Phát hiện và ngăn chặn tấn công nhằm vào ứng dụng Web sử dụng SVM, XGBoost và rừng ngẫu nhiên

Bài viết đề xuất phương pháp trích chọn các đặc trưng mới cho vấn đề nhận biết các yêu cầu kết nối HTTP ở dạng bình thường hay bất thường. Các đặc trưng này được trích xuất từ thông tin liên quan đến phương thức HTTP, địa chỉ URL và payload của yêu cầu kết nối. Các thử nghiệm được thực hiện sử dụng các bộ phận lớp hồi quy logistic, máy hỗ trợ véc tơ, XGBoost và rừng ngẫu nhiên trên bộ dữ liệu HTTP DATASET CSIC 2010. Mời các bạn cùng tham khảo!

Phát ngăn chặn công nhằm vào ứng dụng Web sử dụng SVM, XGBoost rừng ngẫu nhiên Nguyễn Hồng Quang Hồng Phú Hoan Viện Cơng nghệ Thông tin Truyền thông, Trường Đại học Bách Khoa Hà Nôi Email: quangnh@soict.hust.edu.vn, hoangphuhoan2012@gmail.com Abstract— Vấn đề ngăn chặn công Web vấn đề quan trọng để trì họat động hiệu Website Trong nghiên cứu này, đề xuất phương pháp trích chọn đặc trưng cho vấn đề nhận biết yêu cầu kết nối HTTP dạng bình thường hay bất thường Các đặc trưng trích xuất từ thơng tin liên quan đến phương thức HTTP, địa URL payload yêu cầu kết nối Các thử nghiệm thực sử dụng phân lớp hồi quy logistic, máy hỗ trợ véc tơ, XGBoost rừng ngẫu nhiên liệu HTTP DATASET CSIC 2010 Kết đạt độ xác 98% với phân lớp hồi quy logistic 100% với ba phương pháp lại Điều khẳng định đặc trưng hiệu cho vấn đề Một nhược điểm quan trọng phương pháp tiếp cận signature-based phương pháp lại khả phát lỗ hổng chưa cơng bố Đây phương pháp mà hacker mũ đen chuyên nghiệp thường dùng để công vào hệ thống quan trọng, bảo vệ kĩ, nhiên phương pháp bảo vệ hầu hết lại có tác dụng dạng công biết Một xu hướng lên nghiên cứu gần sử dụng mơ hình học máy việc phát công web [4] Mơ hình học máy thay việc phải cập nhật phương pháp bảo vệ chống lại phương thức cơng cần dựa thuộc tính, đặc điểm yêu cầu HTTP tới Website để xác định yêu cầu bình thường hay bất thường Ưu điểm phương pháp việc dễ dàng bảo trì, mở rộng, khơng cần có đội ngũ theo dõi cải tiến ngày đêm để cập nhật khả đánh chặn kiểu công Phần mô tả phương pháp tiền xử lý trích chọn đặc trưng Phần mô tả tập liệu thử nghiệm Cuối kết luận II TIỀN XỬ LÝ VÀ TRÍCH CHỌN ĐẶC TRƯNG 2.1 Tiền xử lý liệu Đầu tiên liệu xử lý bước tiền xử lý Bước thực loại bỏ thành phần không cung cấp thông tin cho trình phân loại Dữ liệu giữ lại bao gồm:  Phương thức: chứa thông tin phương thức sử dụng yêu cầu Trong trường hợp tập liệu có ba phương thức sử dụng GET, POST, PUT Thơng tin có ý nghĩa quan trọng cách thức Server xử lý yêu cầu  URI: liệu cung cấp thông tin tài nguyên yêu cầu truy cập Server Các liệu phản ánh nhu cầu truy vấn thực máy khách Phần xác định liệu người dùng cung cấp cho Server (nếu có)  Payload: liệu quan trọng liệu Phần chứa tồn liệu mà người dùng gửi lên Server liệu chủ yếu việc phân tích, xử lý Server yêu cầu tương ứng Các liệu loại bỏ gồm có tồn trường liệu phần đầu yêu cầu HTTP Host, Protocol, UserAgent, Cache, Accept, Cookies, Connection Các liệu chứa giá trị tất yêu cầu chứa liệu khác yêu cầu theo Keywords- yêu cầu kết nối HTTP, trích chọn đặc trưng, phát bất thường, an ninh mạng, hồi quy logistic, máy hỗ trợ véc tơ, rừng ngẫu nhiên I GIỚI THIỆU Ngành cơng nghệ thơng tin phát triển đồng thời khả an tồn thơng tin cao Đặc biệt với ứng dụng public rộng rãi người dùng Website khả trở