SQL Injection năm 2025: kỹ thuật mới và cách phòng thủ thực tế

Những biến thể đáng chú ý (cập nhật tới 2025)

• Blind SQLi tinh vi (time-based / boolean): khi ứng dụng không trả dữ liệu trực tiếp, kẻ tấn công dùng độ trễ hoặc khác biệt hành vi để dò thông tin.
• Out-of-band (OOB) SQLi: khai thác khả năng DB thực hiện callback (DNS/HTTP) để leo lên kênh khác nhận dữ liệu, hữu ích khi response trực tiếp bị chặn.
• Second-order SQLi: payload được lưu vào hệ thống trước rồi được thực thi sau khi một chức năng khác dùng nó trong truy vấn — dễ bỏ sót khi chỉ kiểm thử input point đầu tiên.
• Injection trên API/JSON/GraphQL và NoSQL: không chỉ SQL truyền thống; nếu xử lý input JSON không đúng cách hoặc dùng raw query trong ORM, dễ dẫn đến injection loại mới (NoSQLi, GraphQL injection).
• ORM pitfalls & raw query misuse: nhiều dev tin tưởng ORM nhưng vẫn chèn biến vào raw SQL từ ORM hoặc dùng string building — đường hở phổ biến trong codebase lớn.

Tại sao những kỹ thuật này vẫn “ăn” được

• Ứng dụng hiện đại có nhiều lớp (edge, API gateway, microservice, queue) — attack surface lớn hơn.
• Dev dùng nhiều thư viện/ORM, đôi khi gọi raw SQL để tối ưu — dễ bỏ sót binding đúng cách.
• Test tự động thường tập trung payload “cổ điển” và có thể bỏ qua second-order hoặc OOB paths.
• WAF và rule-based defense bị né hoặc đôi khi có lỗ hổng riêng, nên không thể là hàng rào duy nhất.

Checklist phòng thủ thực tế (developer → infra)

• 1) Parameterized queries / Prepared statements — luôn dùng binding cho mọi giá trị do user cung cấp; hạn chế tuyệt đối việc nối chuỗi để sinh SQL.
• 2) Không dùng raw SQL trừ khi cần thiết — nếu bắt buộc, review code, dùng API binding của DB driver, và áp test unit + integration cho mỗi raw query.
• 3) ORM: tránh concat trong query builder — dùng parameter binding của ORM; audit mọi chỗ gọi .raw() hoặc .query() trong codebase.
• 4) Input handling hợp lý — whitelist validation (kiểu, độ dài, pattern) thay vì blacklist; normalize encoding trước khi bind.
• 5) Least privilege cho DB user — chỉ cấp quyền SELECT/INSERT/UPDATE/DELETE cần thiết; tách user cho reporting, write, DDL. Nếu có khả năng SQLi, quyền hạn thấp sẽ giới hạn hậu quả.
• 6) Detect & monitor — deploy anomaly detection cho query patterns (sudden UNION, long payloads, repeated time-based probes), log đầy đủ parameter metadata (không log mật khẩu). Kết hợp EDR/WAF/DB audit trails.
• 7) Testing: SAST + DAST + RASP — SAST phát hiện concat/raw; DAST (burp/automation) thử blind/OOB paths; RASP (nếu dùng) can thiệp runtime để block hành vi đáng ngờ. Tạo test case cho second-order và API JSON endpoints.
• 8) Rate limiting & bot mitigation — time-based blind attacks cần nhiều request; rate limit, captcha, hoặc proof-of-work nhẹ sẽ làm tốn chi phí tấn công.
• 9) WAF là lớp bổ trợ, không phải cứu cánh — WAF hỗ trợ giảm noise/known payloads nhưng không thay thế secure coding; WAF cũng có thể có lỗ hổng.
• 10) Sao lưu & kế hoạch phản ứng — backup, read-only snapshots, playbook phục hồi nếu DB bị thay đổi/khóa.

Mẹo thực tế: xử lý API/JSON/GraphQL/NoSQL

• Đối với JSON/GraphQL: validate schema (ví dụ JSON Schema), limit depth và complexity cho truy vấn GraphQL, reject bất kỳ trường hợp truyền raw SQL hoặc toán tử DB qua API.
• Đối với NoSQL: hiểu khác biệt — tránh chèn trực tiếp object từ client vào filter/query; bình thường cần sanitize/strict schema và kiểm soát types.
• Kiểm thử end-to-end: giả lập client gửi JSON với trường chứa payload SQL/NoSQL để quan sát flow lưu → xử lý → execute (phát hiện second-order).

Ví dụ code (phòng thủ cơ bản)

PHP (PDO) — parameterized query:

$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute(['email' => $emailInput]);
$user = $stmt->fetch();

Node.js (pg) — parameterized query:

const res = await client.query('SELECT * FROM users WHERE id = $1', [userId]);

Python (psycopg2) — binding:

cur.execute('SELECT * FROM orders WHERE token = %s', (token,))

Không dùng:

// KHÔNG làm thế này (string concat)
query = "SELECT * FROM users WHERE name = '" + name + "'";

Quy trình bảo vệ (process + tooling)

1. Code review checklist: tìm mọi raw SQL và chỗ concat chuỗi; bắt buộc PR có review security cho DB access.
2. Pipeline security: chạy SAST (phân tích tĩnh), dependency check, và DAST stage trước deploy staging.
3. Pentest định kỳ: yêu cầu pentest toàn bộ API (bao gồm blind/OOB payloads và second-order flows).
4. Production telemetry: log slow/complex queries, alert khi xuất hiện UNION hoặc payload chứa SQL-like tokens; giữ playbook incident response sẵn sàng.

Kết luận ngắn

SQL Injection không “chết” vì kỹ thuật tấn công và bề mặt ứng dụng liên tục thay đổi. Giải pháp hiệu quả năm 2025 là kết hợp: secure coding (parameterized queries, avoid raw), kiểm thử toàn diện (SAST/DAST/pentest), kiến trúc ít quyền (least privilege), và giám sát runtime để phát hiện hành vi bất thường. WAF và other edge protections là bổ trợ — không thể thay thế tư duy secure-by-design.