Stacked Queries SQL Injection là gì? Làm sao để ngăn chặn?Link to heading

Stacked Queries SQL Injection - kỹ thuật tấn công tinh vi cho phép kẻ tấn công chèn và thực thi nhiều câu lệnh SQL trong một lần gửi truy vấn đến cơ sở dữ liệu. Đây là mối nguy hiểm thường bị bỏ qua nhưng có thể gây ra hậu quả nghiêm trọng nếu hệ thống không được bảo vệ đúng cách. Trong bài viết này, chúng ta sẽ cùng phân tích cách thức hoạt động, cách phát hiện và các biện pháp bảo mật cần thiết để ngăn chặn loại tấn công này ngay từ đầu nhé!

Stacked Queries SQL Injection là gì?Link to heading

Stacked Queries SQL Injection là một hình thức tấn công SQL Injection cho phép kẻ xấu thực thi nhiều câu lệnh SQL trong một truy vấn duy nhất. Kỹ thuật này tận dụng khả năng của một số hệ quản trị cơ sở dữ liệu có thể xử lý nhiều truy vấn trong cùng một yêu cầu, được phân tách bằng dấu chấm phẩy (;) hoặc các ký tự phân tách khác.

Truy vấn đầu tiên có thể là hợp lệ, trong khi các truy vấn tiếp theo được kẻ tấn công chèn vào để thực hiện hành vi độc hại. Các truy vấn bổ sung này có thể dùng để thay đổi dữ liệu, lấy thông tin nhạy cảm hoặc thực thi các lệnh quản trị hệ thống. Cuộc tấn công xảy ra khi đầu vào từ người dùng không được kiểm tra hoặc lọc đúng cách, cho phép đoạn mã SQL độc hại được thực thi.

Ví dụ, một kẻ tấn công có thể gửi đoạn đầu vào như sau:

' OR 1=1; DROP TABLE users; --

Trong trường hợp này, truy vấn đầu tiên ' OR 1=1 có thể được dùng để vượt qua xác thực hoặc kiểm tra đầu vào và truy vấn thứ hai DROP TABLE users sẽ được thực thi nhằm xóa bảng người dùng. Dấu chấm phẩy (;) đóng vai trò phân tách giữa hai truy vấn, cho phép kẻ tấn công chạy nhiều lệnh trong một yêu cầu duy nhất.

Cách thức hoạt động của Stacked Queries SQL InjectionLink to heading

Stacked Queries SQL Injection thường xảy ra khi một ứng dụng không kiểm tra và xử lý đầu vào của người dùng một cách đúng đắn trước khi đưa vào truy vấn SQL. Chẳng hạn, các ứng dụng web dễ bị tấn công có thể nối trực tiếp dữ liệu đầu vào từ người dùng vào câu lệnh SQL mà không loại bỏ hoặc xử lý các ký tự đặc biệt như dấu chấm phẩy (;).

Lỗ hổng này tạo điều kiện cho kẻ tấn công chèn mã SQL tùy ý, thậm chí có thể thực thi nhiều truy vấn trong một lần gửi. Trong một truy vấn dễ bị tấn công, dữ liệu đầu vào từ người dùng có thể được chèn trực tiếp vào câu lệnh SQL như sau:

SELECT * FROM users WHERE username = 'user_input' AND password = 'user_input';

Nếu kẻ tấn công nhập như sau:

' OR 1=1; --

Truy vấn sẽ biến thành:

SELECT * FROM users WHERE username = '' OR 1=1; -- ' AND password = '';

Dấu chấm phẩy (;) cho phép kẻ tấn công nối thêm một truy vấn thứ hai, có thể là bất kỳ câu lệnh SQL hợp lệ nào, chẳng hạn như DROP, UPDATE, hoặc INSERT. Ký hiệu -- bắt đầu một chú thích trong SQL, khiến phần còn lại của truy vấn gốc bị bỏ qua hoàn toàn.

Ví dụ:

Truy vấn gốc:

SELECT * FROM products WHERE product_id = 'user_input';

Dữ liệu đầu vào của kẻ tấn công:

1; DROP TABLE products; --

Truy vấn sau khi bị chèn mã độc:

SELECT * FROM products WHERE product_id = '1'; DROP TABLE products; --';

Tại đây, truy vấn đầu tiên là hợp lệ, trả về sản phẩm có product_id bằng 1, trong khi truy vấn thứ hai sẽ xóa toàn bộ bảng products.

Rủi ro khi bị tấn công Stacked Queries SQL InjectionLink to heading

Các rủi ro liên quan đến tấn công stacked queries SQL injection là rất nghiêm trọng. Bằng cách khai thác một ứng dụng có lỗ hổng, kẻ tấn công có thể thực hiện các hành vi sau:

Xóa hoặc sửa đổi dữ liệu: Các truy vấn độc hại có thể được tạo ra để xóa bảng, cập nhật bản ghi hoặc thậm chí chèn dữ liệu giả mạo vào cơ sở dữ liệu.
Vượt qua xác thực: Kẻ tấn công có thể tạo truy vấn giả mạo để đăng nhập với tư cách người dùng khác bằng cách thao túng logic của câu truy vấn đăng nhập.
Chiếm quyền quản trị: Một số truy vấn đặc biệt có thể cấp cho kẻ tấn công quyền truy cập vào các cài đặt hệ thống quan trọng hoặc leo thang đặc quyền để kiểm soát toàn bộ hệ thống.
Trích xuất thông tin nhạy cảm: Kẻ tấn công có thể sử dụng stacked queries để truy xuất thông tin đăng nhập, dữ liệu cá nhân hoặc các thông tin bí mật khác từ cơ sở dữ liệu.