thành mục tiêu công lại lớn Điều đặt yêu cầu cấp thiết phải nâng cấp khả phịng chống cơng cho website Để giúp Website có khả tự bảo vệ mình, công ty an ninh mạng đưa ứng dụng bảo vệ Website tự động gọi chung với tên WAF (Web Application Firewall) Công nghệ chủ yếu phát chặn công website dựa việc phân tích yêu cầu HTTP (HTTP traffic) dựa phương pháp signature-based [1] [5][7][8] Phương pháp chủ yếu tập trung vào việc phân tích đặc điểm kiểu cơng, từ chun gia bảo mật tạo luật nhằm lọc ngăn chặn yêu cầu bất thường (abnormal traffic) thỏa mãn điều kiện luật Nói cách khác yêu cầu giống với đặc điểm cơng biết trước bị ngăn chặn Điều địi hỏi cần có đội kỹ sư bảo mật luôn túc trực để liên tục cập nhật luật để chống lại kiểu công phát Trong bối cảnh có nhiều kiểu traffic cơng khác nhau, lại có hình thức cơng phức tạp, khó viết luật phương pháp sau thời gian dẫn tới vấn đề khó trì, quản lý Ngồi theo thời gian, tập luật lớn thời gian xử lý lớn, từ gây loạt vấn đề khác liên quan đến trì tính hoạt động hiệu hệ thống nhớ, băng thông, 230 định dạng hoàn toàn giống nên coi khơng có giá trị q trình xử lý 2.2 Trích chọn đặc trưng Trong nghiên cứu này, đưa đặc trưng dựa nghiên cứu bảo mật Web Chúng tơi chia nhóm đặc trưng cần thiết cho trình phát cơng vào ba nhóm lớn bao gồm:  Phương thức: bao gồm đặc tính liên quan tới phương thức gửi liệu lên Server  URL: bao gồm đặc tính liên quan tới URL  Payload: bao gồm đặc tính liên quan tới liệu gửi lên Server a Đặc trưng trích xuất từ phương thức yêu cầu HTTP Đây thuộc tính quan trọng hacker sử dụng phương thức PUT, DELETE … để thực yêu cầu lên Server thay phương thức thơng thường GET, POST Trong tập liệu để mô tả phương thức sử dụng yêu cầu, phương thức biểu diễn giá trị số tương ứng: GET -> 1, POST ->2, PUT -> Ví dụ: PUT http://localhost:8080/tienda1/publico/anadir.jsp HTTP/1.1 => giá trị trả b Các đặc trưng trích xuất từ URL b1 URL không tồn Nếu người dùng thơng thường việc truy cập vào địa URL khơng tồn việc xảy có tính khơng cịn hỗ trợ từ phía ứng dụng Web Tuy nhiên, hacker việc truy cập vào URL không tồn lại bước để thu thập thông tin Server Bằng cách cố gắng truy cập vào URL không tồn tại, file backup, file default, admin-site, hacker thu thập thơng tin hệ điều hành, cấu hình, phiên Web-Server chí mã nguồn Website Để khai thác đặc điểm này, tạo danh sách bao gồm tất URL Website dựa vào việc phân tích tập liệu ban đầu Sau tiến hành so sánh URL yêu cầu HTTP với danh sách để xác định xem URL có tồn khơng URL tồn URL giống với URL tập training Nếu URL khơng tồn giá trị thuộc tính 1, ngược giá trị Ví dụ: http://localhost:8080/tienda1/publico/pagar.jsp~ => đường dẫn hacker sử dụng để tìm file server => không tồn => trả b2 Kiểm tra kí tự string bất thường URL Tập kí tự string bất thường định nghĩa bao gồm: "~", "backup", "bak", "zip", "sql", "%" Đây kí tự từ khóa thường hacker sử dụng việc tìm kiếm tài liệu lưu, file sở liệu, file giấu Server đơn giản hacker thực việc tìm kiếm URL để thu thập nhiều thông tin Website Nếu có tồn kí tự bất thường giá trị thuộc tính 1, ngược lại Ví dụ: http://localhost:8080/tienda1/miembros/imagenes.BAK => đường dẫn hacker sử dụng để tìm kiếm file backup Server => có chứa từ khóa bất thường => trả b3 Độ dài URL Việc kiểm tra độ dài URL thuộc tính mang lại thơng tin hữu ích q trình hacker