(Tiểu luận) báo cáo thực tập tốt nghiệp đại học đề tài phát triển công cụ phục vụ kiểm thử an ninh cơ sở dữ liệu

Gáy NGU YỄN THỊ BẢO ANH MSS V: N19 DCA T003 Đề Tài: Phát Triển Công Cụ Phục Vụ Kiể m Thử An Ninh Cơ Sở Dữ Liệu Lớp: D19 CQA T01N BỘ THÔNG TIN VÀ TRUYỀN THÔNG HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG BÁO CÁO THỰC TẬP TỐT NGHIỆP ĐẠI HỌC Đề tài: “Phát triển công cụ phục vụ kiểm thử an ninh sở liệu” Người hướng dẫn : TS.Huỳnh Trọng Thưa Sinh viên thực : Nguyễn Thị Bảo Anh Mã số sinh viên : N19DCAT003 Lớp : D19CQAT01-N Khóa : 2019 – 2024 Hệ : ĐẠI HỌC CHÍNH QUY TP.HCM, tháng 08/2023 i BỘ THƠNG TIN VÀ TRUYỀN THƠNG HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG BÁO CÁO THỰC TẬP TỐT NGHIỆP ĐẠI HỌC Đề tài: “Phát triển công cụ phục vụ kiểm thử an ninh sở liệu” Người hướng dẫn : TS.Huỳnh Trọng Thưa Sinh viên thực : Nguyễn Thị Bảo Anh Mã số sinh viên : N19DCAT003 Lớp : D19CQAT01-N Khóa : 2019 – 2024 Hệ : ĐẠI HỌC CHÍNH QUY TP.HCM, tháng 08/2023 LỜI CẢM ƠN Lời đầu tiên, em xin phép gửi lời tri ân sâu sắc đến thầy cô trường Học Viện Cơng Nghệ Bưu Chính Viễn Thơng sở TP.HCM tận tình dẫn dắt truyền đạt cho em nhiều kiến thức quý báu trong năm học vừa qua Đặc biệt, em xin gửi lời cảm ơn chân thành tới ThS.Huỳnh Trọng Thưa Thầy truyền đạt kiến thức, hướng dẫn em nghiên cứu thực hành suốt trình thực đề tài Em không tiếp thu thêm nhiều kiến thức mà học tinh thần thái độ làm việc nghiêm túc từ thầy Đó hành trang cần thiết cho trình làm việc tương lai Em xin chân thành cảm ơn ban lãnh đạo Công ty TNHH Sản Xuất Và Thương Mại NIPLAS Việt Nam nhận em thực tập tạo điều kiện cho em tham gia học hỏi, áp dụng kiến thức vào thực tế mà em học trường Vì lần đầu em tiếp xúc với môi trường làm việc thực tế công ty nên làmcủa em cịn có nhiều thiếu sót Em mong nhận thơng cảm đóng góp ý kiến q thầy phía cơng ty toàn thể bạn Sau cùng, em xin chúc quý thầy cô khoa Công nghệ thông tin thầy Huỳnh Trọng Thưa thật dồi sức khỏe để tiếp tục truyền đạt kiến thức cho hệ mai sau TP.Hồ Chí Minh, ngày 13 tháng năm 2023 SINH VIÊN THỰC HIỆN ĐỀ TÀI NGUYỄN THỊ BẢO ANH - N19DCAT003 MỤC LỤC LỜI MỞ ĐẦU 1 Mục đích Phương pháp nghiên cứu CHƯƠNG I: TỔNG QUAN VỀ ĐỀ TÀI Lý chọn đề tài 2 Phạm vi nghiên cứu CHƯƠNG II: CƠ SỞ LÝ THUYẾT .3 Kiểm thử an ninh sở liệu .3 1.1 Khái niệm - Mục tiêu 1.2 Các lỗ hổng phổ biến Cơ sở liệu Quy trình kiểm thử an ninh sở liệu .4 2.1 Yêu cầu kiểm thử sở liệu 2.2 Các kỹ thuật kiểm thử an ninh sở liệu CHƯƠNG III: TRIỂN KHAI KỸ THUẬT Công cụ kiểm thử an ninh sở liệu Triển khai sở liệu có lỗ hổng 10 Xây dựng trang web bị lỗ hổng sở liệu 15 3.1 Giới thiệu 15 3.2 Các modul dự án 15 3.3 Tiến Hành Khai Thác 22 CHƯƠNG IV: ĐÁNH GIÁ VÀ KẾT LUẬN 27 Đánh giá 27 Kết luận 27 TÀI LIỆU THAM KHẢO 28 MỤC LỤC HÌNH ẢNH Hình 1: Giao diện dashboard BurpSuite………………………………………… Hình 2: Giao diện target burp suite……………………………………………… Hình 3: Giao diện proxy burp suite……………………………………………… Hình 4: Giao diện intruder burp suite…………………………………………… 10 Hình 5: Giao diện repeater burp suite…………………………………………… 11 Hình 6: Giao diện sequencer burp suite………………………………………… 11 Hình 7: Giao diện decoder burp