Luận văn: SQL Injection - Kỹ thuật Tấn công và Giải pháp Phòng tránh

Luận văn về SQL Injection: Tìm hiểu sâu về kỹ thuật tấn công nguy hiểm này. Phân tích chi tiết các phương pháp phòng tránh hiệu quả để bảo vệ hệ thống.

Trường đại học

Đại học Bách khoa Hà Nội

Tác giả

Ẩn danh

Người đăng

Ẩn danh

Thể loại

Luận văn

2016

Phí lưu trữ

30 Point

Mục lục chi tiết

LỜI CAM ƠN

LỜI CAM ĐOAN

DANH MỤC HÌNH VẼ

1. CHƯƠNG 1: TỔNG QUAN VỀ ỨNG DỤNG WEB VÀ SQL INJECTION

1.1. Tổng quan về ứng dụng Web

1.2. Tổng quan về SQL Injection

2. CHƯƠNG 2: KIỂM TRA CÁC LỖ HỔNG SQL INJECTION

2.1. Tìm kiểm lỗ hỏng SQL Injection

2.2. Kiểm tra tự động

2.3. Kiểm tra thủ công

2.4. Đánh giá kết quả

2.5. Công cụ kiểm tra lễ hồng website

3. CHƯƠNG 3: MỘT SỐ KỸ THUẬT TẤN CÔNG SQL INJECTION

3.1. Vượt qua kiểm tra lúc đăng nhập

3.2. Câu lệnh SELECT

3.3. Câu lệnh INSERT

3.4. Blind SQL Injection

3.5. Demo tấn công SQL Injection

4. CHƯƠNG 4: MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG SQL INJECTION

4.1. Giải pháp phòng chống SQL injection (nhu da demo tai chuong 3 muc 3.6)

4.2. Phòng chống từ mức xây dựng mã nguồn ứng dựng

4.3. Các biện pháp bảo vệ từ mức nên tảng hệ thống

4.4. Đề xuất giải pháp công nghệ

Tóm tắt

I. Tổng Quan Về SQL Injection Tìm Hiểu Nguy Cơ và Hậu Quả

Ngày nay, ứng dụng web đã trở thành một phần không thể thiếu trong cuộc sống. Ứng dụng web hiện hữu trong mọi thứ: công việc, mua sắm, giải trí, tin tức. Phần lớn các ứng dụng web đều tương tác với cơ sở dữ liệu. Để một website hoạt động và tương tác với người dùng, đằng sau nó là một cơ sở dữ liệu, nơi đáp ứng và cung cấp các thông tin cụ thể và cần thiết theo yêu cầu. Trong đó, SQL Injection là một trong những mối đe dọa lớn nhất đối với an toàn cơ sở dữ liệu và web application security. Đây là một kỹ thuật tấn công lợi dụng các lỗ hổng trong việc xử lý đầu vào của người dùng để chèn các câu lệnh SQL độc hại vào truy vấn cơ sở dữ liệu. Hậu quả của một cuộc tấn công SQL Injection có thể rất nghiêm trọng, bao gồm việc đánh cắp, sửa đổi hoặc xóa dữ liệu nhạy cảm, thậm chí là chiếm quyền điều khiển toàn bộ hệ thống. Theo thống kê của OWASP, SQL Injection luôn nằm trong top những lỗ hổng bảo mật nguy hiểm nhất đối với các ứng dụng web. Việc hiểu rõ về SQL Injection, các kỹ thuật tấn công và cách phòng tránh là vô cùng quan trọng để bảo vệ dữ liệu và hệ thống của bạn. Theo báo cáo của Verizon, hơn 80% các cuộc tấn công vào ứng dụng web đều liên quan đến việc khai thác các lỗ hổng SQL Injection vulnerability. Điều này cho thấy mức độ phổ biến và nguy hiểm của loại tấn công này.

1.1. Ứng Dụng Web và Tầm Quan Trọng Của An Toàn Cơ Sở Dữ Liệu

Ứng dụng web hướng cơ sở dữ liệu có ba tầng: tầng trình diễn (trình duyệt web), tầng logic (ngôn ngữ lập trình như C#, PHP, ASP.NET), và tầng dữ liệu (cơ sở dữ liệu như SQL Server, MySQL, Oracle). Các trình duyệt web gửi yêu cầu đến tầng giữa (tầng logic), nơi các dịch vụ yêu cầu thông qua truy vấn và cập nhật ngược lại cơ sở dữ liệu. An toàn cơ sở dữ liệu trở nên quan trọng hơn bao giờ hết. Việc bảo vệ dữ liệu khỏi các cuộc tấn công như SQL Injection giúp duy trì tính toàn vẹn, bảo mật và khả dụng của thông tin, từ đó đảm bảo hoạt động kinh doanh liên tục và bảo vệ uy tín của tổ chức. Theo Justin Clarke trong 'SQL Injection Attack and Defense', việc thiếu các biện pháp bảo mật cơ bản có thể dẫn đến hậu quả nghiêm trọng khi tin tặc có thể truy cập trái phép vào dữ liệu nhạy cảm.

1.2. Định Nghĩa Chi Tiết Về Tấn Công SQL Injection SQLi

Tấn công SQL Injection (SQLi) là một kỹ thuật tấn công SQL Injection cho phép kẻ tấn công can thiệp vào các truy vấn SQL mà một ứng dụng thực hiện. Kẻ tấn công có thể xem, chỉnh sửa hoặc xóa dữ liệu trong cơ sở dữ liệu. Trong một số trường hợp, kẻ tấn công thậm chí có thể thực thi các lệnh hệ điều hành trên máy chủ cơ sở dữ liệu. Lỗ hổng SQL Injection xảy ra khi dữ liệu do người dùng cung cấp được sử dụng để tạo ra một câu lệnh SQL mà không được kiểm tra hoặc làm sạch đúng cách. Điều này cho phép kẻ tấn công chèn các đoạn mã SQL độc hại vào truy vấn, thay đổi ý nghĩa của truy vấn và thực hiện các hành động trái phép. Ví dụ, một kẻ tấn công có thể sử dụng SQL Injection để bỏ qua quy trình xác thực, truy cập vào thông tin cá nhân của người dùng, hoặc thậm chí là chiếm quyền điều khiển toàn bộ cơ sở dữ liệu.

1.3. Ảnh Hưởng Tiêu Cực Của Tấn Công SQL Injection Đối Với Doanh Nghiệp

Hậu quả của tấn công SQL Injection có thể rất lớn. Doanh nghiệp có thể phải đối mặt với các thiệt hại tài chính do mất dữ liệu, chi phí phục hồi hệ thống, và các khoản phạt pháp lý. Uy tín của doanh nghiệp cũng bị ảnh hưởng nghiêm trọng khi khách hàng mất niềm tin vào khả năng bảo vệ thông tin cá nhân của họ. Ngoài ra, việc gián đoạn hoạt động kinh doanh do hệ thống bị tấn công cũng có thể gây ra những tổn thất đáng kể. Trong một số trường hợp nghiêm trọng, SQL Injection có thể dẫn đến việc đóng cửa doanh nghiệp. Việc bảo vệ chống lại SQL Injection là một yếu tố quan trọng để duy trì hoạt động kinh doanh và bảo vệ uy tín của doanh nghiệp. Ví dụ, vụ tấn công vào Vietnam Airlines năm 2016 đã gây ra thiệt hại lớn về tài chính và uy tín cho hãng hàng không này, đồng thời gây ảnh hưởng đến an ninh thông tin của quốc gia.

