DBS401 - Chương 8: Khai thác và phòng thủ SQL injection

Đáp án đúng: "To gain unauthorized access or manipulate database data". SQL injection xảy ra khi đầu vào không tin cậy làm thay đổi cấu trúc truy vấn SQL; kẻ tấn công có thể đọc dữ liệu, vượt kiểm tra quyền hoặc sửa nội dung tùy quyền tài khoản ứng dụng. Bảo vệ cơ sở dữ liệu là mục tiêu phòng vệ; tạo bản sao lưu là tác vụ quản trị; tối ưu hiệu năng không khai thác lỗi diễn giải đầu vào. "To secure the database" "To create backups of the database" "To optimize database performance"

Đáp án đúng: "By encoding characters in unexpected formats like URL or Hex". Mã hóa đầu vào ở dạng bất ngờ có thể đánh lừa bộ lọc dựa trên mẫu nếu ứng dụng không chuẩn hóa nhất quán trước khi kiểm tra; truy vấn tham số hóa mới là biện pháp phòng vệ chính. Viết SQL đơn giản tránh từ đáng ngờ không phải kỹ thuật né lọc đặc trưng; kết nối thẳng là đường truy cập khác, không né bộ lọc ứng dụng; chỉ kiểm tra phía máy chủ mô tả vị trí kiểm tra, không phải thủ thuật tấn công. "By writing simplified SQL code that avoids using suspicious keywords" "By establishing direct database connections instead of going through the web interface" "By performing only backend validation"

Đáp án đúng: "Using alternative encodings or unexpected words". Kẻ tấn công có thể biến đổi cách biểu diễn đầu vào hoặc dùng cách viết bất thường để né bộ lọc dựa trên mẫu đơn giản; bộ lọc cần chuẩn hóa dữ liệu và kiểm tra truy vấn an toàn thay vì chỉ dò chuỗi cố định. "Increasing query performance" là mục tiêu tối ưu hệ thống, không phải cách né bộ lọc; "Creating database backups" là biện pháp phục hồi dữ liệu, không che giấu đầu vào độc hại; "Encrypting their SQL queries" không phải cách thông thường để vượt bộ lọc ứng dụng, vốn phải xử lý dữ liệu trước khi gửi truy vấn tới cơ sở dữ liệu.

Đáp án đúng: "Execute a specified action based on a true or false condition". Trong SQL injection dạng điều kiện, biểu thức Boolean (đúng/sai) chi phối nhánh hoặc phản hồi mà truy vấn tạo ra; người kiểm thử có thể so sánh kết quả khi điều kiện đúng và sai để suy luận hành vi. "Used for optimizing SQL queries" nói về tối ưu hóa truy vấn hợp lệ, không phải đặc trưng của điều kiện bị chèn. "Break up common words using URL code" mô tả biến đổi hoặc mã hóa ký tự, không phải logic điều kiện. "Initiate time-based responses" liên quan kỹ thuật dựa trên độ trễ thời gian; đó là một cách khai thác mù riêng, không phải định nghĩa chung của conditional statements.

Đáp án đúng: "Direct database access". Khi khai thác SQL injection qua một ứng dụng, attacker thường suy luận từ phản hồi của ứng dụng hoặc cơ sở dữ liệu. "Error messages from the database" có thể tiết lộ cú pháp hoặc cấu trúc; "Inferential exploration" rút thông tin từ thay đổi đúng/sai hoặc thời gian phản hồi; "Observing database behavior in response to crafted inputs" là cách kiểm tra tác động của đầu vào tạo tác. Truy cập trực tiếp cơ sở dữ liệu đòi hỏi một đường truy cập hoặc thông tin xác thực riêng, nên không phải cách thu thập thông tin qua lỗ hổng SQL injection đang xét.

Đáp án đúng: "Using third-party applications or browser add-ons". Để kiểm tra lưu lượng HTTP trong một bài kiểm thử được phép, công cụ proxy hoặc tiện ích trình duyệt có thể quan sát và chỉnh sửa yêu cầu, phản hồi trước khi gửi đến ứng dụng; cần bảo đảm có ủy quyền và tránh dùng trên hệ thống ngoài phạm vi. "Through the use of database management tools" thao tác với cơ sở dữ liệu, không trực tiếp chặn và sửa dữ liệu HTTP giữa trình duyệt với ứng dụng. "By utilizing strong encryption mechanisms" mã hóa giúp bảo vệ tính bí mật và toàn vẹn khi truyền, không phải cách để chủ động chỉnh sửa nội dung. "By conducting regular database backups" tạo bản sao phục hồi dữ liệu, không can thiệp vào lưu lượng HTTP.

Đáp án đúng: "Guessing the structure of the database". Blind SQL Injection (SQL injection mù) xảy ra khi ứng dụng không trả trực tiếp kết quả truy vấn hay thông báo lỗi hữu ích; người kiểm thử suy luận thông tin từ tín hiệu gián tiếp như khác biệt phản hồi hoặc thời gian. Dò cấu trúc cơ sở dữ liệu là một mục tiêu thường gặp và là phương án gần nhất, nhưng không phải toàn bộ định nghĩa hay mục tiêu duy nhất của kỹ thuật này. "Directly accessing the database without using SQL code" sai vì SQL injection dựa vào việc làm ứng dụng thực thi SQL bị chèn. "Attacking a database that is blind to SQL syntax" nhầm “blind” là cơ sở dữ liệu không hiểu cú pháp; thuật ngữ nói về phản hồi bị che khuất. "Injecting SQL code without understanding its effects" không định nghĩa kỹ thuật mù; việc thiếu hiểu biết của người tấn công không phải đặc điểm cốt lõi.

