Đang tải... (xem toàn văn)
luận văn về SQL injection - tấn công và cách phòng tránh
Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 1 Lời cảm ơn Lời đầu tiên em muốn gửi là lời biết ơn chân thành tới thày Nguyễn Hải Châu. Trong suốt thời gian thực hiện khóa luận thày đã tạo điều kiện cho em về thời gian và những sự giúp đỡ quý báu về kiến thức, sự chỉ dẫn, định hướng và tài liệu tham khảo quý báu. Và sau đó em muốn gửi lời biết ơn chân thành nhất tới toàn thể các thày cô trong tr ường. Các thày cô là những người có kiến thức sâu rộng, nhiệt tình với sinh viên, và trên hết đó là các thày cô luôn là tấm gương sáng về nghị lực, lòng say mê khoa học, và sự chính trực cho chúng em. Những lời biết ơn thân thương nhất con xin kính gửi tới bố mẹ. Bố mẹ đã cho con cả quá khứ hiện tại và tương lai. Cám ơn những người bạn tốt trong tập thể K51CC, những người bạn đã cùng chia sẻ nh ững niềm vui, nỗi buồn trong suốt quãng đời sinh viên của tôi. Kỉ niệm về các bạn là những kỉ niệm đẹp nhất của tôi thời sinh viên trên giảng đường đại học. Cuối cùng em xin kính chúc các thày cô và toàn thể các bạn sinh viên trường Đại học Công nghệ một sức khỏe dồi dào, đạt được những thành công trên con đường học tập và nghiên cứu khoa học. Chúc trường ta sẽ sớm trở thành ngọn cờ đầu c ủa giáo dục nước nhà và Quốc tế. Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 2 Mục lục Lời cảm ơn 1 Chương 1. Đặt vấn đề . 6 1.1. Đặc trưng của ứng dụng sử dụng cơ sở dữ liệu 6 1.2. SQL Injection và tính nghiêm trọng của vấn đề an ninh cơ sở dữ liệu . 7 1.2.1. Khái niệm SQL Injection: 7 1.2.2. SQL Injection và vấn đề an ninh cơ sở dữ liệu. . 8 Chương 2. SQL Injection và các cách tấn công phổ biến 12 2.1. Nhận diện điểm yếu SQL injection trong ứng dụng Web 12 2.1.1. Thăm dò dựa trên phản hồi 12 2.1.2. Cơ chế sinh truy vấn SQL bên trong ứng dụng và các phương pháp chèn truy vấn SQL 15 2.2. Các phương pháp tấn công phổ biến . 18 2.2.1. Tấn công khai thác dữ liệu thông qua toán tử UNION . 18 2.2.2. Khai thác thông qua các câu lệnh điều kiện . 24 2.2.3. Blind SQL Injection – phương thức tấn công nâng cao 27 2.2.4. Vấn đề qua mặt các bộ lọc tham số đầu vào 38 2.2.5. Một số phương pháp qua mặt bộ lọc của tường lửa Web 43 Chương 3. Phòng chống SQL Injection 49 3.1. Phòng chống từ mức xây dựng mã nguồn ứng dụng . 49 3.1.1. Làm sạch dữ liệu đầu vào 49 3.1.2. Xây dựng truy vấn theo mô hình tham số hóa 52 3.1.3. Chuẩn hóa dữ liệu 60 3.1.4. Mô hình thiết kế mã nguồn tổng quát . 61 3.2. Các biện pháp bảo vệ từ mức nền tảng hệ thống 65 3.2.1. Các biện pháp bảo vệ tức thời . 65 3.2.2. Các biện pháp bảo vệ database . 69 3.3. Đề xuất một số giải pháp 70 Phụ lục: . 72 Cấu hình ModSecurity phòng chống SQL Injection . 72 Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 3 1. Cài đặt . 72 2. Cấu hình . 74 2.1. Cấu hình tổng quát 75 2.2. Cấu trúc các luật . 78 Tài liệu tham khảo . 92 Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 4 Tóm tắt nội dung Theo các báo cáo về an ninh mạng gần đây, như của Whitehat Security (1) hay trên trang Verizon Business (2) , Sans Institute (3) , … thì đều cho thấy mức độ phát triển nhanh chóng, tính nghiêm trọng của các lỗ hổng bảo mật và sự quan tâm chưa đúng mức của các tổ chức tới vấn đề này. SQL Injection là một vấn đề an ninh ứng dụng Web được nhấn mạnh trong các báo cáo trên. Khóa luận này có tên “SQL Injection – tấn công và cách phòng tránh”, nhằm mục đích trình bày những hình thái cơ bản của các cuộc tấn công SQL Injection lên các ứng dụng Web, từ đó rút ra một mô hình kèm theo các khuyến nghị cho vi ệc phát triển ứng dụng Web an