band SQL Injection
• 3.9. Đánh giá kết quả
• DANH MỤC TÀI LIỆU THAM KHẢO
• DANH MỤC HÌNH VẼ
• DANH MỤC CÁC TỪ VÀ THUẬT NGỮ VIẾT TẮT

Tóm tắt

I. Tổng quan về lỗ hổng SQL Injection trong GraphQL

Lỗ hổng SQL Injection là một trong những mối đe dọa lớn nhất đối với bảo mật ứng dụng web, đặc biệt là trong các ứng dụng sử dụng GraphQL. GraphQL là một ngôn ngữ truy vấn mạnh mẽ, nhưng cũng tiềm ẩn nhiều rủi ro nếu không được bảo vệ đúng cách. Việc hiểu rõ về lỗ hổng này là rất quan trọng để bảo vệ dữ liệu và hệ thống. Bài viết này sẽ phân tích chi tiết về lỗ hổng SQL Injection trong GraphQL và đưa ra các giải pháp hiệu quả để khắc phục.

1.1. Lỗ hổng SQL Injection là gì

Lỗ hổng SQL Injection xảy ra khi kẻ tấn công có thể chèn mã SQL độc hại vào các truy vấn SQL thông qua đầu vào không được kiểm soát. Điều này có thể dẫn đến việc truy cập trái phép vào cơ sở dữ liệu, làm rò rỉ thông tin nhạy cảm.

1.2. Tại sao GraphQL dễ bị tấn công SQL Injection

Do tính chất linh hoạt của GraphQL, kẻ tấn công có thể dễ dàng thay đổi cấu trúc truy vấn để khai thác lỗ hổng. Nếu không có biện pháp bảo vệ, các truy vấn có thể trở thành mục tiêu cho các cuộc tấn công SQL Injection.

II. Vấn đề bảo mật trong ứng dụng GraphQL

Các ứng dụng sử dụng GraphQL thường gặp phải nhiều vấn đề bảo mật, trong đó lỗ hổng SQL Injection là một trong những thách thức lớn nhất. Việc thiếu kiểm soát đầu vào và xác thực có thể dẫn đến việc kẻ tấn công dễ dàng khai thác các lỗ hổng này. Điều này không chỉ ảnh hưởng đến dữ liệu mà còn đến uy tín của tổ chức.

2.1. Các loại tấn công SQL Injection phổ biến

Có nhiều loại tấn công SQL Injection, bao gồm tấn công In-band, Blind và Out-of-band. Mỗi loại tấn công có cách thức hoạt động và mức độ nguy hiểm khác nhau, nhưng đều có thể gây ra thiệt hại nghiêm trọng cho hệ thống.

2.2. Hệ quả của lỗ hổng SQL Injection

Hệ quả của lỗ hổng SQL Injection có thể rất nghiêm trọng, bao gồm mất mát dữ liệu, rò rỉ thông tin nhạy cảm và thiệt hại về tài chính. Các tổ chức có thể phải đối mặt với các vụ kiện và mất uy tín trên thị trường.

III. Phương pháp bảo vệ ứng dụng GraphQL khỏi SQL Injection

Để bảo vệ ứng dụng GraphQL khỏi lỗ hổng SQL Injection, cần áp dụng nhiều biện pháp bảo mật khác nhau. Việc sử dụng các phương pháp mã hóa, xác thực và kiểm soát quyền truy cập là rất quan trọng. Dưới đây là một số giải pháp hiệu quả.

3.1. Sử dụng Prepared Statements

Sử dụng Prepared Statements giúp ngăn chặn việc chèn mã SQL độc hại vào truy vấn. Điều này đảm bảo rằng các tham số được xử lý an toàn và không bị thay đổi bởi kẻ tấn công.

3.2. Kiểm soát quyền truy cập

Kiểm soát quyền truy cập là một biện pháp quan trọng để bảo vệ dữ liệu. Chỉ cho phép những người dùng có quyền truy cập hợp lệ mới có thể thực hiện các truy vấn nhạy cảm.

3.3. Sử dụng các công cụ bảo mật

Sử dụng các công cụ bảo mật như tường lửa ứng dụng web (WAF) có thể giúp phát hiện và ngăn chặn các cuộc tấn công SQL Injection trước khi chúng gây ra thiệt hại.

IV. Ứng dụng thực tiễn và kết quả nghiên cứu về SQL Injection trong GraphQL

Nghiên cứu về lỗ hổng SQL Injection trong GraphQL đã chỉ ra rằng nhiều ứng dụng hiện nay vẫn chưa được bảo vệ đầy đủ. Việc áp dụng các biện pháp bảo mật có thể giúp giảm thiểu rủi ro và bảo vệ dữ liệu hiệu quả hơn. Các nghiên cứu thực tiễn cho thấy rằng việc triển khai các giải pháp bảo mật đúng cách có thể giảm thiểu đáng kể các cuộc tấn công.

4.1. Kết quả từ các cuộc thử nghiệm

Các cuộc thử nghiệm cho thấy rằng việc áp dụng các biện pháp bảo mật như Prepared Statements và kiểm soát quyền truy cập đã giảm thiểu đáng kể số lượng cuộc tấn công SQL Injection thành công.

4.2. Các ứng dụng thành công trong việc bảo vệ dữ liệu

Nhiều tổ chức đã thành công trong việc bảo vệ dữ liệu của họ bằng cách áp dụng các biện pháp bảo mật hiệu quả. Điều này không chỉ giúp bảo vệ thông tin mà còn nâng cao uy tín của tổ chức.

V. Kết luận và tương lai của bảo mật GraphQL

Bảo mật trong GraphQL là một vấn đề quan trọng cần được chú ý. Lỗ hổng SQL Injection vẫn là một trong những thách thức lớn nhất mà các nhà phát triển phải đối mặt. Tuy nhiên, với sự phát triển của các công nghệ bảo mật mới, tương lai của bảo mật GraphQL có thể được cải thiện đáng kể.