Đáp án đúng: "Single channel uses one communication channel to send and receive data, while multichannel uses multiple channels". Theo cách dùng channel trong câu này, phân biệt nằm ở số kênh giao tiếp được dùng để truyền và nhận dữ liệu; cách hiểu này cần giới hạn theo ngữ cảnh vì single-channel/multichannel không phải hệ phân loại SQL injection phổ quát như in-band, inferential hay out-of-band. "Single channel uses one input field to inject SQL commands" nói về số trường đầu vào, không nhất thiết là số kênh truyền nhận; "Single channel uses one SQL statement" đếm câu lệnh chứ không mô tả kênh; "Single channel uses one type of SQL injection technique" nhầm số kênh giao tiếp với số kỹ thuật tấn công.

Đáp án đúng: "The data types and number of columns in the original and injected queries must match.". Để phép UNION kết hợp được hai tập kết quả, các truy vấn phải trả cùng số cột và kiểu dữ liệu ở các vị trí tương ứng phải tương thích; nếu không, cơ sở dữ liệu thường từ chối phép kết hợp. "The database must have a specific number of tables." không phải điều kiện của UNION, vốn kết hợp kết quả truy vấn chứ không yêu cầu số lượng bảng cố định. "The database must be running on a 64-bit system." kiến trúc 64 bit không quyết định tính hợp lệ của cấu trúc UNION. "The user must have administrative privileges." không cần thiết để dùng UNION; quyền cần có phụ thuộc đối tượng mà truy vấn truy cập.

Đáp án đúng: "They enable the injection of additional queries to be executed with the original query". Trong ngữ cảnh SQL injection, UNION có thể ghép tập kết quả từ một truy vấn khác vào kết quả truy vấn ban đầu nếu cấu trúc cột tương thích; điều này có thể làm dữ liệu ngoài dự kiến xuất hiện trong phản hồi ứng dụng. "They allow attackers to alter database encryption settings" không phải chức năng của UNION, vốn kết hợp hàng kết quả. "They are required to delete data from the database" sai vì UNION không phải lệnh xóa và không bắt buộc để xóa dữ liệu. "They help in creating new user accounts in the database" mô tả hành động thay đổi dữ liệu hoặc quyền, không phải mục đích của phép kết hợp tập kết quả.

Đáp án đúng: "Observing how the server behaves in response to manipulated inputs". Kiểm thử suy luận (inferential testing) đánh giá phản ứng quan sát được của hệ thống trước đầu vào được thay đổi; người kiểm thử suy ra điều kiện hoặc dữ liệu bên trong từ khác biệt về kết quả, lỗi hay thời gian phản hồi. "Encrypting user inputs to test database security" là thao tác biến đổi hoặc bảo vệ dữ liệu, không phải phương pháp suy luận; "Testing the strength of SQL database encryption" đánh giá mã hóa; "Assessing the database's response time to complex queries" có thể là đo hiệu năng, nhưng riêng thời gian truy vấn phức tạp không nêu phép so sánh phản ứng trước đầu vào thao túng.

Đáp án đúng: "They allow intruders to execute different actions based on whether a condition is true or false.". Biểu thức điều kiện trong SQL bị chèn cho phép nhánh truy vấn hoặc phản hồi thay đổi theo kết quả đúng/sai; so sánh các phản hồi này có thể giúp suy luận dữ liệu trong một số kiểu tấn công. "They improve the accuracy of the attack." không nêu cơ chế cụ thể và độ chính xác phụ thuộc nhiều yếu tố, không phải tác dụng định nghĩa. "They automatically grant administrative privileges." điều kiện SQL không tự nâng quyền; quyền vẫn do cấu hình tài khoản và kiểm soát truy cập quyết định. "They help secure the database from further attacks." là mục tiêu phòng vệ, trái với việc kẻ xâm nhập lợi dụng điều kiện để thao túng truy vấn.

Đáp án đúng: "By combining results from multiple queries into a single response". UNION kết hợp các hàng kết quả của những câu truy vấn tương thích thành một tập kết quả; khi ứng dụng đưa kết quả đó ra phản hồi, kẻ tấn công có thể tìm cách làm lộ dữ liệu ngoài dự kiến. "By executing commands that delete important records from the database" là hành vi của lệnh xóa, không phải chức năng của UNION. "By running commands that modify or update the structure of the database schema" là hành vi lệnh định nghĩa hoặc sửa cấu trúc, không phải phép ghép kết quả. "By isolating data in standalone tables" mô tả cách tách dữ liệu, không liên quan đến cách UNION kết hợp hàng. "By encrypting sensitive data before retrieval" là hoạt động mã hóa, không phải tác dụng của phép UNION.