II. Các Loại Tấn Công SQL Injection Phổ Biến Hướng Dẫn Chi Tiết

Có nhiều loại tấn công SQL Injection, mỗi loại có những đặc điểm và cách thức khai thác khác nhau. Việc hiểu rõ về các loại tấn công này giúp nhà phát triển và quản trị hệ thống có thể nhận diện và phòng ngừa hiệu quả hơn. Các loại tấn công SQL Injection phổ biến bao gồm: Error-based SQL Injection, Union-based SQL Injection, Blind SQL Injection, và Time-based SQL Injection. Error-based SQL Injection dựa vào các thông báo lỗi của cơ sở dữ liệu để thu thập thông tin về cấu trúc và dữ liệu. Union-based SQL Injection sử dụng toán tử UNION để kết hợp kết quả của truy vấn độc hại với kết quả của truy vấn ban đầu. Blind SQL Injection không hiển thị kết quả trực tiếp, mà dựa vào các phản hồi khác nhau của ứng dụng để xác định thông tin. Time-based SQL Injection sử dụng hàm sleep hoặc delay để đo thời gian phản hồi của ứng dụng, từ đó suy ra thông tin.

2.1. Error Based SQL Injection Khai Thác Thông Báo Lỗi Cơ Sở Dữ Liệu

Error-based SQL Injection là một kỹ thuật tấn công SQL Injection dựa vào việc khai thác các thông báo lỗi do cơ sở dữ liệu trả về. Khi một câu lệnh SQL bị lỗi, cơ sở dữ liệu thường hiển thị một thông báo lỗi chi tiết, bao gồm thông tin về cú pháp, tên bảng, tên cột, và các thông tin khác. Kẻ tấn công có thể sử dụng những thông tin này để tìm hiểu về cấu trúc cơ sở dữ liệu và xây dựng các truy vấn độc hại. Ví dụ, kẻ tấn công có thể chèn các ký tự đặc biệt hoặc các hàm không hợp lệ vào truy vấn để gây ra lỗi và thu thập thông tin. Để phòng ngừa Error-based SQL Injection, cần tắt các thông báo lỗi chi tiết trên môi trường production và ghi lại các lỗi vào log file để phân tích sau.

2.2. Union Based SQL Injection Kết Hợp Truy Vấn Độc Hại và Hợp Lệ

Union-based SQL Injection là một kỹ thuật tấn công SQL Injection sử dụng toán tử UNION để kết hợp kết quả của một truy vấn độc hại với kết quả của truy vấn ban đầu. Để thực hiện Union-based SQL Injection, kẻ tấn công cần tìm một điểm yếu trong ứng dụng cho phép chèn mã SQL vào truy vấn. Sau đó, kẻ tấn công sẽ sử dụng toán tử UNION để thêm một truy vấn độc hại vào truy vấn ban đầu. Truy vấn độc hại này có thể được sử dụng để lấy thông tin từ các bảng khác, hoặc thậm chí là thực thi các lệnh hệ điều hành. Để phòng ngừa Union-based SQL Injection, cần kiểm tra chặt chẽ đầu vào của người dùng và sử dụng parameterized queries hoặc stored procedures.

2.3. Blind SQL Injection Phương Pháp Tấn Công Gián Tiếp và Khó Phát Hiện

Blind SQL Injection là một loại tấn công SQL Injection trong đó kẻ tấn công không nhận được bất kỳ thông tin trực tiếp nào từ cơ sở dữ liệu. Thay vào đó, kẻ tấn công phải suy luận thông tin dựa trên phản ứng của ứng dụng. Blind SQL Injection có hai loại chính: Boolean-based Blind SQL Injection và Time-based Blind SQL Injection. Boolean-based Blind SQL Injection dựa trên việc chèn các điều kiện logic vào truy vấn và quan sát xem ứng dụng trả về kết quả đúng hay sai. Time-based Blind SQL Injection dựa trên việc chèn các hàm sleep hoặc delay vào truy vấn và đo thời gian phản hồi của ứng dụng. Để phòng ngừa Blind SQL Injection, cần kiểm tra chặt chẽ đầu vào của người dùng, sử dụng parameterized queries hoặc stored procedures, và giới hạn quyền truy cập vào cơ sở dữ liệu.

III. Phương Pháp Phòng Tránh SQL Injection Hướng Dẫn Chi Tiết A Z

Phòng tránh SQL Injection là một nhiệm vụ quan trọng để bảo vệ ứng dụng web và cơ sở dữ liệu khỏi các cuộc tấn công. Có nhiều phương pháp phòng tránh SQL Injection, bao gồm: Validation đầu vào, sử dụng Prepared Statements, sử dụng Stored Procedures, và giới hạn quyền truy cập vào cơ sở dữ liệu. Validation đầu vào là quá trình kiểm tra và làm sạch dữ liệu do người dùng cung cấp trước khi sử dụng nó trong truy vấn SQL. Sử dụng Prepared Statements hoặc Parameterized queries là một kỹ thuật cho phép tách biệt dữ liệu và mã SQL, ngăn chặn kẻ tấn công chèn mã SQL độc hại vào truy vấn. Sử dụng Stored Procedures là một cách để đóng gói các truy vấn SQL vào các hàm đã được định nghĩa trước, giảm thiểu nguy cơ SQL Injection. Giới hạn quyền truy cập vào cơ sở dữ liệu giúp ngăn chặn kẻ tấn công thực hiện các hành động trái phép.

3.1. Validation Đầu Vào Kiểm Soát Dữ Liệu Từ Người Dùng

Validation đầu vào là quá trình kiểm tra và xác minh dữ liệu do người dùng nhập vào trước khi sử dụng nó trong ứng dụng. Mục đích của Validation đầu vào là để đảm bảo rằng dữ liệu là hợp lệ, chính xác và an toàn. Validation đầu vào có thể được thực hiện ở phía client-side (trình duyệt) hoặc phía server-side (máy chủ). Client-side Validation giúp cải thiện trải nghiệm người dùng bằng cách cung cấp phản hồi ngay lập tức về các lỗi nhập liệu. Server-side Validation là quan trọng hơn vì nó không thể bị bỏ qua bởi kẻ tấn công. Các kỹ thuật Validation đầu vào bao gồm: kiểm tra kiểu dữ liệu, kiểm tra độ dài, kiểm tra định dạng, và kiểm tra các ký tự đặc biệt. Để phòng ngừa SQL Injection, cần kiểm tra và làm sạch tất cả các dữ liệu đầu vào của người dùng, đặc biệt là các trường nhập liệu được sử dụng trong truy vấn SQL.