5.1. Tương lai của GraphQL Security

Tương lai của bảo mật GraphQL sẽ phụ thuộc vào việc áp dụng các công nghệ mới và cải tiến trong quy trình phát triển ứng dụng. Việc nâng cao nhận thức về bảo mật cũng là một yếu tố quan trọng.

5.2. Khuyến nghị cho các nhà phát triển

Các nhà phát triển nên thường xuyên cập nhật kiến thức về bảo mật và áp dụng các biện pháp bảo vệ phù hợp để đảm bảo an toàn cho ứng dụng của mình. Việc tham gia vào các khóa học và hội thảo về bảo mật cũng rất hữu ích.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh chuyển đổi số, các ứng dụng web ngày càng phát triển mạnh mẽ nhằm cung cấp dịch vụ kinh doanh và quản lý cho các doanh nghiệp, tổ chức. Hiệu suất của các hệ thống này phụ thuộc vào thời gian xử lý và khả năng cung cấp thông tin. Để đơn giản hóa và tối ưu hóa quá trình phát triển ứng dụng, các giải pháp công nghệ mới liên tục được giới thiệu, trong đó có GraphQL. Được phát triển bởi Facebook từ năm 2012 và công bố rộng rãi vào năm 2015, GraphQL mang lại phương thức xây dựng giao diện lập trình ứng dụng (Web API) khác biệt so với kiến trúc REST truyền thống.

Tuy nhiên, bên cạnh các ưu điểm về cấu trúc dữ liệu linh hoạt, GraphQL cũng tiềm ẩn các rủi ro an ninh mạng khi được đưa vào triển khai thực tế. Do vai trò trung gian chuyển tiếp dữ liệu đến các dịch vụ phía sau, các ứng dụng sử dụng GraphQL API vẫn có nguy cơ trở thành mục tiêu của các cuộc tấn công mạng, đặc biệt là lỗ hổng chèn mã lệnh SQL (SQL Injection). Thực trạng này đòi hỏi việc nghiên cứu chuyên sâu về các khía cạnh an toàn thông tin trong GraphQL API cũng như xây dựng các công cụ hỗ trợ đào tạo, thực hành kiểm thử bảo mật.

Đồ án tốt nghiệp "Lỗ hổng SQL Injection trong các ứng dụng sử dụng GraphQL" do sinh viên Phạm Hải Vũ (lớp D17CQAT02-B, ngành Công nghệ thông tin/An toàn thông tin, Học viện Công nghệ Bưu chính Viễn thông) thực hiện dưới sự hướng dẫn của TS. Nguyễn Ngọc Điệp, cùng sự hỗ trợ kỹ thuật từ Trung tâm An ninh mạng (Cyber Security Division) thuộc Công ty Cổ phần Hệ thống Thông tin FPT (FPT Information System).

Nhiệm vụ và mục tiêu nghiên cứu của đồ án được xác định rõ:

1. Nghiên cứu tổng quan về công nghệ GraphQL, phân tích cơ chế hoạt động, các thành phần cốt lõi cùng ưu điểm và nhược điểm so với kiến trúc REST.
2. Phân tích các mối đe dọa an toàn thông tin trong GraphQL API, tập trung làm rõ nguyên nhân, kỹ thuật khai thác, công cụ hỗ trợ và phương pháp phòng chống đối với lỗ hổng SQL Injection.
3. Thiết kế và phát triển môi trường phòng thực hành (lab) hoàn chỉnh nhằm mô phỏng và thực hành các kỹ thuật tấn công SQL Injection trên GraphQL API.
4. Thử nghiệm thực tế các kỹ thuật khai thác trên môi trường lab tự xây dựng để kiểm chứng các kịch bản tấn công và đánh giá kết quả.

Đối tượng nghiên cứu của đề tài là công nghệ GraphQL và các vector tấn công SQL Injection trong môi trường ứng dụng web sử dụng GraphQL API. Phạm vi nghiên cứu tập trung vào các dạng tấn công SQL Injection phổ biến (In-band, Blind, Out-of-band), cơ sở dữ liệu quan hệ MySQL và quy trình kiểm thử bảo mật trong môi trường lab thử nghiệm cục bộ, hoàn thành vào tháng 12 năm 2021.

Cơ sở lý thuyết và phương pháp

Về cơ sở lý thuyết, đề tài sử dụng đặc tả kỹ thuật của công nghệ GraphQL do Facebook khởi xướng và hiện được quản lý bởi GraphQL Foundation trực thuộc Linux Foundation (từ tháng 11 năm 2018). Các khái niệm nền tảng bao gồm: Ngôn ngữ định nghĩa lược đồ (Schema Definition Language - SDL), hệ thống kiểu dữ liệu (Type System: Object type, Query type, Mutation type, Scalar type, Enumeration type, Interface, Union type, Input type), bộ nghĩa (List, Non-null), ngôn ngữ truy vấn (Query language: query, mutation, fragment, variable, directive), cơ chế kiểm tra tính hợp lệ (Validation), thực thi hàm xử lý (Execution/Resolver) và cơ chế xem chi tiết cấu hình kiểu (Type Introspection).

Đối với khía cạnh an toàn thông tin, đề tài dựa trên hệ thống phân loại điểm yếu phần mềm phổ biến Common Weakness Enumeration (CWE) của tổ chức MITRE, trong đó lỗ hổng SQL Injection xếp thứ 6 trong danh sách 25 lỗ hổng nguy hiểm nhất (CWE Top 25 năm 2021). Đồng thời, đồ án trích dẫn số liệu thống kê từ báo cáo an ninh mạng của Akamai Technologies ghi nhận giai đoạn từ ngày 01/01/2020 đến ngày 30/06/2021, trong đó SQL Injection là vector tấn công web hàng đầu, chiếm 55,88% với hơn 6,2 tỷ cuộc tấn công.

