Bài giảng An ninh mạng: Bài 6 - Bùi Trọng Tùng

23

Phòng chống

• Kiểm tra, chỉ chấp nhận giá trị chứa các ký tự hợp lệ

 Ký tự nào là hợp lệ?Phụ thuộc ngữ cảnh

• Sử dụng dấu ‘\’ đặt trước các ký tự đặc biệt

 Nếu kẻ tấn công chèn trước ký tự ‘\’ ?

• Bỏ qua các ký tự đặc biệt

Nếu kẻ tấn công dùng mã ASCII? Luôn có cách vượt qua kiểm tra • Cách tốt hơn: không sử dụng các hàm có quá nhiều

quyền thực thi. Không hiệu quả với SQL Injection

24

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

12

SQL Injection

• Mục tiêu: các website sử dụng CSDL ở back-end • Lỗ hổng SQL Injection: không kiểm soát giá trị đối số

truyền cho các servlet khi thực hiện các truy vấn CSDL Web server không phân biệt được các ký tự là của câu truy vấn

• Mục đích: sửa đổi hoặc chèn truy vấn con vào các truy vấn thông thường để đọc trái phép hoặc thay thế thông tin trên trang web

• Lỗ hổng phổ biến nhất trên các website

hay của giá trị truyền cho đối số

25

Kịch bản tấn công SQL Injection

Victim Server

1

2

3 Trả lại dữ liệu nằm ngoài dự kiến Attacker

Thực hiện câu truy vấn nằm ngoài dự kiến

Victim SQL DB

26

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

13

SQL Injection – Ví dụ

• Xem xét đoạn mã PHP sau:

$user = $_POST[‘recipient’]; $sql = "SELECT AcctNum FROM Customer WHERE Balance < 100 AND Username='$recipient'";

$rs = $db->executeQuery($sql);

• Giả sử đối số được truyền như sau “?recipient=Bob” câu truy vấn được web server chuyển cho DBMS để thực thi như sau:

SELECT AcctNum FROM Customer WHERE Balance < 100 AND Username=‘Bob’ • Kết quả nào được trả về với truy vấn sau: SELECT AcctNum FROM Customer WHERE True

27

Phân tích truy vấn trên cây cú pháp

SELECT / FROM / WHERE

AcctNum Customer AND

< =

Kết quả truy vấn: Số tài khoản của tất cả khách hàng có số dư dưới 100$ và tên khách hàng là Bob

Balance 100 Username 'Bob'

28

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

14

SQL Injection – Ví dụ (tiếp)

• Xem xét đoạn mã PHP sau:

$recipient = $_GET[‘recipient’]; $sql = "SELECT AcctNum FROM Customer WHERE Balance < 100 AND Username='$recipient'";

$rs = $db->executeQuery($sql);

• Điều gì xảy ra nếu đối số được truyền giá trị làm thay đổi

ý nghĩa của câu truy vấn Ví dụ truyền vào một giá trị đặc biệt ‘recipient’ để đọc toàn bộ

danh sách khách hàng

29

SQL Injection – Ví dụ (tiếp)

• Truyền đối số như sau:

?recipient=anyone’ OR 1 = 1;#

• Câu truy vấn được thực thi: SELECT AcctNum FROM Customer WHERE Balance < 100 AND Username=‘anyone’ OR 1 = 1;#’

• Biểu thức điều kiện trở thành WHERE Balance < 100 AND Username=‘anyone’ OR 1 = 1 luôn trả về giá trị TRUE

Dấu # báo hiệu đoạn chú thích bỏ qua

30

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

15

Cây cú pháp

SELECT / FROM / WHERE

AcctNum Customer OR

AND =

< = 1 1

Balance Username 100 ‘anyone’

31

Một số kỹ thuật khai thác SQLi

• Mệnh đề ORDER BY sắp xếp kết quả theo một cột nào

đó được liệt kê trong mệnh đề SELECT

• Sử dụng mệnh đề ORDER BY cho phép đoán số cột

được liệt kê trong truy vấn Nếu STT của cột ≤ số cột liệt kê trong truy vấn: thực hiện thành

Ngược lại trả về thông báo lỗi

Thông báo lỗi có thể để lộ thông tin về CSDL!!!

công

32

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

16

Một số kỹ thuật khai thác SQLi(tiếp)

• Mệnh đề UNION cho phép gộp kết quả của các truy vấn • Yêu cầu: các mệnh đề SELECT phải có cùng số cột, cùng

kiểu dữ liệu (hoặc có thể chuyển đổi nếu kiểu dữ liệu khác nhau)