thu thập thơng tin hay q trình khai thác nhiều loại lổ hổng phổ biến độ dài URL thay đổi nhiều Giá trị trả độ dài URL Ví dụ: http://localhost:8080/travelnet/home.jsp => giá trị trả độ dài len(“/travelnet/home.jsp”) b4 Đếm số lượng kí tự đặc biệt (khơng phải chữ bình thường URL) Thuộc tính dựa đánh giá việc q trình thu thập thơng tin Server hacker thường sử dụng số cơng cụ qt để tìm tồn đường dẫn ẩn dấu server Do điều khiến cho đường dẫn xuất thêm nhiều kí tự “/”, “.”, “#” … Đây đặc điểm để phát công Giá trị trả số lượng kí tự đặc biệt URL Ví dụ: http://localhost:8080/6909030637832563290.jsp.OLD => giá trị trả 22 c Các đặc trưng trích xuất từ payload c1 Xuất kí tự nằm ngồi bảng mã so với tập học Thơng thường sử dụng ứng dụng Web, người dùng thông thường đơn giản sử dụng chức có sẵn Website Khi liệu gửi lên Server liệu chuẩn bị từ trước ln bao gồm kí tự có ý nghĩa in Mặt khác, hacker thường sử dụng kí tự dạng mã hóa muốn khai thác lỗ hổng liên quan tới tràn đệm hay giới hạn độ dài kí tự Vì vậy, ta coi dấu hiệu việc công Nếu liệu requests có xuất kí tự nằm ngồi bảng mã giá trị thuộc tính 1, ngược lại Ví dụ: http://localhost:8080/tienda1/publico/entrar.jsp?errorMsg= %2B => giá trị trả c2 Đếm kí tự đặc biệt, thường sử dụng công Web phổ biến Dựa vào kinh nghiệm nghiên cứu bảo mật Web với tham khảo tài liệu liên quan, thống kê số kí tự thường sử dụng công Web SQL injection, XSS, LFI, command injection … không xuất tập liệu thường Ví dụ như: "/>", "*", "/*", "*/", "'", '"', "#", " -", "[", "]" Giá trị thuộc tính số lượng mẫu nêu xuất payload Ví dụ: http://localhost:8080/tienda1/publico/autenticar.jsp?modo=1 or 1=1 - => giá trị trả c3 Đếm số lần xuất từ khóa mang khả cơng OWASP TOP 10 [16] báo cáo hàng năm để thống kê lại lỗ hổng đánh giá nguy hiểm phổ biến năm Dựa vào báo cáo này, thống kê loạt lỗ hổng hay gặp phải hệ thống Website, từ lập danh sách số từ khóa thơng dụng thường sử dụng để tiến hành cơng web Ví dụ như: “union select”, “order by” “1=1 -”, “/etc/passwd”, “onerror=” … Giá trị thuộc tính số lượng pattern tìm thấy payload Ví dụ: http://localhost:8080/tienda1/publico/pagar.jspmodo=/etc/pass wd => giá trị trả c4 Xuất giá trị nằm tập hữu hạn thuộc tính 231 Trong ứng dụng Web tham số truyền lên Server người dùng thực tương tác với Website thường xác định số trường hợp giá trị tham số nằm tập hữu hạn Ví dụ giá trị biến “Submit” thường “submit” giao diện đăng nhập hay ID sản phẩm thường có giá trị dải từ đến N với N số lượng sản phẩm đó… Dựa vào đặc điểm cộng với việc phân tích tập liệu bình thường ban đầu, chúng tơi lọc tham số có số lượng giá trị hữu hạn sau so sánh giá trị tham số yêu cầu với tập hữu hạn Nếu giá trị khơng nằm tập xác định từ trước dấu hiệu cho thấy yêu cầu hacker gửi lên Lý việc chèn liệu khơng bình thường vào liệu người dùng việc làm phổ biến hacker muốn khai thác lỗ hổng ứng dụng web Nếu request gửi lên xuất giá trị nằm ngồi tập hữu hạn giá trị thuộc tính 1, ngược lại Ví dụ: http://localhost:8080/tienda1/publico/anadir.jsp? id=aaaaaaaaaaaaaaaa => giá trị trả c5 Trật tự thuộc tính URL cụ thể xuất thuộc tính nằm ngồi thuộc tính xuất Nếu người dùng thông thường, người sử dụng chức Website người phát triển thiết kế chắn liệu người dùng gửi lên Server ln có dạng xác định dạng lập trình từ trước gửi lên nhờ vào biểu mẫu HTML