Phương pháp nghiên cứu kết hợp giữa nghiên cứu lý thuyết và phương pháp thực nghiệm:

• Phương pháp phân tích - tổng hợp: Thu thập, hệ thống hóa tài liệu kỹ thuật về GraphQL từ đặc tả chính thức; phân tích các báo cáo lỗ hổng thực tế được công bố công khai trên nền tảng HackerOne và Gitlab để làm rõ các nguy cơ bảo mật.
• Phương pháp khảo sát và so sánh: Phân tích ưu - nhược điểm giữa mô hình giao tiếp GraphQL và REST API; khảo sát các môi trường thực hành bảo mật mã nguồn mở hiện có như Damn Vulnerable GraphQL Application (DVGA) và Generic University.
• Phương pháp thực nghiệm kỹ thuật: Xây dựng hệ thống web ứng dụng GraphQL kết nối cơ sở dữ liệu MySQL; thiết lập các mức độ bảo mật khác nhau; trực tiếp thực hiện khai thác bằng các kỹ thuật thủ công kết hợp sử dụng công cụ hỗ trợ như SQLmap, GraphQLmap.

Nguồn dữ liệu của đề tài bao gồm báo cáo khảo sát hệ sinh thái lập trình The State of JavaScript 2020 (ghi nhận tỷ lệ lập trình viên sử dụng GraphQL tăng từ 5% năm 2016 lên 44,3% năm 2020), các báo cáo lỗ hổng bảo mật thực tế (HackerOne report #435066 về lỗi SQLi trên HackerOne; report #972355 về rò rỉ email trên Gitlab; issue #30096 về lỗi từ chối dịch vụ trên Gitlab), và dữ liệu phản hồi thu được từ hệ thống lab thực nghiệm.

Thiết kế và triển khai môi trường thử nghiệm

Nhằm phục vụ công tác giảng dạy, học tập và kiểm thử bảo mật, tác giả đã phát triển một môi trường lab chuyên dụng mô phỏng ứng dụng web sử dụng GraphQL API có chứa lỗ hổng SQL Injection. Hệ thống được xây dựng sau khi đánh giá các hạn chế của những lab thực hành sẵn có như DVGA và Generic University.

Môi trường lab có các chức năng chính:

• Hướng dẫn cài đặt và thiết lập: Cung cấp đầy đủ thông tin về cấu hình hệ thống, hướng dẫn triển khai cho người sử dụng.
• Thiết lập cơ sở dữ liệu tự động: Cung cấp giao diện trực quan cho phép khởi tạo hoặc khôi phục lại trạng thái ban đầu của cơ sở dữ liệu sau các đợt thực hành khai thác.
• Tùy chỉnh mức độ bảo mật: Cung cấp các cấp độ kiểm tra dữ liệu đầu vào khác nhau (thấp, trung bình, cao) cho từng kỹ thuật tấn công, cho phép người học kiểm tra hiệu quả của các biện pháp lọc dữ liệu.
• Xem mã nguồn và gợi ý: Tích hợp giao diện hiển thị trực tiếp mã nguồn của các hàm xử lý (resolver) tương ứng với từng mức bảo mật, đồng thời cung cấp các gợi ý phương thức khai thác nhằm hỗ trợ người thực hành.
• Phân hệ thực hành 5 kỹ thuật SQL Injection: Tạo các kịch bản đầu vào lỗi cho phép thực nghiệm đầy đủ các dạng khai thác gồm Error-based, Union-based, Boolean-based, Time-based và Out-of-band.

Hệ thống sử dụng máy chủ GraphQL kết nối trực tiếp với hệ quản trị cơ sở dữ liệu MySQL, giao tiếp qua giao thức HTTP và tiếp nhận các truy vấn định dạng JSON.

Nội dung chính theo từng chương

Chương 1: Công nghệ GraphQL

Chương 1 cung cấp cái nhìn toàn diện về công nghệ GraphQL từ nguồn gốc lịch sử đến chi tiết kỹ thuật. Về mặt lịch sử, GraphQL bắt đầu được nghiên cứu tại Facebook vào năm 2012 nhằm giải quyết bài toán tiêu thụ băng thông mạng quá lớn trên thiết bị di động của tính năng Bảng tin (News Feed) khi sử dụng HTML5 và REST API. Tháng 8/2012, công nghệ được đưa vào ứng dụng Facebook trên iOS 5.0, công bố mã nguồn mở năm 2015 và chuyển giao cho GraphQL Foundation thuộc Linux Foundation vào ngày 07/11/2018.

Đồ án phân tích 3 mô hình kiến trúc triển khai GraphQL:

• Máy chủ GraphQL kết nối trực tiếp với cơ sở dữ liệu (quan hệ như MySQL hoặc phi quan hệ như MongoDB).
• Máy chủ GraphQL tích hợp với các hệ thống sẵn có (đóng vai trò cổng giao tiếp hợp nhất microservices và RESTful API).
• Kiến trúc kết hợp (hybrid): vừa kết nối trực tiếp cơ sở dữ liệu vừa tích hợp hạ tầng sẵn có.

Tác giả đi sâu vào các thành phần kỹ thuật của GraphQL bao gồm: hệ thống kiểu (Object, Query, Mutation, 5 kiểu vô hướng cơ sở Int, Float, String, Boolean, ID, cùng Enum, Interface, Union, Input), ngôn ngữ truy vấn (cấu trúc query, mutation, fragment, inline fragment, bí danh alias, biến variable, chỉ thị directive @include và @skip, trường siêu dữ liệu __typename), cơ chế kiểm tra tính hợp lệ (Validation), quy trình thực thi qua các hàm xử lý (Resolver) và cơ chế xem chi tiết cấu hình kiểu (Type Introspection).