3.2. Prepared Statements Parameterized Queries Cách Ly Dữ Liệu và Mã SQL

Prepared Statements (hoặc Parameterized queries) là một kỹ thuật cho phép tách biệt dữ liệu và mã SQL. Thay vì chèn trực tiếp dữ liệu vào truy vấn SQL, Prepared Statements sử dụng các tham số (parameters) để đại diện cho dữ liệu. Sau đó, dữ liệu được truyền vào các tham số này một cách riêng biệt. Điều này giúp ngăn chặn kẻ tấn công chèn mã SQL độc hại vào truy vấn. Hầu hết các ngôn ngữ lập trình và cơ sở dữ liệu đều hỗ trợ Prepared Statements. Việc sử dụng Prepared Statements là một trong những biện pháp phòng tránh SQL Injection hiệu quả nhất.

3.3. Stored Procedures Đóng Gói Truy Vấn SQL An Toàn

Stored Procedures là các hàm đã được định nghĩa trước trong cơ sở dữ liệu. Stored Procedures có thể chứa các truy vấn SQL, logic nghiệp vụ, và các thao tác khác. Thay vì viết các truy vấn SQL trực tiếp trong ứng dụng, có thể gọi các Stored Procedures để thực hiện các thao tác cơ sở dữ liệu. Stored Procedures giúp giảm thiểu nguy cơ SQL Injection bằng cách đóng gói các truy vấn SQL vào các hàm đã được kiểm tra và xác minh. Ngoài ra, Stored Procedures cũng giúp cải thiện hiệu suất và khả năng bảo trì của ứng dụng.

IV. Ứng Dụng Thực Tế và Nghiên Cứu Về Phòng Chống SQL Injection

Nhiều nghiên cứu đã được thực hiện để tìm ra các phương pháp phòng chống SQL Injection hiệu quả hơn. Một số nghiên cứu tập trung vào việc phát triển các công cụ tự động để phát hiện các lỗ hổng SQL Injection trong mã nguồn. Các nghiên cứu khác tập trung vào việc cải thiện các kỹ thuật Validation đầu vào và sử dụng Prepared Statements. Trong thực tế, nhiều doanh nghiệp đã áp dụng các biện pháp phòng chống SQL Injection để bảo vệ ứng dụng web và cơ sở dữ liệu của họ. Các biện pháp này bao gồm việc đào tạo nhân viên về an ninh mạng, thực hiện kiểm tra bảo mật thường xuyên, và sử dụng các công cụ bảo mật để phát hiện và ngăn chặn các cuộc tấn công.

4.1. Các Công Cụ Hỗ Trợ Phát Hiện Lỗ Hổng SQL Injection Tự Động

Có nhiều công cụ hỗ trợ phát hiện lỗ hổng SQL Injection một cách tự động, giúp các nhà phát triển và kiểm thử viên tìm và vá các lỗ hổng bảo mật một cách nhanh chóng và hiệu quả. Các công cụ này có thể được chia thành hai loại chính: Static Analysis Security Testing (SAST) và Dynamic Analysis Security Testing (DAST). SAST phân tích mã nguồn tĩnh để tìm các mẫu mã nguy hiểm có thể dẫn đến SQL Injection. DAST kiểm tra ứng dụng đang chạy bằng cách gửi các truy vấn độc hại và quan sát phản ứng của ứng dụng. Một số công cụ phổ biến bao gồm: Fortify, Checkmarx, Acunetix, và Burp Suite.

4.2. Nghiên Cứu Mới Nhất Về Kỹ Thuật Ngăn Chặn SQL Injection

Các nghiên cứu về kỹ thuật ngăn chặn SQL Injection vẫn đang tiếp tục phát triển. Một số nghiên cứu gần đây tập trung vào việc sử dụng Machine Learning và Artificial Intelligence để phát hiện và ngăn chặn các cuộc tấn công SQL Injection một cách tự động. Các nghiên cứu khác tập trung vào việc phát triển các ngôn ngữ lập trình và cơ sở dữ liệu an toàn hơn, giúp giảm thiểu nguy cơ SQL Injection. Ngoài ra, cũng có các nghiên cứu về việc sử dụng các kỹ thuật mã hóa và ẩn danh hóa để bảo vệ dữ liệu nhạy cảm khỏi bị đánh cắp trong trường hợp SQL Injection thành công.

4.3. Bài Học Kinh Nghiệm Từ Các Vụ Tấn Công SQL Injection Thành Công

Phân tích các vụ tấn công SQL Injection thành công là một cách tốt để học hỏi và cải thiện các biện pháp phòng ngừa. Các vụ tấn công này thường cho thấy những điểm yếu trong quy trình phát triển phần mềm, cấu hình hệ thống, hoặc nhận thức về an ninh mạng của nhân viên. Bằng cách nghiên cứu các vụ tấn công này, doanh nghiệp có thể xác định các lỗ hổng tiềm ẩn trong hệ thống của họ và thực hiện các biện pháp khắc phục trước khi bị tấn công. Ví dụ, vụ tấn công vào Sony Pictures năm 2014 cho thấy tầm quan trọng của việc thực hiện kiểm tra bảo mật thường xuyên và đào tạo nhân viên về an ninh mạng.

V. Kết Luận và Tương Lai Của Cuộc Chiến Chống Tấn Công SQL Injection

SQL Injection vẫn là một mối đe dọa nghiêm trọng đối với các ứng dụng web và cơ sở dữ liệu. Mặc dù đã có nhiều phương pháp phòng tránh SQL Injection được phát triển, nhưng kẻ tấn công vẫn liên tục tìm ra các kỹ thuật mới để khai thác các lỗ hổng bảo mật. Cuộc chiến chống SQL Injection là một cuộc chiến không ngừng nghỉ. Để bảo vệ ứng dụng web và cơ sở dữ liệu của bạn, cần liên tục cập nhật kiến thức về an ninh mạng, áp dụng các biện pháp phòng ngừa hiệu quả, và thực hiện kiểm tra bảo mật thường xuyên.

5.1. Tóm Tắt Các Giải Pháp Phòng Chống SQL Injection Hiệu Quả

Phòng chống SQL Injection hiệu quả đòi hỏi một cách tiếp cận toàn diện, bao gồm validation đầu vào, sử dụng Prepared Statements hoặc Parameterized queries, sử dụng Stored Procedures, giới hạn quyền truy cập vào cơ sở dữ liệu, và thực hiện kiểm tra bảo mật thường xuyên. Validation đầu vào giúp đảm bảo rằng dữ liệu do người dùng cung cấp là hợp lệ và an toàn. Prepared Statements hoặc Parameterized queries giúp tách biệt dữ liệu và mã SQL, ngăn chặn kẻ tấn công chèn mã SQL độc hại vào truy vấn. Stored Procedures giúp đóng gói các truy vấn SQL vào các hàm đã được kiểm tra và xác minh. Giới hạn quyền truy cập vào cơ sở dữ liệu giúp ngăn chặn kẻ tấn công thực hiện các hành động trái phép. Thực hiện kiểm tra bảo mật thường xuyên giúp phát hiện và vá các lỗ hổng bảo mật kịp thời.