hay Javascript Dựa vào đặc điểm này, từ việc phân tích tập liệu ban đầu ta lập tập tham số theo thứ tự xác định với địa URL tương ứng Sau dùng sở liệu để đối chiếu tới trật tự tham số gửi lên yêu cầu cần dự đoán Nếu trật tự tham số yêu cầu không so với trật tự chuẩn lưu lại gắn liền với URL tương ứng giá trị thuộc tính 1, ngược lại Ví dụ: id=1&xxxxx=JamF3n+IbE9rico&random_hacker_para=85 => giá trị trả c6 So sánh độ lệch độ dài payload với mức trung bình URL định Thuộc tính dựa việc hacker muốn chèn liệu bất thường vào truy vấn để tiến hành khai thác lỗ hổng SQLi, buffer overflow, LFI, XSS liệu thêm vào truy vấn có độ dài thay đổi nhiều so với độ dài ban đầu Do ta sử dụng chênh lệch thuộc tính Giá trị thuộc tính tính tốn sau: p = (lu)/u, p giá trị thuộc tính, l độ dài câu truy vấn yêu cầu tại, u độ dài trung bình truy vấn xét tập huấn luyện Ví dụ: modo=entrar&login=modestin&pwd=es %27pec%27ia%2Fl => giá trị trả (42-32)/32 = 0,3125 (giả sử độ dài trung bình payload url tương ứng 32) c7 Độ dài truy vấn (payload) Việc kiểm tra độ dài câu truy vấn thuộc tính mang lại thơng tin hữu ích q trình hacker thu thập thơng tin hay q trình khai thác nhiều loại lổ hổng phổ biến độ dài truy vấn thay đổi nhiều Giá trị trả độ dài payload Ví dụ: modo=entrar&login=modestin&pwd=es %27pec%27ia%2Fl => giá trị trả 42 2.3 Nhận dạng phân loại truy vấn HTTP Để thực nhận dạng phân loại HTTP thành hai loại bình thường bất thường, tiến hành áp dụng nhiều mô hình học máy khác nhau, kết hợp với nhóm thuộc tính giới thiệu thiệu phần trước Các phương pháp học máy tiến hành thử nghiệm bao gồm: hồi quy logistics (Logistic Regression), máy hỗ trợ véc tơ (Support Vector Machine), XGBoost, rừng ngẫu nhiên (Random Forest) Các phương pháp đánh giá dựa thông số tỷ lệ phát (TPR - True Positive Rate) Quá trình đánh giá áp dụng phương pháp đánh giá chéo K tập, tức tập liệu ban đầu chia làm 10 phần nhau, sau phần định làm tập đánh giá, chín phần cịn lại dùng làm tập học Giá trị trung bình FPR dùng để đánh giá hiệu mô hình III THỬ NGHIỆM VÀ ĐÁNH GIÁ 3.1 Tập liệu Nghiên cứu báo thực tập liệu CSIC 2010 [14] Bộ liệu công bố hội đồng nghiên cứu quốc gia Tây Ban Nha cập nhật lần cuối vào năm 2012 Các yêu cầu HTTP liệu tạo cách tự động cách mô yêu cầu thật với mục tiêu trang Web thương mai điện tử với chức đăng kí, giỏ hàng… Bảng Kết nhận dạng phân loại yêu cầu truy nhập HTTP theo dạng bất thường hay không bất thường sử dụng phân lớp hồi quy logistic với đặc trưng Trong bảng N tổng số đặc trưng, FPR tỷ lệ nhận dạng truy vấn bất thường Tập đặc trưng N FPR Trích xuất từ method 0.78 Trích xuất từ URL 0.95 Trích xuất từ payload 0.98 Trích xuất từ method and URL 0.76 Trích xuất từ method and payload 0.99 Trích xuất từ URL and payload 11 0.98 Trích xuất từ method, URL and payload 12 0.99 Tập liệu bao gồm 36000 yêu cầu bình thường 25000 yêu cầu bất thường Tập kí tự sử dụng kí tự Latin Các yêu cầu độc hại bao gồm nhiều loại kiểu công SQL injection, XSS, Local File Inclusion, CRLF injection, lộ lọt thông tin, buffer overflow… Cấu trúc yêu cầu tập liệu bao gồm đầy đủ thành phẩn HTTP request method, host, url, query, phiên http, User-Agent, Cookie, Connection… 232 3.2 Các phương pháp thử nghiệm nhận dạng Các thử nghiệm nhận dạng phân loại yêu cầu HTTP bình thường hay bất thường thực để đánh giá ảnh