Chương 1 tổng kết ưu điểm của GraphQL trong việc giảm thiểu số lượng điểm cuối (chỉ dùng duy nhất 1 endpoint), loại bỏ hoàn toàn hiện tượng trả về thừa dữ liệu (overfetching) và thiếu dữ liệu (underfetching / vấn đề n+1 truy vấn). Ngược lại, GraphQL tồn tại các nhược điểm: suy giảm hiệu suất khi thực thi các truy vấn lồng nhau quá sâu, thiếu cơ chế bộ nhớ đệm tích hợp sẵn và không hỗ trợ xử lý tải lên tập tin trong đặc tả cốt lõi.

Chương 2: Lỗ hổng SQL Injection trong GraphQL API

Chương 2 tập trung phân tích các rủi ro an toàn thông tin trên GraphQL API và chi tiết hóa lỗ hổng SQL Injection. Tác giả chỉ ra 5 vấn đề an ninh phổ biến:

1. Rò rỉ dữ liệu nhạy cảm thông qua cơ chế Introspection: Kẻ tấn công có thể truy vấn trường __schema để trích xuất toàn bộ cấu trúc lược đồ API, phát hiện các tác vụ và trường dữ liệu nội bộ.
2. Kiểm soát quyền truy cập dữ liệu lỏng lẻo: Các quan hệ lồng nhau giữa các đối tượng cho phép vượt qua cơ chế phân quyền, được minh chứng qua lỗ hổng trên Gitlab (báo cáo HackerOne #972355 ngày 09/01/2020) làm lộ email riêng tư và danh sách nhóm của người dùng.
3. Tấn công từ chối dịch vụ (DoS): Kẻ tấn công gửi các truy vấn lồng nhau đệ quy hoặc quan hệ vòng tròn (circular relationship), dẫn chứng qua lỗ hổng trên Gitlab (HackerOne #638282 / issue #30096 năm 2019) gây cạn kiệt tài nguyên CPU và bộ nhớ.
4. Lỗ hổng bảo mật trong các thành phần tích hợp: Máy chủ GraphQL đóng vai trò chuyển tiếp vô tình chuyển các đầu vào độc hại đến hệ thống REST API hoặc dịch vụ hạ tầng phía sau.
5. Lỗ hổng bảo mật xuất phát từ dữ liệu đầu vào: GraphQL chỉ xác thực cú pháp và kiểu dữ liệu cơ bản, không có cơ chế lọc nội dung độc hại. Điển hình là báo cáo HackerOne #435066 ngày 30/11/2018 tại điểm cuối /graphql, tham số embedded_submission_form_uuid bị tấn công Time-based SQL Injection qua payload 1';SELECT 1;SELECT pg_sleep(5);--.

Chương này phân loại chi tiết các kỹ thuật SQL Injection thành 3 nhóm chính:

• In-band SQL Injection: Khai thác và thu thập kết quả trên cùng kênh liên lạc, gồm kỹ thuật Error-based (dựa vào thông báo lỗi cơ sở dữ liệu) và Union-based (dùng toán tử UNION nối các câu lệnh SELECT).
• Blind SQL Injection: Không hiển thị dữ liệu trực tiếp trong phản hồi HTTP, gồm Boolean-based (suy luận logic dựa trên sự thay đổi nội dung phản hồi theo điều kiện đúng/sai) và Time-based (suy luận dựa trên độ trễ phản hồi của máy chủ khi chèn các hàm ngủ/chờ).
• Out-of-band SQL Injection: Khai thác qua kênh liên lạc phụ khi phản hồi trực tiếp không ổn định, kích hoạt cơ sở dữ liệu gửi yêu cầu DNS hoặc HTTP ra máy chủ bên ngoài (như hàm xp_dirtree trong MSSQL hoặc gói UTL_HTTP trong Oracle).

Nguyên nhân gây ra SQL Injection trong GraphQL API bắt nguồn từ việc các hàm xử lý (resolver) sử dụng câu lệnh SQL động, ghép nối trực tiếp tham số người dùng mà không kiểm tra chặt chẽ. Quy trình khai thác gồm 2 bước: Thu thập thông tin (dò tìm endpoint như /graphql, /graphql/console, /graphql.php, /graphiql; dùng Introspection lấy lược đồ) và Thực hiện tấn công (thử ký tự đặc biệt, chèn payload, tự động hóa bằng SQLmap hoặc GraphQLmap).

Chương 3: Xây dựng môi trường lab để thử nghiệm tấn công SQL Injection trong GraphQL API

Chương 3 trình bày việc phát triển hệ thống lab thực hành và kiểm chứng thực nghiệm 5 kỹ thuật khai thác SQL Injection trên môi trường này. Tác giả xây dựng các kịch bản tấn công thực tế và ghi nhận kết quả:

• Khai thác Error-based SQL Injection: Chèn payload vào tham số truy vấn GraphQL khiến cơ sở dữ liệu phát sinh lỗi cú pháp, từ đó hiển thị chính xác tên cơ sở dữ liệu đang vận hành.
• Khai thác Union-based SQL Injection: Sử dụng toán tử UNION trong câu lệnh truy vấn để trích xuất thành công toàn bộ danh sách tài khoản người dùng được lưu trữ trong cơ sở dữ liệu.
• Khai thác Boolean-based SQL Injection: Gửi các payload chứa biểu thức điều kiện so sánh, quan sát sự khác biệt trong phản hồi GraphQL khi câu lệnh trả về kết quả true để suy đoán cấu trúc dữ liệu.
• Khai thác Time-based SQL Injection: Đưa payload kích hoạt hàm làm trễ quá trình xử lý của cơ sở dữ liệu, ghi nhận thời gian máy chủ trả về phản hồi bị kéo dài lên đến 3,4 giây, xác nhận điểm chèn ép thành công.
• Khai thác Out-of-band SQL Injection: Sử dụng kỹ thuật kích hoạt yêu cầu phân giải tên miền (DNS request) từ cơ sở dữ liệu, ghi nhận thông tin phiên bản của hệ quản trị MySQL đang chạy trên máy chủ lab được gửi về hệ thống lắng nghe.