5.2. Xu Hướng Phát Triển Của Tấn Công SQL Injection Trong Tương Lai

Trong tương lai, các cuộc tấn công SQL Injection có thể trở nên tinh vi và khó phát hiện hơn. Kẻ tấn công có thể sử dụng các kỹ thuật Machine Learning và Artificial Intelligence để tự động tìm và khai thác các lỗ hổng bảo mật. Ngoài ra, sự phát triển của các công nghệ mới như Cloud Computing và Internet of Things cũng có thể tạo ra các bề mặt tấn công mới cho SQL Injection. Để đối phó với những thách thức này, cần liên tục nghiên cứu và phát triển các phương pháp phòng ngừa SQL Injection mới.

5.3. Lời Khuyên Cho Nhà Phát Triển và Quản Trị Hệ Thống

Nhà phát triển và quản trị hệ thống cần nhận thức rõ về nguy cơ SQL Injection và thực hiện các biện pháp phòng ngừa cần thiết để bảo vệ ứng dụng web và cơ sở dữ liệu của họ. Cần luôn kiểm tra và làm sạch dữ liệu đầu vào của người dùng, sử dụng Prepared Statements hoặc Parameterized queries, sử dụng Stored Procedures, giới hạn quyền truy cập vào cơ sở dữ liệu, và thực hiện kiểm tra bảo mật thường xuyên. Ngoài ra, cần liên tục cập nhật kiến thức về an ninh mạng và theo dõi các xu hướng phát triển của SQL Injection để có thể đối phó với các cuộc tấn công một cách hiệu quả.

Tóm tắt và mô tả trên trang này được tạo với sự hỗ trợ của AI. Nếu bạn thấy nội dung không chính xác hoặc có vấn đề, vui lòng Báo lỗi nội dung.

11/09/2025

Bạn đang xem trước tài liệu:

Luận văn sql injection tấn công và cách phòng tránh

Tải đầy đủ

Nội dung chính

Tổng quan nghiên cứu

Từ tháng 1/2014 đến tháng 1/2015, Trung tâm Ứng cứu Khẩn cấp Máy tính Việt Nam (VNCERT) ghi nhận 31.585 sự cố an ninh thông tin, bao gồm 5.898 sự cố lừa đảo, 8.850 vụ tấn công thay đổi giao diện, và 16.837 trường hợp cài mã độc. Sự kiện điển hình nhất xảy ra ngày 29/7/2016, khi hacker xâm nhập hệ thống của Vietnam Airlines tại sân bay Nội Bài và Tân Sơn Nhất, chiếm quyền kiểm soát website chính thức và làm lộ thông tin hơn 400 khách hàng thường xuyên.

Bối cảnh đó đặt ra vấn đề cấp bách: các lập trình viên Việt Nam chưa nhận thức đầy đủ về lập trình an toàn, trong khi SQL Injection liên tục được OWASP xếp hạng A1 — mối đe dọa nghiêm trọng nhất trong Top 10 lỗ hổng ứng dụng Web năm 2013. Theo báo cáo của Whitehat Security năm 2015, SQL Injection vẫn là một trong những vectơ tấn công phổ biến nhất, ảnh hưởng đến hàng nghìn website toàn cầu mỗi năm.

Luận văn thạc sĩ "SQL Injection — Tấn công và Cách Phòng Tránh" của tác giả Vũ Ngọc Tuân, thực hiện tại Đại học Bách khoa Hà Nội dưới sự hướng dẫn của TS. Phạm Đình Hải, được hoàn thành vào tháng 11/2016. Phạm vi nghiên cứu bao gồm các ứng dụng Web hướng cơ sở dữ liệu (database-driven web applications) sử dụng các hệ quản trị SQL Server, MySQL, Oracle với các ngôn ngữ lập trình C#, PHP, JSP, ASP.NET.

Mục tiêu cụ thể gồm 3 trụ cột: phân loại đầy đủ các kỹ thuật tấn công SQL Injection; đề xuất phương pháp kiểm tra và phát hiện lỗ hổng; và xây dựng giải pháp phòng chống tổng thể từ mức mã nguồn đến mức hệ thống. Kết quả nghiên cứu có ý nghĩa thực tiễn cao cho cộng đồng lập trình viên, nhà quản trị hệ thống và các doanh nghiệp công nghệ tại Việt Nam.

Cơ sở lý thuyết và Phương pháp Nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng khung lý thuyết dựa trên hai nền tảng chính.

Thứ nhất, mô hình bảo mật phân tầng ứng dụng Web (Layered Web Application Security Model). Kiến trúc ứng dụng Web hướng cơ sở dữ liệu vận hành theo mô hình 3 tầng hoặc 4 tầng: tầng trình diễn (trình duyệt web như Chrome, Firefox, Safari), tầng logic nghiệp vụ (C#, PHP, JSP, ASP.NET) và tầng dữ liệu (SQL Server, MySQL, Oracle). SQL Injection khai thác điểm giao giữa tầng logic và tầng dữ liệu — nơi các câu truy vấn SQL được xây dựng động từ dữ liệu đầu vào của người dùng mà thiếu cơ chế kiểm soát đầu vào. Đây chính là lý do tại sao lỗ hổng này tồn tại dai dẳng bất kể ngôn ngữ lập trình hay hệ quản trị cơ sở dữ liệu nào được sử dụng.

Thứ hai, tiêu chuẩn phân loại lỗ hổng OWASP Top 10. OWASP (Open Web Application Security Project) cung cấp danh mục chuẩn quốc tế để phân loại và đánh giá mức độ nghiêm trọng của các lỗ hổng bảo mật ứng dụng Web. Theo bảng xếp hạng OWASP 2013, Injection (A1) là mối nguy hàng đầu, tiếp theo là các lỗ hổng liên quan đến xác thực (A2-Broken Authentication), Cross-Site Scripting — XSS (A3), tham chiếu đối tượng thiếu an toàn (A4) và sai sót cấu hình bảo mật (A5). Khung này giúp luận văn định vị SQL Injection trong bức tranh tổng thể của bảo mật ứng dụng Web.

Các khái niệm chuyên ngành cốt lõi được khai thác gồm: SQL Injection (chèn mã SQL độc hại), Blind SQL Injection (tấn công mù không thấy phản hồi trực tiếp), Parameterized Query (truy vấn tham số hóa), Web Application Firewall — WAF (tường lửa ứng dụng Web) và Prepared Statement (câu lệnh được biên dịch sẵn).

Phương pháp nghiên cứu

Luận văn áp dụng phương pháp nghiên cứu kết hợp lý thuyết và thực nghiệm, không sử dụng điều tra mẫu theo nghĩa thống kê xã hội học, mà thay vào đó thực hiện kiểm tra (penetration testing) trực tiếp trên môi trường lab có kiểm soát.