hưởng tập đặc trưng đề xuất, bao gồm :  Chỉ sử dụng đặc trưng trích xuất từ phương thức  Chỉ sử dụng đặc trưng trích xuất từ URL  Chỉ sử dụng đặc trưng trích xuất từ payload  Sử dụng đặc trưng trích xuất từ method and URL  Sử dụng đặc trưng trích xuất từ method and payload  Sử dụng đặc trưng trích xuất từ URL and payload  Sử dụng đặc trưng trích xuất từ method, URL and payload Các thử nghiệm thực với mơ hình hồi quy logistic, máy hỗ trợ véc tơ, XGBoost rừng ngẫu nhiên Kết thử nghiệm mô tả bảng bảng RandomForest Tuy nhiên đặc thù liệu mà nghiên cứu tập trung vào việc phát công dựa liệu thu thập từ URL, payload, phương thức Trong đó, thực tế hacker thực nhiều loại công Web thông qua trường khác header Cookies, User-agent… Vì tương lại, chúng tơi tiếp tục nghiên cứu hồn thiện mơ hình để có khả phát công trường liệu yêu cầu HTTP nâng cấp khả xử lý phân tích xử lý lượng liệu lớn trình huấn luyện LỜI CÁM ƠN Nghiên cứu tài trợ công ty CyberLotus Technology, Việt Nam TÀI LIỆU THAM KHẢO [1] Bảng Kết nhận dạng phân loại yêu cầu truy nhập HTTP theo dạng bất thường hay không bất thường sử dụng phân lớp máy hỗ trợ véc tơ, XGBoost rừng ngẫu nhiên Bộ tham số sử dụng bao gồm 12 đặc trưng trích xuất từ method, URL and payload Trong bảng này, FPR tỷ lệ nhận dạng truy vấn bất thường [2] [3] Mơ hình học máy Máy hỗ trợ véc tơ FPR 0.997 XGBoost 1.0 Rừng ngẫu nhiên 1.0 [4] [5] Kết bảng cho thấy sử dụng đặc trưng trích xuất từ phương thức kết nhận dạng thấp So sánh nhóm đặc trưng trích xuất từ phương thức, URL payload nhóm đặc trưng trích xuất từ payload cho kết cao Như thông tin payload thông tin quan trọng để phát yêu cầu HTTP bình thường hay bất thường Ngoài từ bảng cho thấy kết tốt kết hợp tập đặc trưng với Ta thấy việc phân tích liệu để phát công đạt kết tốt ta sử dụng tất đặc trưng trích xuất từ ba nhóm URL, phương thức payload Ngồi kết bảng cho thấy hai phương pháp phân lớp XGBoost Random Forest cho kết phân loại xác tới tuyệt đối Hơn để so sánh với nghiên cứu trước đó, phương pháp tiếp cận nghiên cứu cho kết cao hẳn so với nghiên cứu tác giả liệu CSIC vào năm 2016 [3] Ở nghiên cứu độ xác tốt (FPR) mà tác giả đạt 93,65% IV [6] [7] [8] [9] [10] [11] KẾT LUẬN [12] Trong nghiên cứu này, đề xuất đặc trưng cho vấn đề nhận biết yêu cầu HTTP bình thường hay bất thường Các đặc trưng trích xuất từ thơng tin liên quan đến phương thức, URL payload yêu cầu HTTP Kết đạt độ xác 100% sử dụng XGBoost [13] 233 Rafal Kozik, Michal Choraś, Rafal Renk, Witold Holubowicz “A Proposal of Algorithm for Web Applications Cyber Attack Detection” 13th IFIP International Conference on Computer Information Systems and Industrial Management (CISIM), Nov 2014, Ho Chi Minh City, Vietnam Springer, Lecture Notes in Computer Science, LNCS-8838, pp.680-687, 2014, Computer Information Systems and Industrial Management doi 10.1007/978-3-662-45237-0_61 Althubiti, Sara; Yuan, Xiaohong; and Esterline, Albert, "Analyzing HTTP requests for web intrusion detection" KSU Proceedings on Cybersecurity Education, Research and Practice 2, 2017 Nguyen, H.T., et al "Application of the generic feature selection measure in detection of web attacks” Computational Intelligence in Security for Information Systems Berlin: Springer, 2011, 25-32 Eiei Han, “Analyzing and classifying Web application attacks”, International