Chương 4: Kết luận

Chương cuối tóm tắt toàn bộ kết quả đạt được của đồ án, khẳng định việc hoàn thành các mục tiêu nghiên cứu lý thuyết về GraphQL, cơ chế phát sinh lỗ hổng SQL Injection và triển khai thành công môi trường lab thực hành phục vụ học tập, nghiên cứu.

Kết quả và đóng góp

Đồ án đã tổng hợp và kiểm chứng thực tế các kỹ thuật khai thác SQL Injection trên giao diện GraphQL API. Bảng dưới đây tổng hợp kết quả thử nghiệm được thực hiện trên môi trường lab của đề tài:

Kỹ thuật khai thác	Phân loại tấn công	Dấu hiệu / Cơ chế nhận biết	Kết quả ghi nhận trên môi trường lab
Error-based	In-band	Thông báo lỗi cấu trúc SQL từ máy chủ	Trích xuất thành công tên cơ sở dữ liệu
Union-based	In-band	Nối bảng dữ liệu qua toán tử UNION	Trích xuất toàn bộ thông tin tài khoản người dùng
Boolean-based	Blind	Sự thay đổi dữ liệu trả về theo biểu thức true/false	Xác định kết quả logic đúng của điều kiện truy vấn
Time-based	Blind	Độ trễ thời gian xử lý phản hồi HTTP	Thời gian phản hồi của máy chủ kéo dài đạt 3,4 giây
Out-of-band	Out-of-band	Kênh truyền phụ qua truy vấn mạng (DNS)	Thu thập phiên bản MySQL đang chạy qua yêu cầu DNS

Về mặt đóng góp, đề tài mang lại những giá trị cụ thể:

• Hệ thống hóa cơ sở lý thuyết về GraphQL và các điểm yếu an toàn thông tin đặc thù, phân tích rõ ràng cơ chế khiến GraphQL API bị ảnh hưởng bởi SQL Injection do lỗi lập trình tại các hàm resolver.
• Đưa ra bức tranh tổng thể về rủi ro thông qua việc dẫn chứng các sự cố bảo mật thực tế được ghi nhận tại các nền tảng công nghệ lớn như HackerOne và Gitlab.
• Xây dựng thành công một môi trường lab thực hành hoàn chỉnh, tích hợp tính năng tự động thiết lập dữ liệu, phân tách nhiều cấp độ bảo mật, cho phép xem trước mã nguồn và gợi ý, giải quyết hạn chế thiếu kịch bản toàn diện của các lab mở hiện nay.
• Đề xuất các biện pháp phòng chống chuẩn mực: áp dụng kiểm tra và làm sạch dữ liệu đầu vào nghiêm ngặt, sử dụng cơ chế tham số hóa truy vấn (parameterized queries / prepared statements) trong các hàm resolver, và tắt tính năng Type Introspection trên môi trường vận hành thực tế (production) để hạn chế rò rỉ cấu trúc lược đồ API.

Hạn chế và hướng nghiên cứu tiếp

Mặc dù đã hoàn thành các mục tiêu đề ra, đề tài vẫn tồn tại một số hạn chế dựa trên phạm vi nghiên cứu:

• Phạm vi thử nghiệm của môi trường lab tập trung chủ yếu vào hệ quản trị cơ sở dữ liệu quan hệ MySQL, chưa mở rộng kịch bản kiểm thử trên các hệ quản trị cơ sở dữ liệu phổ biến khác như PostgreSQL, Oracle hay Microsoft SQL Server.
• Hệ thống lab được thiết kế phục vụ mục đích học tập và nghiên cứu trên môi trường cục bộ, chưa kiểm thử trên các mô hình kiến trúc phân tán microservices hoặc môi trường tải lớn.
• Đề tài tập trung chuyên sâu vào lỗ hổng SQL Injection, chưa nghiên cứu sâu các dạng lỗ hổng tiêm mã khác có thể xuất hiện trên GraphQL API như NoSQL Injection hoặc Command Injection.

Hướng nghiên cứu tiếp theo được xác định bao gồm việc mở rộng môi trường lab để hỗ trợ đa dạng các hệ quản trị cơ sở dữ liệu, xây dựng thêm kịch bản khai thác cho các lỗ hổng liên quan đến xác thực và phân quyền (Broken Object Level Authorization - BOLA), đồng thời phát triển các công cụ tự động hóa rà quét bảo mật chuyên biệt cho GraphQL API.

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho nhiều đối tượng trong lĩnh vực công nghệ thông tin và an toàn thông tin:

• Sinh viên chuyên ngành Công nghệ thông tin, An toàn thông tin, Kỹ thuật phần mềm: Tài liệu cung cấp kiến thức nền tảng về cấu trúc GraphQL và phương thức kiểm thử xâm nhập thực tế đối với ứng dụng web hiện đại.
• Giảng viên và cán bộ đào tạo: Môi trường lab được thiết kế trong đồ án có thể ứng dụng trực tiếp làm bài thực hành trong các học phần An toàn ứng dụng web hoặc Kiểm thử xâm nhập.
• Lập trình viên ứng dụng web (Backend Developers): Giúp nhận thức rõ các sai lầm trong việc xử lý dữ liệu đầu vào tại các hàm resolver, từ đó áp dụng các kỹ thuật lập trình an toàn khi tích hợp GraphQL API.

