Luận văn ThS: Chống tấn công tiêm nhiễm SQL sử dụng các khuôn mẫu hợp lệ theo bối cảnh

1. Mở đầu

Các nhà nghiên cứu đã đề xuất nhiều phương pháp phòng chống tấn công tiêm nhiễm SQL, nhưng nhìn chung có thể chia thành hai loại là phương pháp thực hành mã phòng thủ (defensive coding pratices) và phương pháp phát hiện và ngăn ngừa (dection and prevention techniques). Thực hành mã phòng thủ là dựa vào người phát triển ứng dụng cố gắng loại bỏ nguy cơ từ mã nguồn. Phương pháp này phụ thuộc nhiều vào sự chủ quan của người phát triển ứng dụng, cũng khó có thể đảm bảo là ứng dụng web không có lỗ hổng và sự thay đổi của ứng dụng web. Trong khi đó phương pháp phát hiện và ngăn ngừa lại tập trung vào việc tự động phát hiện tấn công tiêm nhiễm SQL và ngăn chặn chúng. Các nhà nghiên cứu đã đề xuất một loạt các kỹ thuật chống tấn công tiêm nhiễm SQL theo phương pháp này. Nhìn chung các kỹ thuật này đều dựa vào việc xây dựng tập hợp những tình huống tấn công có thể có hoặc xây dựng tập hợp những câu truy vấn hợp lệ. Với sự đa dạng và sự phát triển nhanh chóng của các dạng tấn công tiêm nhiễm SQL thì rất khó có thể xác định được tập hợp các cuộc tấn công tiêm nhiễm SQL. Trong khi đó để xác định được những truy vấn hợp lệ lại dễ dàng hơn nhiều.

2. Nội dung

3. Kết luận

Sau thời gian tìm hiểu và thực hiện đề tài: “Chống tấn công tiêm nhiễm SQL sử dụng các khuôn mẫu hợp lệ theo bối cảnh”. Nội dung bài luận văn đã đạt được các kết quả như sau:

• Hiểu được tổng quan về tấn công tiêm nhiễm SQL, các cách thức tấn công và các phương pháp ngăn chặn.
• Hiểu được cơ chế hoạt động của kỹ thuật chống tấn công tiêm nhiễm SQL sử dụng các khuôn mẫu hợp lệ theo bối cảnh - SDriver, áp dụng thực hiện mô phỏng hoạt động của SDriver.
• Tìm ra được vấn đề còn tồn tại của SDriver
• Đưa ra được đề xuất cải tiến
• Chạy mô phỏng SDriver với đề xuất cải tiến và đưa ra được đánh giá.

Nhìn chung, luân văn đã đạt được các mục tiêu nghiên cứu đã đề ra. Tuy nhiên luận văn vẫn cần phải đưa ra được những đánh giá có tính thuyết phục hơn, như mở rộng ứng dụng web, mở rộng số lượng câu truy vấn, thực thi các câu truy vấn có độ phức tạp cao…

4. Tài liệu tham khảo

Dimitris Mitropoulos and Diomidis Spinellis (2009), “SDriver: LocationSpecific Signatures Prevent SQL Injection Attacks”, Computer & Security, Volume 28, pp. 121-129.

Inyong Lee, Sangsoo Yeo, Soonki Jeong, Jongsub Moon (2012), “A novel method for SQL injection attack detection based on removing SQL query attribute values”, Mathematical and Computer Modelling, Volume 55, pp. 58-68.

Open Web Application Security Project (2013), OWASP Top 10 - 2013 The Ten Most Critical Web Application Security Risks, United State

William Stallings, Lawrie Brown (2014), “SQL Injection Attack”, Computer Security: Principles and Practice, (3), pp. 163-168....