Journal of Advances in Electronics and Computer Science, ISSN: 2393-2835 Volume-2, Issue-4, April-2015 Melody Moh, Santhosh Pininti, Sindhusha Doddapaneni, and TengSheng Moh, “Detecting Web Attacks Using Multi-Stage Log Analysis”, 2016 IEEE 6th International Conference on Advanced Conputing Shailendra Rathore, Pradip Kumar Sharma, and Jong Hyuk Park, “XSSClassifier: An Efficient XSS Attack Detection Approach Based on Machine Learning Classifier on SNSs”, J Inf Process Syst, Vol.13, No.4, pp.1014~1028, August 2017 David Atienza, Álvaro Herrero and Emilio Corchado , “Neural Analysis of HTTP Traffic for Web Attack Detection”, International Joint Conference, Advances in Intelligent Systems and Computing 369, DOI 10.1007/978-3-319-19713-5_18, Springer International Publishing Switzerland 2015 Yao Pan, Fangzhou Sun, Jules White, Douglas Schmidt, Jacob Staples, Lee Krause, “Detecting Web Attacks with End-to-End Deep Learning”, IEEE Transactions on Dependable and Secure Computing Farhan Douksieh Abdi and Lian Wenjuan, “Malicious Url detection using convolutional neural network”, International Journal of Computer Science, Engineering and Information Technology (IJCSEIT), Vol.7, No.6, December 2017 Asaad Moosa, “Artificial Neural Network based Web Application Firewall for SQL Injection”, World Academy of Science, Engineering and Technology International Journal of Computer and Information Engineering Vol:4, No:4, 2010 C Torrano-Gimenez, A Perez-Villegas, G Alvarez, “An Anomalybased Web Application Firewall” In Proc of International Conference on Security and Cryptography (SECRYPT 2009), pp 23-28 INSTICC Press Milan, Italia, 2009 Fredrik Valeur, Darren Mutz, and Giovanni Vigna , “A Learning-Based Approach to the Detection of SQL Attacks”, Proceedings of the Conference on Detection of Intrusions and Malware and Vulnerability Assessment (DIMVA), Vienna, Austria, July 2005 Christopher Kruegel, Giovanni Vigna, “Anomaly Detection of Webbased Attacks”, proceedings of the ACM Conference on Computer and Communication Security (CCS), Washington, DC, October 2003 [14] Giménez, C.T., Villegas, A.P., and Marañón, G.A., HTTP Dataset CSIC 2010, http://www.isi.csic.es/dataset/ [15] Krügel, Christopher & Vigna, Giovanni, “Anomaly detection of webbased attacks”, Proceedings of the 10th ACM Conference on Computer and Communications Security, CCS 2003, Washington, DC, USA, October 27-30 [16] OWASP, OWASP Top 10, 2017 (https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project) [17] OpenResty, https://openresty.org/en/ (2018) [18] “Analyzing Web Traffic”, ECML/PKDD 2007 Discovery Challenge, September 17-21, 2007, Warsaw, Poland, http://www.lirmm.fr/pkdd2007-challenge/ 234 ... Đếm kí tự đặc biệt, thường sử dụng công Web phổ biến Dựa vào kinh nghiệm nghiên cứu bảo mật Web với tham khảo tài liệu liên quan, thống kê số kí tự thường sử dụng công Web SQL injection, XSS, LFI,... thường sử dụng ứng dụng Web, người dùng thông thường đơn giản sử dụng chức có sẵn Website Khi liệu gửi lên Server liệu chuẩn bị từ trước ln bao gồm kí tự có ý nghĩa in Mặt khác, hacker thường sử dụng. .. Chỉ sử dụng đặc trưng trích xuất từ phương thức  Chỉ sử dụng đặc trưng trích xuất từ URL  Chỉ sử dụng đặc trưng trích xuất từ payload  Sử dụng đặc trưng trích xuất từ method and URL  Sử dụng