Các nội dung có giá trị tham khảo cao nhất trong đồ án gồm: phần phân tích chi tiết hệ thống kiểu và ngôn ngữ truy vấn GraphQL (Chương 1), cơ chế trích xuất lược đồ qua Introspection và phân loại các vector tấn công SQLi (Chương 2), cùng kịch bản cấu hình, khai thác thực nghiệm 5 kỹ thuật SQL Injection (Chương 3).

Câu hỏi thường gặp

1. Tại sao GraphQL API chỉ cần sử dụng một điểm cuối (endpoint) duy nhất thay vì nhiều điểm cuối như REST API?

Trong kiến trúc REST, mỗi tài nguyên hoặc chức năng thường gắn liền với một điểm cuối (endpoint) cụ thể (ví dụ: /users, /posts). Ngược lại, GraphQL sử dụng một điểm cuối duy nhất (phổ biến là /graphql). Máy khách gửi truy vấn mô tả chính xác các trường dữ liệu cần lấy trong phần thân yêu cầu (HTTP request body). Máy chủ GraphQL tiếp nhận chuỗi truy vấn này, phân tích dựa trên lược đồ (schema) và ủy quyền cho các hàm xử lý (resolver) tương ứng để gom dữ liệu trả về trong một đối tượng JSON duy nhất.

2. Lỗ hổng SQL Injection trong GraphQL API phát sinh từ đâu?

Bản thân công nghệ GraphQL không trực tiếp tương tác với cơ sở dữ liệu mà chỉ định nghĩa cấu trúc API và xác thực cú pháp truy vấn. Lỗ hổng SQL Injection phát sinh tại tầng triển khai ứng dụng, cụ thể là bên trong các hàm xử lý (resolver). Khi lập trình viên xây dựng các resolver sử dụng câu lệnh SQL động nối chuỗi trực tiếp với tham số đầu vào do người dùng cung cấp mà không kiểm tra hoặc tham số hóa truy vấn, kẻ tấn công có thể chèn mã SQL độc hại để thực thi trên cơ sở dữ liệu.

3. Báo cáo thực tế nào được đồ án trích dẫn để chứng minh nguy cơ SQL Injection trên GraphQL API?

Đồ án trích dẫn báo cáo lỗ hổng tại nền tảng HackerOne (mã báo cáo #435066 ngày 30/11/2018, đánh giá mức độ nghiêm trọng). Trong sự cố này, tham số embedded_submission_form_uuid tại điểm cuối /graphql bị lỗi SQL Injection, cho phép kẻ tấn công chèn payload dạng 1';SELECT 1;SELECT pg_sleep(5);-- để khai thác thành công theo kỹ thuật Time-based SQL Injection.

4. Kết quả độ trễ ghi nhận được khi thử nghiệm kỹ thuật Time-based SQL Injection trong đồ án là bao nhiêu?

Trong kịch bản thực nghiệm khai thác Time-based SQL Injection tại Chương 3, khi gửi truy vấn GraphQL chứa payload ép buộc cơ sở dữ liệu tạm dừng xử lý, thời gian máy chủ trả về phản hồi HTTP được tác giả ghi nhận là 3,4 giây, qua đó xác nhận lệnh chèn thời gian đã được thực thi thành công trên hệ quản trị cơ sở dữ liệu.

5. Kỹ thuật Out-of-band SQL Injection được thực nghiệm trên môi trường lab thông qua giao thức nào và nhằm lấy thông tin gì?

Kỹ thuật Out-of-band SQL Injection được thực hiện thông qua việc kích hoạt các yêu cầu truy vấn phân giải tên miền (DNS request) từ cơ sở dữ liệu hướng tới máy chủ do người kiểm thử kiểm soát. Thông qua yêu cầu DNS này, tác giả đã trích xuất thành công thông tin về phiên bản của hệ quản trị cơ sở dữ liệu MySQL mà môi trường lab đang vận hành.

Kết luận

Đồ án tốt nghiệp của sinh viên Phạm Hải Vũ đã hệ thống hóa toàn diện các khía cạnh lý thuyết của công nghệ GraphQL, đồng thời phân tích sâu sắc các nguy cơ an toàn thông tin liên quan đến lỗ hổng SQL Injection trong GraphQL API. Thông qua việc phân tích các sự cố thực tế và xây dựng thành công môi trường lab thực hành đa cấp độ bảo mật, tác giả đã kiểm chứng thực nghiệm đầy đủ 5 kỹ thuật khai thác SQL Injection (Error-based, Union-based, Boolean-based, Time-based và Out-of-band). Công trình cung cấp tài liệu nghiên cứu và công cụ thực nghiệm có giá trị thực tiễn cho công tác đào tạo an toàn thông tin và định hướng lập trình bảo mật cho các nhà phát triển web API.

Trích đoạn nội dung tài liệu

Chương I trình bày tổng quan về công nghệ GraphQL, bao gồm các mục như: lịch sử phát triển, các thành phan cua GraphQL. Đồng thời chương này phân tích wu điểm và nhược điểm của GraphQL so với phương thức giao tiếp API hiện có, cụ thể hơn là REST. Tổng quan về GraphQL 1. Giới thiệu GraphQL là một ngôn ngữ thao tác và truy van dữ liệu mã nguồn mở cho các API [1].