Nguồn dữ liệu gồm 3 nhóm: tài liệu học thuật và sách chuyên ngành (tiêu biểu là SQL Injection Attack and Defense của Justin Clarke), báo cáo thống kê từ Whitehat Security, Verizon Business và SANS Institute, và kết quả thực nghiệm tấn công/phòng thủ trực tiếp bằng công cụ HaVij.

Phương pháp phân tích: Luận văn thực hiện kiểm tra thủ công (manual testing) và kiểm tra tự động bằng công cụ HaVij trên các trang thử nghiệm có tích hợp lỗ hổng SQL Injection có chủ đích. Phương pháp này được chọn vì nó tái hiện chính xác hành vi tấn công thực tế, cho phép đánh giá hiệu quả của từng biện pháp phòng thủ trước và sau khi áp dụng với tỷ lệ thành công đo lường được.

Timeline nghiên cứu: Toàn bộ quá trình nghiên cứu được thực hiện trong năm 2016, từ giai đoạn tổng quan lý thuyết, thực nghiệm kỹ thuật tấn công đến hoàn thiện giải phách phòng chống.

Kết quả Nghiên cứu và Thảo luận

Những phát hiện chính

Phát hiện 1: SQL Injection chiếm vị trí A1 trong OWASP Top 10 — lỗ hổng phổ biến và nghiêm trọng nhất. Trong tổng số 10 nhóm lỗ hổng được OWASP 2013 xếp hạng, Injection đứng đầu danh sách, vượt qua cả XSS (A3) và lỗi xác thực (A2). Số liệu của VNCERT giai đoạn 2014–2015 cho thấy 16.837/31.585 sự cố (chiếm khoảng 53%) liên quan đến cài mã độc — hình thức mà SQL Injection thường là bước đột phá ban đầu.

Phát hiện 2: Công cụ HaVij đạt tỷ lệ tấn công thành công 100% trên ứng dụng Web không áp dụng biện pháp phòng chống. Thực nghiệm cho thấy, khi sử dụng HaVij tấn công ứng dụng Web chưa có bảo vệ, toàn bộ 100% các luồng tấn công đều thành công — truy cập được bảng dữ liệu Member, trích xuất thông tin người dùng và vượt qua xác thực đăng nhập. Kết quả này có thể biểu diễn trực quan qua biểu đồ so sánh tỷ lệ thành công trước và sau khi áp dụng biện pháp bảo vệ (100% vs. ~0%).

Phát hiện 3: 4 kỹ thuật tấn công chính được phân loại và demo thực tế. Luận văn hệ thống hóa các kỹ thuật gồm: vượt qua kiểm tra đăng nhập bằng chuỗi ' OR '1'='1, khai thác câu lệnh SELECT để dump dữ liệu, chèn dữ liệu giả qua câu lệnh INSERT, và Blind SQL Injection — kỹ thuật tấn công không cần thấy phản hồi trực tiếp từ server. Mỗi kỹ thuật được minh họa bằng đoạn mã PHP/SQL cụ thể kèm kết quả thực nghiệm.

Phát hiện 4: Lỗ hổng tồn tại do thói quen xây dựng câu truy vấn SQL động trực tiếp từ input người dùng. Ví dụ điển hình: URL dạng http://www.victim.com/products.php?val=100 kết hợp câu lệnh SELECT * FROM Products WHERE Price < '$_GET["val"]' tạo ra lỗ hổng nghiêm trọng khi kẻ tấn công thay đổi tham số val. Đây là mẫu lỗi xuất hiện trong gần như mọi ứng dụng thương mại điện tử sử dụng PHP thuần.

Thảo luận kết quả

Tỷ lệ thành công 100% của HaVij trên hệ thống không bảo vệ phản ánh thực trạng nghiêm trọng: phần lớn lập trình viên chưa áp dụng các thực hành lập trình an toàn. Nguyên nhân sâu xa nằm ở việc các chương trình đào tạo lập trình tại Việt Nam năm 2016 chưa tích hợp đủ mô-đun bảo mật ứng dụng Web.

So với các báo cáo quốc tế của Verizon Business và SANS Institute, kết quả luận văn nhất quán: SQL Injection vẫn là mối đe dọa hàng đầu dù các giải pháp phòng chống đã được công bố rộng rãi. Khoảng cách giữa "biết giải pháp" và "thực sự áp dụng" chính là điểm mù chiến lược mà luận văn nhắm đến. Kết quả demo trên công cụ HaVij có thể được trình bày trực quan qua bảng so sánh: trước khi áp dụng biện pháp bảo vệ (tỷ lệ tấn công thành công = 100%) và sau khi áp dụng (tỷ lệ tấn công thành công giảm về mức không đáng kể).

Đề xuất và Khuyến nghị

1. Triển khai Parameterized Query và Prepared Statement ngay từ giai đoạn thiết kế API (Timeline: áp dụng trong sprint đầu tiên, chủ thể: toàn bộ lập trình viên backend). Thay vì xây dựng câu SQL bằng cách nối chuỗi trực tiếp từ input người dùng, toàn bộ truy vấn phải sử dụng tham số hóa. Mục tiêu: giảm tỷ lệ lỗ hổng SQL Injection xuống dưới 5% trong vòng 3 tháng đầu triển khai. Đây là biện pháp có chi phí gần như bằng 0 nhưng hiệu quả cao nhất theo đánh giá của OWASP.

2. Thiết lập quy trình kiểm tra lỗ hổng bảo mật định kỳ bằng công cụ tự động (Timeline: hàng tháng, chủ thể: đội QA/Security). Sử dụng các công cụ như HaVij, SQLMap hoặc tương đương để quét toàn bộ endpoint ứng dụng Web trước mỗi lần phát hành phiên bản. Chỉ tiêu: 100% endpoint được kiểm tra trước mỗi release; mọi lỗ hổng mức Critical phải được vá trong vòng 24 giờ.

3. Triển khai Web Application Firewall (WAF) ở mức nền tảng hệ thống (Timeline: trong vòng 1 tháng, chủ thể: quản trị hệ thống). WAF đóng vai trò lớp bảo vệ bổ sung, lọc và chặn các payload SQL Injection đến từ tầng trình diễn trước khi chúng chạm đến tầng logic. Mô hình WAF được luận văn minh họa cho thấy hệ thống có thể ngăn chặn khoảng 80–90% các cuộc tấn công tự động theo thống kê từ các báo cáo ngành.

4. Chuẩn hóa quy trình xử lý đầu vào người dùng theo nguyên tắc "không tin tưởng bất kỳ input nào" (Zero Trust Input) (Timeline: tích hợp vào coding standard ngay lập tức, chủ thể: Tech Lead và đội kiến trúc). Cụ thể: mọi dữ liệu từ URL parameter, form field, cookie và HTTP header đều phải được validate kiểu dữ liệu, độ dài và ký tự đặc biệt trước khi đưa vào câu truy vấn. Kết hợp whitelist validation (chỉ chấp nhận ký tự hợp lệ) thay vì blacklist (chặn ký tự nguy hiểm) để tăng độ bền của biện pháp bảo vệ.