Những rủi ro này có thể khiến tổ chức đối mặt với các vụ rò rỉ dữ liệu nghiêm trọng, tổn thất tài chính lớn và thiệt hại về uy tín.

Cách phát hiện Stacked Queries SQL InjectionLink to heading

Để phát hiện các lỗ hổng stacked queries SQL injection, bạn nên chú ý các điểm sau:

Tìm các đầu vào người dùng chưa được kiểm tra: Những đầu vào từ người dùng được đưa trực tiếp vào câu lệnh SQL mà không qua kiểm tra hoặc làm sạch dữ liệu là mục tiêu dễ bị tấn công nhất
Kiểm tra việc sử dụng dấu chấm phẩy (;): Xem xét liệu ứng dụng có cho phép người dùng nhập dấu chấm phẩy hay không, vì đây là ký tự được dùng để phân tách nhiều truy vấn SQL trong một yêu cầu.
Kiểm thử bảo mật ứng dụng web thủ công: Thử gửi các đầu vào có chứa dấu chấm phẩy và cố gắng thực thi nhiều truy vấn SQL trong một lần gửi. Nếu xuất hiện lỗi cơ sở dữ liệu hoặc hành vi bất thường, đó có thể là dấu hiệu của lỗ hổng.
Sử dụng công cụ tự động: Dùng các công cụ kiểm tra SQL injection để tự động dò tìm và kiểm thử lỗ hổng stacked queries.
Giám sát lỗi từ cơ sở dữ liệu: Các lỗi không được xử lý (như lỗi cú pháp SQL) có thể tiết lộ sự tồn tại của lỗ hổng SQL injection, bao gồm cả dạng stacked queries.

>>> Xem thêm: Check SQL Injection: Phát hiện & ngăn chặn các mối đe dọa

Hướng dẫn phòng ngừa Stacked Queries SQL InjectionLink to heading

Để phòng tránh tấn công stacked queries SQL injection, hãy triển khai các biện pháp bảo mật sau:

Kiểm tra và làm sạch đầu vào: Đảm bảo mọi dữ liệu do người dùng nhập đều được kiểm tra hợp lệ và làm sạch đúng cách. Điều này bao gồm việc từ chối hoặc xử lý các ký tự đặc biệt như dấu chấm phẩy (;), dấu nháy (‘, ") và chú thích (--).
Sử dụng Prepared Statements: Áp dụng các câu lệnh chuẩn hóa với tham số ràng buộc để đảm bảo dữ liệu người dùng được xử lý như dữ liệu thông thường, không phải mã thực thi. Cách làm này giúp giảm thiểu rủi ro từ các cuộc tấn công injection.
Dùng Stored Procedures: Khi có thể, hãy sử dụng stored procedures thay vì tạo câu lệnh SQL một cách động. Stored procedures thường an toàn hơn vì chúng được định nghĩa sẵn và không phụ thuộc vào việc nối chuỗi dữ liệu đầu vào từ người dùng.
Giới hạn quyền truy cập của tài khoản cơ sở dữ liệu: Đảm bảo tài khoản kết nối đến cơ sở dữ liệu từ ứng dụng web chỉ có những quyền cần thiết tối thiểu. Điều này giúp hạn chế hậu quả nếu một cuộc tấn công xảy ra, ngăn không cho kẻ tấn công thực hiện các hành vi nguy hiểm.
Kiểm thử bảo mật định kỳ: Thực hiện kiểm thử xâm nhập và đánh giá bảo mật định kỳ, quét mã độc để phát hiện sớm các lỗ hổng, bao gồm cả SQL injection, trong ứng dụng web.

Kết luậnLink to heading

Stacked Queries SQL Injection là một trong những kỹ thuật tấn công nguy hiểm nhất nếu ứng dụng web không được bảo vệ đúng cách. Việc hiểu rõ cơ chế hoạt động, dấu hiệu nhận biết và áp dụng các biện pháp phòng chống phù hợp là điều cần thiết để bảo vệ dữ liệu và người dùng của bạn. Hãy kiểm tra hệ thống thường xuyên để đảm bảo không còn lỗ hổng bảo mật nào tồn tại âm thầm gây rủi ro cho doanh nghiệp bạn.

Bạn thấy bài viết này hữu ích? Những bài tiếp theo còn thực tế và giá trị hơn nữa! Xem thêm trên Blog của System443 nào!

Stacked Queries SQL Injection là gì? Làm sao để ngăn chặn?