GraphQL không có gì liên quan với các dạng cơ sở dữ liệu nói chung hay các dạng cơ sở dit liệu dạng đồ thị như Neo4j nói riêng. Từ “Graph” xuất phát từ ý tưởng thu thập dit liệu trên lược đồ API (API graph) thông qua các trường và trường con, còn “OL” là viết tắt của ngôn ngữ truy van (query language). Chính vì vậy mà GraphQL có thể được sử dụng rất hiệu quả trong bất kỳ ngữ cảnh nào mà API cần được sử dụng. GraphQL được Facebook phát triển nội bộ vào năm 2012 và được phát hành rộng rãi vào năm 2015.

Vào ngày 7 tháng 11 năm 2018, dự án GraphQL đã được chuyên từ Facebook sang GraphQL Foundation mới được thành lập bởi hiệp hội thương mại công nghệ phi lợi nhuận Linux Foundation. Từ năm 2012, quá trình phát trién của GraphQL tuân theo một “timeline” trién do Lee Byron — tác giả của GraphQL đặt ra. Mục tiêu của Byron là làm cho GraphQL phô biến hơn trên các nền tang web. GraphQL cung cấp cho các lập trình viên một phương thức khác so với REST và các kiến trúc dịch vụ web khác để phát triển các web API.

Giống với các API sử dụng REST thông thường, các API sử dụng GraphQL cũng hoạt động theo mô hình máy khách-máy chủ. GraphQL cho phép máy khách (client) xác định cấu trúc của dữ liệu cần truy vấn khi gửi yêu cầu HTTP(HTTP request) lên máy chủ (server). Máy chủ sau đó sé trả về dữ liệu có cấu trúc tương ứng thông qua phản hồi HTTP(HTTP response). Từ đó sẽ ngăn chặn được việc có quá nhiều dữ liệu được trả về cho máy khách.

Lý do cho việc này đến từ tính linh hoạt và phong phú của các ngôn ngữ truy van cơ sở dit liệu như SQL. Hai tính chất này của các ngôn ngữ truy vấn cơ sở dữ liệu sẽ làm tăng thêm độ phức tạp không cần thiết đối với các API đơn giản. Hiện nay, GraphQL đã hỗ trợ rất nhiều các ngôn ngữ lập trình, bao gồm Haskell, Javascript, Perl, Python, Ruby, Java, C++, C#, Scala, Go, Rust, Elixir, Erlang, PHP, E, D va Clojure [2]. Lich sử phát triển của GraphQL GraphQL bắt đầu được nhen nhóm phát triển vào thời điểm xuất hiện sự chuyên dịch sang các thiết bị di động.

Đây là thời điểm mà chiến lược phát triển ứng dụng trên PHAM HAI VŨ - D17CQAT02-B 2 Dé án tot nghiệp các thiết bị của Facebook không khả thi do các vấn đề liên quan đến mức sử dụng mạng cao khi áp dung HTMLS trên các thiết bị đi động. Do đó, Facebook đã quyết định xây dựng lại các ứng dụng trên các thiết bị đi động từ đầu bằng cách sử dụng các công nghệ hoàn toàn mới. Van đề chính của Facebook khi triển khai ứng dụng trên các thiết bị di động nam ở tinh năng Bảng tin (News Feed). Đây là một chức năng có yêu cau rất phức tạp khi phải nó yêu cau rất nhiều thông tin như các bài đăng, tác giả của các bài đăng, nội dung bài đăng, danh sách các bình luận và những người đã thích bài đăng.

Mỗi bài đăng đều được kết nối, lồng vào hoặc đệ quy với nhau. Các API hiện tại không được thiết kế để cho phép các lập trình viên tạo ra tính năng Bảng tin với số lượng bài đăng phong phú trên các thiết bị đi động. Chúng không có tính chất phân cấp, không cho phép các lập trình viên chọn những gì họ cần và cũng không có khả năng hiển thị danh sách các bài đăng với nguồn cap dữ liệu không đồng nhất. Vào năm 2012, Facebook quyết định rằng họ cần phải xây dựng một API hoàn toàn mới cho chức năng News Feed dé có thể tiếp tục việc triển khai ứng dụng trên các thiết bị di động.

Day chính là lúc GraphQL bắt đầu được phát triển và vào tháng 8 năm 2012, ứng dụng Facebook cho iOS 5.0 đã được ra mắt cùng với công nghệ GraphQL mới. Nó cho phép các lập trình viên giảm mức sử dụng mang bang cách thay đổi phương pháp tìm nạp dữ liệu. Trong vòng chưa đến 2 năm tiếp theo, GraphQL đã được sử dụng trên phan lớn các chức năng khác của ứng dụng Facebook trên iOS. Lần đầu tiên Facebook công khai thông báo về GraphQL là tại hội nghị React.js Conf 2015 và ngay sau đó, họ công bố kế hoạch đưa GraphQL thành giải pháp mã nguồn mở.

Trên thực tế, trước đây các công ty khác như Netflix hay Coursera cũng đã nghiên cứu các ý tưởng khác nhau đề tạo nên phương pháp tương tác API hiệu quả hơn và cũng đã có một số thành quả nhất định. Coursera đã từng thử nghiệm một công nghệ tương tự GraphQL, cho phép máy khách yêu cầu chính xác các dữ liệu cần thiết. Netflix cũng đã cung cấp giải pháp mã nguồn mở của họ có tên Falcor. Tuy nhiên, sau khi GraphQL trở thành giải pháp mã nguồn mở, Coursera đã hoàn toàn hủy bỏ dự án thử nghiệm của họ và áp dụng GraphQL trên các sản phẩm của mình.

Tính đến nay, GraphQL đã được sử dụng trong sản phâm của rất nhiều các công ty công nghệ lớn như Github, Twitter hay Shopify [3]. PHAM HAI VŨ - D17CQAT02-B 3 Đồ án tot nghié Who's using GraphQL? bile by GraphQL HO nu ® BA Hình 1.1: Một số công ty dang sử dụng GraphQL. Kiến trúc triển khai GraphQL GraphQL được phát hành dưới dạng một đặc tả mô tả hoạt động của một máy chủ GraphQL (GraphQL server). Day là một tập hợp các nguyên tắc về cách xử lý các yêu cầu và phản hồi cũng như các giao thức được hỗ trợ, định dạng dit liệu có thể được máy chủ chấp nhận, định dạng của phản hồi do máy chủ trả vỀ,.