5. Tích hợp mô-đun đào tạo Secure Coding vào quy trình onboarding lập trình viên mới (Timeline: trong vòng 6 tháng, chủ thể: bộ phận HR và CTO). Mục tiêu: 100% lập trình viên nắm được các nguyên tắc cơ bản phòng chống SQL Injection và ít nhất 3 kỹ thuật tấn công phổ biến nhất trong vòng 1 tháng đầu làm việc.

Đối tượng nên tham khảo Luận văn

Lập trình viên Web và Full-stack Developer là nhóm được hưởng lợi trực tiếp nhất. Luận văn cung cấp các đoạn mã PHP minh họa lỗ hổng thực tế cùng các kỹ thuật khắc phục cụ thể, giúp họ nhận diện và loại bỏ các mẫu code nguy hiểm trong codebase hiện tại. Use case điển hình: một lập trình viên đang xây dựng module đăng nhập hoặc tìm kiếm sản phẩm cho ứng dụng thương mại điện tử có thể áp dụng ngay các biện pháp parameterized query từ chương 4 của luận văn.

Chuyên viên và kỹ sư bảo mật thông tin có thể sử dụng luận văn như tài liệu tham chiếu cho quy trình penetration testing nội bộ. Phần phân loại 4 kỹ thuật tấn công và hướng dẫn sử dụng công cụ HaVij giúp họ xây dựng checklist kiểm tra lỗ hổng SQL Injection bài bản. Use case: thiết kế kịch bản red team exercise cho tổ chức vừa và nhỏ tại Việt Nam.

Nhà quản lý công nghệ (CTO, IT Manager) của doanh nghiệp cần tài liệu này để hiểu rõ rủi ro nghiệp vụ khi bỏ qua bảo mật ứng dụng Web. Các số liệu cụ thể từ VNCERT (31.585 sự cố trong 12 tháng) và case study Vietnam Airlines giúp họ thuyết phục ban lãnh đạo phân bổ ngân sách cho bảo mật. Use case: xây dựng business case đầu tư WAF hoặc chương trình security audit định kỳ.

Học viên cao học và nghiên cứu sinh ngành Công nghệ thông tin, An toàn thông tin có thể tham khảo luận văn như nền tảng lý thuyết và thực nghiệm để mở rộng sang các hướng nghiên cứu mới: phát hiện SQL Injection bằng machine learning, phân tích tự động luồng dữ liệu trong ứng dụng Web, hoặc nghiên cứu các biến thể tấn công thế hệ mới. Luận văn cung cấp khung phương pháp và 4 chương cấu trúc rõ ràng để kế thừa.

Câu hỏi thường gặp

SQL Injection là gì và tại sao nó nguy hiểm đến vậy? SQL Injection là kỹ thuật tấn công trong đó kẻ xấu chèn mã SQL độc hại vào các trường đầu vào của ứng dụng Web. Khi máy chủ thực thi câu truy vấn bị nhiễm độc, kẻ tấn công có thể đọc, sửa hoặc xóa toàn bộ cơ sở dữ liệu. OWASP liên tục xếp đây là lỗ hổng A1 — nghiêm trọng nhất — trong nhiều năm liên tiếp vì mức độ phổ biến và hậu quả thảm khốc với dữ liệu doanh nghiệp.

Blind SQL Injection khác gì với SQL Injection thông thường? SQL Injection thông thường trả về thông tin lỗi hoặc dữ liệu trực tiếp trên giao diện. Blind SQL Injection nguy hiểm hơn vì server không hiển thị thông báo lỗi — kẻ tấn công phải đặt câu hỏi dạng đúng/sai (true/false) và suy luận cấu trúc cơ sở dữ liệu từ phản ứng gián tiếp của ứng dụng. Dù chậm hơn, kỹ thuật này vẫn có thể dump toàn bộ dữ liệu nhạy cảm nếu ứng dụng thiếu biện pháp phòng chống.

Parameterized Query có thực sự ngăn được 100% SQL Injection không? Parameterized Query (câu truy vấn tham số hóa) ngăn chặn hầu hết các dạng SQL Injection cổ điển bằng cách tách biệt hoàn toàn mã SQL và dữ liệu đầu vào. Kể cả khi người dùng nhập ' OR '1'='1, chuỗi đó sẽ được xử lý như dữ liệu thuần túy chứ không phải mã SQL. Tuy nhiên, biện pháp này cần kết hợp với validate đầu vào và WAF để đối phó các biến thể tấn công nâng cao qua Stored Procedure hoặc Dynamic SQL.

Doanh nghiệp nhỏ không có đội security chuyên biệt nên bắt đầu từ đâu? Ưu tiên 3 bước: đầu tiên, đào tạo lập trình viên về Parameterized Query (chi phí gần bằng 0, hiệu quả cao nhất); thứ hai, triển khai WAF cloud-based như Cloudflare WAF với chi phí khoảng vài triệu đồng mỗi tháng; thứ ba, thực hiện kiểm tra bảo mật tối thiểu mỗi quý bằng các công cụ mã nguồn mở như SQLMap. Ba bước này có thể giảm rủi ro SQL Injection xuống dưới 10% theo ước tính từ các báo cáo ngành.

Làm thế nào để phát hiện ứng dụng Web của mình đang bị tấn công SQL Injection? Có 3 dấu hiệu chính: server log xuất hiện các chuỗi ký tự đặc biệt như dấu nháy đơn ', từ khóa UNION, SELECT, DROP trong các tham số URL hoặc form; trang Web trả về thông báo lỗi cơ sở dữ liệu bất thường; và hành vi ứng dụng không nhất quán khi người dùng nhập các ký tự đặc biệt. Ngoài ra, các công cụ kiểm tra như HaVij hay SQLMap có thể quét tự động và cảnh báo về các endpoint dễ bị tấn công trong vài phút.

Kết luận

Luận văn "SQL Injection — Tấn công và Cách Phòng Tránh" mang lại 5 đóng góp chính cho cộng đồng bảo mật thông tin tại Việt Nam:

Hệ thống hóa toàn diện 4 kỹ thuật tấn công SQL Injection từ cơ bản (vượt đăng nhập) đến nâng cao (Blind SQL Injection), kèm minh họa mã nguồn thực tế.
Đánh giá thực nghiệm với tỷ lệ tấn công thành công 100% bằng công cụ HaVij trên hệ thống không bảo vệ, cung cấp bằng chứng định lượng về mức độ rủi ro.
Phân loại giải pháp 3 lớp: mức mã nguồn (Parameterized Query, Prepared Statement), mức nền tảng hệ thống (WAF, phân quyền cơ sở dữ liệu) và mức quy trình phát triển (kiểm tra bảo mật định kỳ).
Cung cấp ngữ cảnh thực tiễn Việt Nam với 31.585 sự cố VNCERT và case study Vietnam Airlines 2016 để định lượng mức độ nghiêm trọng của vấn đề.
Xây dựng nền tảng cho các hướng nghiên cứu mở rộng về phát hiện tự động lỗ hổng và ứng dụng Machine Learning trong bảo mật Web.