• Dùng mệnh đề UNION cho phép:

Xác định số cột trong mệnh đề SELECT Kiểm tra kiểu dữ liệu Thực hiện một truy vấn tới bảng khác: trích xuất dữ liệu, đoán tên

Thông báo lỗi có thể để lộ thông tin về CSDL!!!

bảng, đoán tên cột

33

Một số kỹ thuật khai thác SQLi(tiếp)

• Sử dụng Batched Query (còn được gọi là query stack) • Lợi dụng khả năng hỗ trợ thực thi nhiều câu truy vấn cùng

lúc của một số ngôn ngữ và hệ quản trị CSDL

Support

ASP

ASP.NET PHP

MySQL

No

Yes

No

PostgreSQL Yes

Yes

Yes

MS SQL

Yes

Yes

Yes

Lưu ý: Ngay cả khi ngôn ngữ và hệ quản trị CSDL không hỗ trợ, vẫn có thể khai thác bằng mệnh đề UNION

34

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

17

Batched Query – Ví dụ

• Truyền đối số như sau:

?recipient=anyone’; DROP TABLE Customer --

• Câu truy vấn được thực thi: SELECT AcctNum FROM Customer WHERE Balance < 100 AND Username=‘anyone’; DROP TABLE Customer --’

Chèn câu lệnh SQL khác để can thiệp sửa đổi CSDL

Thậm chí có thể chèn vào một đoạn mã thực thi kịch bản hệ thống (shell code)

35

Blind SQL Injection

• Trong một số trường hợp, hệ thống không trả lại thông

báo lỗi khi thực thi câu lệnh SQL

• Để khai thác các lỗi dạng này, có thể sử dụng 2 kỹ thuật:

Boolean based Blind SQLi: sử dụng các câu truy vấn trả về

Time-based Blind SQLi: kiểm tra thời gian thực thi câu truy vấn • Cần mất nhiều thời gian để khai thác lỗi Blind SQLi  thường sử dụng các công cụ hỗ trợ (Ví dụ: sqlmap)

True/False

36

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

18

Blind SQL Injection

• Ví dụ 1: Boolean-based Blind SQLi Để tìm thông tin phiên bản của CSDL, chèn lời gọi hàm vào câu truy vấn: and substring(version(),i,1)=c;#

Thay i là vị trí ký tự cần kiểm tra, c là giá trị cần so sánh • Time-based Blind SQLi

MySQL: sleep(), benchmark() MS SQL: waitfor delay

37

Phòng chống SQL Injection

• Thêm ký tự ‘\’ vào trước dấu nháy ‘...’ hoặc “...” • PHP: addslashes( “ ’ or 1 = 1 -- ”) Đầu ra: “ \’ or 1=1 -- ”

0x 5c  \

Hạn chế: tấn công dựa vào mã Unicode của một số ký tự đặc biệt $user = 0x bf 27 addslashes($user)

0x bf 27  ¿′

Đầu ra: 0x bf 5c 27 

′

0x bf 5c 

• Hàm tốt hơn: mysql_real_escape_string()

38

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

19

Phòng chống SQL Injection

• Hầu hết các ngôn ngữ lập trình, DBMS hỗ trợ kiểm soát các tham số trong câu truy vấn không hiểu lầm giá trị tham số và mã thực thi.

• Ví dụ: PHP và MySQL $dbh = new mysqli(…); $stmt = $dbh->prepare(“SELECT AcctNum FROM Customer WHERE Balance < 100 AND Username= ?”); $recipient = $_GET[‘recipient’]; $stmt->bind_param(“s”, $recipient); $stmt->execute(); • Sử dụng ORM framework

s: tham số kiểu xâu ký tự i: tham số kiểu số nguyên d: tham số kiểu số thực

39

Cây cú pháp truy vấn SQL

SELECT / FROM / WHERE

AcctNum Customer AND

< =

Balance 100 Username ?

40

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

20

Cây cú pháp truy vấn SQL

?recipient=anyone’ OR 1 = 1 --

$stmt->bind_param(“s”, $recipient);

SELECT / FROM / WHERE

AcctNum Customer AND

< =

Balance 100 Username ? anyone’ OR 1 = 1 --

41

Bài giảng sử dụng một số hình vẽ và ví dụ từ các bài giảng: • Computer and Network Security, Stanford University • Computer Security, Berkeley University • Introduction to Computer Security, Carnegie Mellon

University

42

CuuDuongThanCong.com

https://fb.com/tailieudientucntt

21