Dé gửi một truy vẫn đến máy chủ GraphQL, máy khách có thé sử dụng bat cứ giao thức mạng nào trong tầng giao vận miễn là giao thức đó khả dụng. Thông thường, các giao thức thường được sử dụng sẽ là TCP hoặc WebSocket. Một điều cần chú ý nữa, máy chủ GraphQL là độc lập với cơ sở dữ liệu vì vậy, lập trình viên có thé sử dụng nó với bất cứ dạng cơ sở đữ liệu nào. Như vậy, có thể thấy luồng hoạt động của mô hình máy khách-máy chủ trong GraphQL như sau: - May khách thực hiện gửi truy van GraphQL đến máy chủ thông qua các yêu cầu HTTP.

Các truy vấn này thường sẽ được gửi dưới dạng một chuỗi. - May chủ sẽ nhận yêu cầu HTTP và trích xuất chuỗi truy van. Sau đó, máy chủ xác thực và xử lý truy vấn GraphQL dựa theo cú pháp GraphQL mặc định và lược đồ GraphQL (GraphQL schema). - Giống với các máy chủ API khác, máy chủ GraphQL cũng thực hiện các lệnh gọi đến cơ sở dữ liệu hoặc các dịch vụ khác đề truy xuất dữ liệu được máy khách yêu cầu.

- _ Cuối cùng, máy chủ sẽ tổng hợp lai dit liệu và trả về cho máy khách dưới dạng một đối tượng JSON thông qua phan hồi HTTP. Một máy chủ GraphQL có thê được triển khai bằng một trong ba kiến trúc sau: máy chủ GraphQL kết nối trực tiếp với cơ sở dit liệu, máy chủ GraphQL tích hợp với các hệ thống sẵn có hoặc kiến trúc kết hợp từ 2 kiến trúc trên. Từng loại kiến trúc sẽ được trình bày chỉ tiết sau đây. PHAM HAI VŨ - D17CQAT02-B 4 Dé án tot nghiệp 1.

Máy chủ GraphQL kết nối trực tiếp với cơ sở dữ liệu Đây là dạng kiến trúc phô biến nhất cho các dự án không quá phức tạp về mặt hệ thông. Dé triển khai, lập trình viên chỉ cần một máy chủ web. Máy chủ web này sẽ dam nhiệm vai trò là máy chủ GraphQL lẫn vai trò là máy chủ cơ sở dữ liệu. Khi máy khách gửi truy vấn đến máy chủ GraphQL, nó sẽ tiến hành đọc truy vấn và tìm nạp dữ liệu từ cơ sở dữ liệu.

Qua trình này được gọi là thực thi truy vấn. Sau khi thực thi truy van, máy chủ sẽ trả về cho máy khách một phản hồi HTTP chứa dữ liệu mà máy khách yêu cầu. Với dạng kiến trúc này, GraphQL cũng sẽ không quan tâm đến loại cơ sở dữ liệu hoặc định dạng được sử dụng để lưu trữ dữ liệu. Điều này có nghĩa là lập trình viên có thé triển khai kiến trúc này với bất cứ loại cơ sở dữ liệu này, từ các dạng cơ sở dữ liệu quan hệ như MySQL cho đến các dạng cơ sở dữ liệu phi quan hệ như MongoDB.

{ Query } —————— HTTP POST 6-— Hình 1.2: Máy chủ GraphQL kết nối trực tiếp với cơ sở dit liệu Trong sơ đồ trên, có thê thấy rằng máy chủ GraphQL và cơ sở dữ liệu được tích hợp trên một web máy chủ duy nhất. Máy khách sẽ giao tiếp với Máy chủ GraphQL bằng cách gửi các truy vấn thông qua các yêu cầu HTTP. Máy chủ GraphQL sẽ xử lý yêu cau, trích xuất truy van sau đó lay dit liệu từ cơ sở dữ liệu và trả về cho máy khách thông qua phản hồi HTTP. Máy chủ GraphQL tích hợp với các hệ thống sẵn có Đây là dạng kiến trúc được sử dụng cho các dự án phức tạp về mặt hệ thống.

Các dự án này thường đòi hỏi kết nối với các các cơ sở hạ tầng và API sẵn có của doanh nghiệp. Những thành phan có thé đã được phát triển và sử dụng trong nhiều năm, khiến cho việc triển khai các dự án mới trên chúng gặp rất nhiều khó khăn. Trong dạng kiến trúc này, máy chủ GraphQL có thé được sử dụng dé hợp nhất các “microservice”, co sở hạ tầng và các API khác trong hệ thống hiện tại. Điều này sẽ giúp giấu sự phức tạp của các bước tìm nạp dữ liệu.

Bằng cách này, máy khách sẽ chỉ cần thực hiện giao tiếp với máy chủ GraphQL đề lấy các dữ liệu cần thiết. Sau đó, máy chủ GraphQL sẽ chịu trách nhiệm tìm nạp dữ liệu từ các hệ thong được tích hợp và trả về cho máy khách. PHAM HAI VŨ - D17CQAT02-B 5 Đồ án tot nghié Với dạng kiên trúc này, máy chủ GraphQL cũng sẽ không quan tâm đên các nguôn dữ liệu mà nó cân dé tìm nạp các dữ liệu cân thiét nham thực hiện một truy van. YY epost POST GraphQL — |_ Server RESTful API Hình 1.