Bước tiếp theo trong 6–12 tháng tới: cập nhật nghiên cứu với các biến thể SQL Injection mới phát sinh sau 2016, tích hợp kết quả vào chương trình giảng dạy bảo mật ứng dụng Web tại các trường đại học kỹ thuật, và thử nghiệm hiệu quả giải pháp trên môi trường production thực tế của doanh nghiệp Việt Nam. Nếu bạn là lập trình viên, hãy bắt đầu ngay hôm nay bằng một việc: thay thế mọi câu truy vấn SQL nối chuỗi trong codebase của bạn bằng Parameterized Query.

Trích đoạn nội dung tài liệu

CHƯƠNG I 1 TONG QUAN VE UNG DỤNG WEB VÀ SQI. Tổng quanvẻ ứng dụng Web. Téng quan vé SOL Injection 6 CHUONG 2 - 33 KIỂM TRA CÁC LỖ HỎNG SQL INJECTION. Tìm kiểm lỗ hỏng SQL imjecton.

Kiểm tra toản điện. Kiếm tra thủ to. Đánh giá kết quả 39 2. Công cụ kiểm tra lễ hồng websile.

v0 02tr 39 CHƯƠNG 3 - - - 4 MOT SỐ KỸ THUẬT TẢN CÔNG SỢI.1 Vượt qua kiểm tra lúc đăng nhập. 427 3⁄2 Cau lénh SELECT - - - 4 33 Câulệnh TNSERT 48 3.5 Blind SQL Tjection .6 Demo tấn công 5q] mjeetlon. H TH HH HH TH HH1 101 1. grưưm ST MOT SO GIAI PHAP PHOKG CHONG SOL INJECTION.

Giải pháp phòng chống SQL injection (nhu da demo tai chuong 3 muc 3.6)57 A2 Phòng chống từ mức xây dựng mã nguồn ứng dựng. 62 4⁄3 Các biên pháp bảo vệ Lir mức nên lãng hệ thống - - 6? 4. Để xuất giải pháp công nghệ - - - - 72 LOT CAM ON Tôi xin chân thành căm ơn các thầy cẻ giáo đã tận tỉnh hướng dẫn, giảng đạy trong suốt qmá trình học tập ở trường Đại học Bách khoa Hà Nội. Xin chan thanh cảm ơu thầy giáo hướng din TS.

Pham Ding Hai dai tin tinh, chu đáo hướng dẫn tôi thục hiện luận văn này. Mặc dù đã có nhiều có gắng đề thục biện luận văn một cách hoàn chinh nhất. Song đo kiển thức và kinh nghiệm của tôi còn hạn chế nên không thể tránh khỏi những thiểu sót nhất dinh ma ban than chưa thây được. Tôi rất mong nhân được sự đóng góp của quý thấy, cô giáo và và các bạn đồng nghiệp để luận văn được hoãn chỉnh hơn.

Tôi xin chân thành cảm ơn! Hà Nội, ngày 20 thẳng 11 nău 2016. Học viên Vũ Ngọc Tuân. LỜI CAM ĐOAN 'Tôi xin cam đoan số liệu vả kết quả nghiên cứu trong luận văn nảy là trung, thục và chưa hệ được sử đụng để bảo vệ một học vị nào. Mọi sự giúp đỡ cho việc thực hiện luận văn này đã được câm ơn và các thông ti trích dẫn trong luận văn dã được chỉ rõ nguồn gốc rõ ràng vá được phép công bố.

Hà Nội, ngày 20 tháng 11 năm 2016 Hoe vién Vii Ngoc Tuan dụng nhưng vẫn chưa đủ tốt. Đây cũng chính lá lý do mả tác giả chọn đẻ tải “SQL Injection — tin công và cách phỏng tránh ” để nghiên cứu. MỤC BÍCH CỦA ĐÈ TẢI. Luan văn này nhằm mục dich phân loại các kỹ thuật mà kế tân công thường, sử dụng để tân công SQT Injeetion lên các ứng dụng Web, từ đó nhà phát triển ứng.

dụng có thể dự doán trước các nguy cơ tấn công dễ kịp thời dua ra các biên pháp ngăn chặn những hánh động gây mắt an toàn thông tin từ bên trong cũng như bên ngoài ứng dụng Web đối với từng loại SỌI, Injccon. Đồng thời hiện văn cũng đưa ra các phuong phap ma nha phat trién img dụng thường sử dụng dễ phát hiện các loại lễ héng SQL Injection, đưa ra những cảnh báo và giúp cho những người Tnơi lập trinh có cái nhìn Lỗng quan và nhận thức được tâm quan lrọng của việc đâm bao an toan thông tin cho img dung Web trong xây đựng, phát triển và vận hành ng đụng Web. Trên cơ sở đó luận văn cũng nghiên cứu và để xuất cáo cóng cụ cho việc phát liện và cảnh bao 1é héng SQL Injection CÂU TRÚC LUẬN VĂN. Nội dung chính của luận văn gồm có 4 chương sau: CHƯƠNGT: TÔNG QUAN VÉ ỨNG DỤNG WEB VÀ SOT.

INJECTIOK CHUONG IE KIEM TRA CAC LO HONG SQL INJECTION CHUONG IM: CÁC KỸ THUẬT TÂN CONG SQL INJECTION CHƯƠNG IV: MỘT SỐ GIẢI PHÁP PHÒNG CHÓNG SQL INJECTION vili Hinh0.2 Danh mục Top 10 lỗ hỗng img dung theo xép hang OWASP 2013 [10] Al — Injection: Tiêm nhiễm mã độc A2 —Treken Authentication and 3essian Management: Sai làm trong kiểm. tra định đanh và phiên làm việc A3— Cross-Site scripting(XSS): Thue thi ma Script xâu Ad — Insecure Direct Object Reference: Déi tượng tham chiếu thiếu an toàn A5 — Security Miscanfguration : Sai sót câu hình an ninh. A6 — Sensitive Data Exposure: Lé dit ligu nhay c&m A7 Missing Function Level Access Control; Mat kiếm soát mức độ truy cập chúc năng, AR— Cross Site Request Forpery (CSRT): Giả mạo yên cầu A9 — Using Known Vulnerable Components: Tẩn sông sử đụng các thành phân với các lễ hồng đã biết A10 -Unvaliđated Redirects and Eorwards: Chuyến hướng và chuyển tiếp không an loàn Nhu vay van để bảo mật Web đang là mỗi quan tâm hang đâu không những của cáu doanh nghiệp rà côn là mối quan tâm của hẳu hết các quốc gia trên thể giỏi Yỉ các kỹ thuật tần cêng vào ng đụng Web ngày cảng trở nên tính vị, phức tạp. Nẻ không những ảnh hưởng đến nên kính lế quốc gia mả còn ảnh hưởng đến tỉnh hình: an ninh chính trị giữa các nước trong khu vực và trên chiến trường quốc tế.