toàn. Nội dung khóa luận sẽ được trình bày sẽ xoay quanh ba nội dung chính. Thứ nhất là nguồn gốc hình thành các điểm yếu SQL Injection trong mã nguồn ứng dụng và cách nhận biết. Thứ hai là các phương pháp được sử dụng để thăm dò, khai thác, lợi dụng các điểm yếu này để tiến hành tấn công vào ứng dụng web. Thứ ba là các khuyến nghị trong việc xây dựng ứng dụng Web, kèm theo đó là đề xu ất mô hình phát triển ứng dụng Web an toàn. ‐‐‐‐‐ (1): http://www.whitehatsec.com/home/assets/presentations/09PPT/PPTstats051909.pdf http://www.whitehatsec.com/home/assets/presentations/09PPT/PPT_statsfall09_8th.pdf (2):http://www.verizonbusiness.com/resources/security/reports/2009_databreach_rp.pdf (3):http://www.sans.org/top‐cyber‐security‐risks/ Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 5 Bảng tóm tắt các ký hiệu viết tắt Ký hiệu Diễn giải Database Cơ sở dữ liệu DBMS Database Management System (hệ quản trị Cơ sở dữ liệu) WAF Web Application Firewall (tường lửa cho ứng dụng Web) SQL Structured Query Language (Ngôn ngữ truy vấn có cấu trúc) Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 6 Chương 1. Đặt vấn đề 1.1. Đặc trưng của ứng dụng sử dụng cơ sở dữ liệu. Không khó để nhận ra rằng hiện tại, những ứng dụng phổ biến nhất và chiếm thị phần cũng như doanh thu cao nhất đều là những ứng dụng hỗ trợ tính năng quản lý. Dữ liệu là thứ sống còn trong mọi hoạt động nghiệp vụ hiện tại. Chính vì lý do đ ó, các ứng dụng nghiệp vụ hiện tại đều xây dựng trên những mô hình phát triển gắn liền với cơ sở dữ liệu. An toàn của dữ liệu được đặt nặng lên tính an toàn và bảo mật của ứng dụng Web kết nối tới cơ sở dữ liệu. Các mô hình phát triển ứng dụng Web hiện tại được sử dụng phổ biến nhất là 3-tier, ngoài ra còn có một số b ản cải tiến, mở rộng mô hình này nhằm những mục đích riêng. Hình 1.1 – Mô hình ứng dụng 3-tier Hình 1.2 – Mô hình ứng dụng 4-tier Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 7 Các mô hình trên luôn có một số điểm chung, đó là database server chỉ làm nhiệm vụ lưu trữ dữ liệu, database hồi đáp những truy vấn dữ liệu được xây dựng theo chuẩn (ví dụ như SQL). Mọi thao tác xử lý dữ liệu input, output của database server đều được ứng dụng web ở tầng Logic xử lý. Các vấn đề an ninh phát sinh đa phần sẽ nằm ở tầng này. 1.2. SQL Injection và tính nghiêm trọng của vấn đề an ninh cơ sở dữ liệu 1.2.1. Khái niệm SQL Injection: SQL Injection (còn gọi là SQL Insertion) là một hình thức tấn công trong đó truy vấn SQL của ứng dụng đã bị chèn thêm các tham số đầu vào “không an toàn” do người dùng nhập vào, từ đó mã lệnh được gửi tới máy chủ database để phân tích cú pháp và thực thi. Hình thái chính của SQL Injection bao gồm việc chèn trực tiếp mã vào các tham số mà sẽ được ghép vào các câu lệnh SQL (quá trình này gọi là sinh truy vấn SQL động) để tạo thành truy vấn của ứng dụ ng gửi tới máy chủ database. Một cách tấn công khác ít trực tiếp hơn, đó là chèn mã độc vào các xâu mà đích đến là việc lưu trữ trong các bảng hoặc từ điển dữ liệu (metadata). Khi các chuỗi đó được ghép vào các câu lệnh SQL thì đoạn mã đó sẽ được chạy. Khi ứng dụng Web thất bại trong việc lọc các tham số đầu vào (được dùng làm nguyên liệu cho quá trình sinh SQL động), ngay cả khi dùng hình thức tham số hóa (parameterize) thì kẻ tấn công có thể dễ dàng điều chỉnh quá trình xây dựng truy vấn SQL. Một khi kẻ tấn công có thể sửa câu truy vấn SQL, thì những truy vấn SQL anh ta muốn sẽ được thực thi với quyền của người sở hữu ứng dụng, và thiệt hại anh ta có thể gây ra sẽ tùy theo quyền hạn được cấp. SQL Injection là một dạng tấn công dễ thực hiện, hầu hết mọi thao tác người tấn công cầ n được thực hiện với một trình duyệt web, có thể kèm theo một ứng dụng proxy server. Chính vì đơn giản như vậy cho nên bất cứ ai cũng có thể học cách tiến hành một cuộc tấn công. Lỗi bắt nguồn từ mã nguồn của ứng dụng web chứ không phải từ phía database, chính vì thế bất cứ thành phần nào của ứng dụng mà người dùng có thể tương tác được để điều khiể n nội dung (ví dụ : các form, tham số URL, cookie, tham số referrer, user-agent, …) đều có thể được sử dụng để tiến hành chèn truy vấn có hại. Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 8 1.2.2. SQL Injection và vấn đề an ninh cơ sở dữ liệu. a. Các thống kê về an ninh Chúng ta xem xét các báo cáo an ninh của các ứng dụng Web gần đây của Whitehat, một tổ chức có uy tín trong việc nghiên cứu và hỗ trợ các vấn đề an ninh mạng. Thống kê 10 lỗi bảo mật nghiêm trọng nhất: Trích từ nguồn : http://community.whitehatsec.com/home/resource/stats.html Thống kê 10 lỗ hổng bảo mật phổ biến nhất xuất hiện trên các website được khảo sát: Kết quả thống kê trình bày tháng 3/2008: Hình 1.3 – thống kê 10 điểm yếu phổ biến nhất (2008) Kết quả thống kê trình bày tháng 2/2009: Hình 1.4 – thống kê 10 điểm yếu phổ biến nhất (2009) Thống kê thời gian trung bình cần để khắc phục các lỗ hổng bảo mật kể trên Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 9 Kết quả thống kê trình bày tháng 8/2008 Hình 1.5 – thống kê thời gian trung bình khắc phục điểm yếu (2008) Kết quả trình bày tháng 2/2009 Hình 1.6 – thống kê thời gian trung bình khắc phục điểm yếu (2009) Thống kê tỉ lệ điểm yếu thường xuyên bị khai thác Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 10 Một thống kê khác về tỉ lệ các điểm yếu thường được các hacker khai thác. Thống kê được trích trong một bài báo đăng trên tạp chí computerworld tháng 2/2010. Địa chỉ http://www.computerworld.com/s/article/9158498/The_State_of_Web_Se curity_Issues?taxonomyId=17&pageNumber=1 ) Đường dẫn của thống kê ( http://www.breach.com/resources/whitepapers/downloads/WP_TheWeb HackingIncidents-2009.pdf ) Hình 1.7 – thống kê các điểm yếu thường được khai thác nhất b. Đánh giá các kết quả thống kê Dựa vào các thống kê trên có thể rút ra vài nhận xét sau về lỗi SQL Injection: Là một trong số những lỗi bảo mật phổ biến nhất Xác suất gặp phải lỗ hổng bảo mật loại này trong một trang web là khá cao Được sử dụng nhiều, lý do một phần bởi tính đơn giản, không đòi hỏi nhiều công cụ hỗ trợ. Thời gian khắc phục các điểm yếu này thường khá lâu, do đó hậu quả thường nặng nề hơn. Trên thực tế, các cuộc tấn công SQL Injection thường nhắm đến các cơ sở dữ liệu mang tính thương mại, ví dụ các trang web thương mại điện tử. Thông thường, các cuộc tấn công này thường sẽ tiến hành việc sửa đổi nội dung của database đối tượng và chèn các đoạn mã JavaScript độc. Bản chất điểm yếu SQL Injection là xuất [...]... nhà phát triển ứng dụng web hiện tại và sau này SQL Injection – Tấn công và cách phòng tránh 11 Khóa luận tốt nghiệp - 2010 Chương 2 SQL Injection và các cách tấn công phổ biến 2.1 Nhận diện điểm yếu SQL injection trong ứng dụng Web Công việc nhận diện điểm yếu này là công việc đầu tiên trong chuỗi các thao tác cần để khắc phục điểm yếu SQL Injection trong ứng dụng Công việc này được thực hiện tương... hơn vào trong mạng lưới của tổ chức sở hữu ứng dụng Web đang bị tấn công Chúng ta sẽ xét một số phương pháp tấn công phục vụ hai mục đích này 2.2.1 Tấn công khai thác dữ liệu thông qua toán tử UNION Khai thác thông tin thông qua việc sử dụng UNION là một trong 2 nhánh chính của việc khai thác dữ liệu thông qua lỗi SQL Injection Các SQL Injection – Tấn công và cách phòng tránh 18 Khóa luận tốt nghiệp -. .. về Blind SQL Injection 2.2.3 Blind SQL Injection – phương thức tấn công nâng cao a Tổng quan Blind SQL Injection là một phương pháp thực hiện SQL Injection trong điều kiện các thông tin khai thác được không được trình bày trực tiếp trên nội dung phản hồi từ database Blind SQL Injection dựa vào việc sử dụng các mệnh đề điều kiện để thực hiện suy luận thông tin cần khai thác Cụ thể, Blind SQL Injection. .. vấn c Thực hiện tấn công blind SQL Injection dựa trên độ trễ truy vấn Tấn công Blind SQL Injection dựa vào thời gian phản hồi là cách tiến hành khai thác các lỗi Blind SQL Injection mạnh nhất Trong nhiều trường hợp tuy truy vấn có chứa điểm yếu, nhưng kết quả của truy vấn “sạch” với truy vấn “độc hại” không có sự khác biệt đáng kể, do đó rất khó để sử dụng response-based Blind SQL Injection Bản chất... không hề tác động đến cấu trúc và các thành phần của truy vấn gốc Việc chèn như minh họa ở phần a chính là chèn vào giữa truy vấn Mô hình này có thể khái quát như sau: SQL Injection – Tấn công và cách phòng tránh 16 Khóa luận tốt nghiệp - 2010 Hình 2.1 tham số chèn vào giữa truy vấn Chèn và ngắt truy vấn Đây là mô hình chèn truy vấn phổ biến nhất, truy vấn được chèn vào sẽ bao gồm thêm ở cuối các ký... kiện (mệnh đề suy luận), và sử dụng các phương pháp khác nhau để “đánh dấu” trường hợp đúng/sai của mệnh đề đó Căn cứ vào phương pháp “đánh dấu” trường hợp đúng/sai của mệnh đề quan hệ, ta chia ra hai cách chính thực hiện blind SQL Injection: - Dựa vào nội dung phản hồi (response-based) - Dựa vào độ trễ của thời gian phản hồi (time-based) Các phương pháp thực hiện blind SQL Injection có thể áp dụng... @mysql_query($query); … ?> Với đoạn xử lý trên, các trường username và password không thể để trống, tuy nhiên không nhất thiết phải chèn nhiều mệnh đề OR, chúng ta chỉ cần đảm bảo có giá trị trong SQL Injection – Tấn công và cách phòng tránh 17 Khóa luận tốt nghiệp - 2010 hai trường đó và sử dụng comment để ngắt truy vấn sau khi xuất hiện mệnh đề OR 1=1 đầu tiên, ví dụ với username là admin’ or 1=1 và. .. trợ SQL Injection – Tấn công và cách phòng tránh 32 Khóa luận tốt nghiệp - 2010 Trên các DBMS thường có một số hàm có thể lợi dụng để sinh độ trễ về thời gian thực thi truy vấn Ví dụ: - Trong MySQL ta có BENCHMARK(N, expression) hoặc ở phiên bản 5.0.12 trở đi có thêm SLEEP(seconds) - Trong SQL Server có WAITFOR DELAY ‘hh:mm:ss’ - Trong Oracle có DBMS_LOCK.SLEEP(seconds) Trong MySQL chúng ta sử dụng... Như vậy cột số 2 và số 3 có thể sử dụng để mang thông tin khai thác được Để kiểm chứng điều này, chúng ta thay giá trị 2 bằng một thông tin có ý nghĩa hơn, ví dụ phiên bản MySQL hiện dùng, tham số được chèn: UNION+select+1,@@version,3,4,5,6,7,8,9,10,11,12,13,14,1 5,16 SQL Injection – Tấn công và cách phòng tránh 22 Khóa luận tốt nghiệp - 2010 Hình 2.7 “nhúng” thông tin khai thác vào cột “mang” dữ... trong xâu đó, và hàm ascii(character) sẽ trả về mã ASCII của ký tự đầu tiên đang xét Mệnh đề truy vấn được thực hiện bằng cách so sánh giá trị ASCII xây dựng ở trên với các mốc như A (65), Z(90), a(97), z(112) Để tiết kiệm chi phí cho việc sinh truy vấn, chúng ta thực hiện tìm theo nguyên tắc tìm kiếm nhị phân Cụ thể: SQL Injection – Tấn công và cách phòng tránh 28 Khóa luận tốt nghiệp - 2010 - Ban đầu . hiện tại và sau này. Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 12 Chương 2. SQL Injection và các cách tấn công . liệu thông qua lỗi SQL Injection. Các Khóa luận tốt nghiệp - 2010 SQL Injection – Tấn công và cách phòng tránh 19 điểm yếu SQL Injection có thể khai