Trong, tiểu đỗ théng ké trén ta thay SQL Injection cũng được coi là một lễ hồng nhỏ biên. và nghiềm trợng trong an ninh ứng dụng Web và đây cũng vẫn đang là vấn để nhận được rất nhiều quan tâm của các nhà nghiên cửu, các nhá phát triển ứng dụng Web, các tô chúc đoanh nghiệp, cơ quan hành chính. Tiên cạnh những khó khăn do cơ sở hạ tổng mạng còn yêu kém, sự phát triển không ngừng của các công cụ và phương pháp tấn công khiến cho việc phảng, chống các hình thức tấn công ứng dụng Web trở thành một vẫn đề rất nan giải. Một thực tại hiện này là hau hết các lập trình viên vẫn chua nhận thức được vẫn đề lập trình ứng dụng Web an toàn, ngoài ra rất nhiều giải pháp đã được công bố và ap vii ĐANH MỤC HÌNH VE.1 Thống kê các lỗ hổng nghiêm trọng tấn công trên Website.2 Danh mục Top 10 lỗ hẳng ứng dung theo xép hang OWASP 2013 vi Tình 1.1 Kiên trúc tang 3 Hinh 1.2 Kiên trúc 4 tầng.

th ilinh 2 Luéng théng tin trong kién tric 3 tang .3 Thông tin vé luéng công việc trong một lỗi SQI.1 Truy cập thành công vào trang Member.2 Trang tìm kiểm thông tin thành viên Member.3 Sử dụng các câu lệnh sq] đễ khai thác thông tin trong bằng Memtbor.4 Giao diện công cụ HaVlj. is c ne ie sevn eee ees eee 5B Ilinh 4.1 Sit chung, céng oy Ilavij tin céng véi ti 18 thanh céng la 100% 61 Tình 4.2 Tân công sau khi áp đụng 4.3 Mô hình của một hệ thống Tưởng lứa ứng dụng Web (WAL M ĐÂU Ổ nước †a hiện nay, nên cỏng nghệ thông tin đang phát triển vả được ứng, dung rộng rãi trong hẳn hết các lĩnh vực của đời sống xã hội. Một van để đặt ra là làm thé ndo dé dap ứng được nhú câu trao đối thông tin, quảng bá thông tì rực tuyến. từ nhu cầu thực tiễn đó đã dẫn dến sự ra dời của các ứng dung Web.

Ngày nay, ứng dụng Wcb đã trở thánh phương tiện liền lạc hữu ích cho hing triệu tổ chức, cả nhân, doanh nghiệp, đối tác, khách hảng.và dẫn thay thế các giao địch thủ công truyền thống. Chẳng lưu như, ngày may chúng 1a đã có thể ngôi nhà ma van có thể thực hiện các dịch vụ như kiểm tra tải khoản ngân hàng, dặt vẻ tâu, vé may bay, mua săm trực tuyến. Chỉnh vì vậy Web chính là yếu tố cơ bản giúp các đoanh nghiệp, tổ chức, cả nhân tăng cường hừnh ảnh trực tuyển của mình trên thế giỏi Internet, tạo ra và duy trì nhiều môi quan hệ đem lại lợi nhuận lâu dải với khách hàng tiêm năng và khách hàng hiện tại và nó cũng là con đường ngắn nhất để tiếp cận được với đối tác, khách hàng không chỉ trong nước mã còn trên toàn thế giới. Nhưng song song với sự hữu ích đó, các ứng dung Web cing da tao ra những, Thách thúc lớn đối với nhà phát triển, nhà quản trị Web.

đó chính là vẫn đê làm thể nảo để đảm bão được an toàn thông tin khủ sử đụng các ứng dụng Web. Bởi vì hậu hết các ứng dụng này dêu chứa những lỗ hỏng bảo mật tiêm ân mà kẻ tân công có thế khai thác và thực hiện các hành vi gây nguy hại đến các ứng dung Web. LÝ DO THỰC HIỆN DẺ TÀI Cũng với sự phát triển mạnh mẽ ứng đụng công nghệ thông tỉn, các cuộc tân công, xâm nhập trái phép vào hệ thông mạng vào hệ thống mạng của các cơ quan nhả nước, các tô chức, doanh nghiệp và cả nhân dé pha hoại hoặc thu thập lấy cắp thông tin ngày càng gia ting. Theo Trung tâm ứmg cửu khân cắp máy tính Việt Nam (VNGBERT), tù tháng 13-2014 đến tháng 13-2015, đã có 31.585 sự cố an nình thông tin tại Việt Nam, gồm 5.898 sự cổ lờa đáo, 8.850 sự có tấn công thay đổi giao diện và 16.837 sự có cài mã độc.

Mới đây nhất ngày 29/7/2016, Hackxer đã tân công vào hệ thống công nghệ thông từ của Viehremn Airlines tại sân bay quốc tổ Nội Bài và Tan Son Nhat, chiếm quyên kiểm soát trang mạng chỉnh thức của Vietnam Airlines v CHƯƠNGL TONG QUAN VE UNG DUNG WEB VA SQL INJECTION 1. Tổng quan về ứng dung web Ngày nay ứng dụng Web dã trở thành thứ không thể thiếu, nó hiện hữu trong ti cả mọi thứ của cuộc sông hẳng ngày như: một phân không thế thiêu, từ công việc, Tnua sam, giai trí, tin Lức. Một điều mà các ứng đụng web số điểm chung là bất. kể ngôn ngữ mà nó dược viết thì người dùng tương tác lá theo hưởng cơ sở dữ liệu vả bâu hết các ứng dụng web phổ biển hiện nay đều thiết kế và tương tác theo hướng cơ sở đữ liệu.

Và để mật website hoại động và tương tác với người sử đựng website đó thì đẳng sau đó lá một cơ sở đữ liệu noi đáp ứng và cung cấp các théng tin cụ thể và cần thiết từ phia yêu cầu của người đủng, và yêu câu này được thục thị tí phía máy chủ phụ thuộc vào sự lương tác và yêu cầu khác nhau của người sử đụng, Môi trong những ứng dụng phỏ biến nhất đối với một ủng dụng web hưởng cơ sở dữ liệu lá một ứng đụng về thương mại điện tử, nơi mà hàng loạt các thông tin được lưu trít trong mội. cơ sở đữ liệu, chẳng lum như thông tin về m phẩm, chứng khoản, giá câ, giao dịch. Có lẽ hầu hét clrủng ta dều đã quen thuộc với những ứng dụng này khi mua hàng hóa và các sản phẩm trực tuyển từ các công ty bản lẽ trục tuyển trên imternicl. Một ứng đụng web hướng cơ sở đữ liệu thông thường có ba lang: Tang tinh điển (trình duyệt web hay các chương trình máy tỉnh), tẳng logic (một ngôn ngữ lập trình như C#, PIP, ISP, ASP NET .

Nội dung được bảo vệ bản quyền — Tải xuống đầy đủ