suite…………………………………………… 12 Hình 8: Giao diện comparer burp suite………………………………………… 12 Hình 9: Giao diện logger burp suite…………………………………………… 13 Hình 10: Giao diện extender burp suite……………………………………… 13 Hình 11: Giao diện dashboard trang web – admin…………………………… 15 Hình 12: Giao diện phần Phlebotomist trang web – admin…………………… 15 Hình 13: Giao diện phần testing trang web –admin…………………………… 16 Hình 14: Giao diện phần report trang web – admin…………………………… 16 Hình 15: Giao diện phần notifiction trang web……………………………… 17 Hình 16: Giao diện phần testing trang web – users………………………… 17 Hình 17: Giao diện phần testing trang web – users………………………… 18 Hình 18: Giao diện phần report trang web – users…………………………… 18 Hình 19: Giao diện phần dashboard trang web – users……………………… 19 Hình 20: Phần login trang web………………………………………………… 19 Hình 21: Login với payload………………………………………………………… 20 Hình 22: Thơng tin admin………………………………………………………… 20 Hình 23: Giao diện thêm thơng tin mẫu thử……………………………………… 21 Hình 24: Cơ sở liệu trước bị công sql injection………………………… 21 Hình 25: Payload đưa vào burp suite………………………………………………… 22 Hình 26: Nhập thơng tin nhân viên………………………………………………… 22 Hình 27: Thêm nhân viên thành cơng……………………………………………… 23 Hình 28: Cơ sở liệu sau bị cơng………………………………………… 23 Hình 29: Phần report trang web………………………………………… 23 Hình 30: Đưa payload để cơng…………………………………………………… 24 Hình 31: Phiên sở liệu…………………………………………………24 Hình 32: Tên sở liệu……………………………………………………… 25 Báo cáo TTTN Đại học LỜI MỞ ĐẦU LỜI MỞ ĐẦU Trong bối cảnh ngày gia tăng phụ thuộc vào công nghệ thông tin lan rộng sở liệu, việc đảm bảo an ninh bảo vệ thông tin trở thành vấn đề cấp bách Cơ sở liệu chứa đựng thông tin quan trọng nhạy cảm, xâm nhập mát liệu gây hậu nghiêm trọng cho cá nhân, tổ chức xã hội Với mục tiêu tạo mơi trường an tồn đáng tin cậy cho sở liệu, em chọn đề tài "Phát triển công cụ phục vụ kiểm thử an ninh sở liệu" Đề tài tập trung vào việc phát triển công cụ đặc biệt thiết kế để kiểm thử đánh giá mức độ an toàn sở liệu Với phát triển nhanh chóng cơng nghệ phương thức công ngày tinh vi, công cụ kiểm thử an ninh sở liệu trở thành yếu tố cần thiết để phòng ngừa, phát khắc phục lỗ hổng bảo mật sở liệu Cơng cụ giúp tìm điểm yếu, thiết lập biện pháp bảo mật phù hợp đánh giá mức độ an toàn sở liệu Bên cạnh việc đảm bảo tính bảo mật sở liệu, công cụ kiểm thử an ninh sở liệu hỗ trợ tổ chức tuân thủ quy định pháp lý bảo mật thông tin Việc kiểm tra tuân thủ quy định phát vi phạm giúp tăng cường uy tín tin cậy tổ chức Đề tài khơng mang tính thực tiễn mà cịn góp phần vào phát triển bền vững ngành công nghệ thông tin an ninh mạng Sự phát triển áp dụng công cụ kiểm thử an ninh sở liệu giúp em nâng cao kiến thức kỹ năng, đồng thời tạo môi trường an toàn cho việc lưu trữ truy cập liệu quan trọng Với cam kết đam mê nghiên cứu đề tài này, em hy vọng công cụ kiểm thử an ninh sở liệu đóng góp tích cực vào việc bảo vệ thông tin, tăng cường an ninh xây dựng hệ thống sở liệu đáng tin cậy thời đại số Mục đích - Tổng quát kiến thức lỗ hổng phổ biến sở liệu Tổng quát kỹ thuật kiểm thử lỗ hổng sở liệu Tìm hiểu yêu cầu lỗ hổng sở liệu Thực phân tích, thiết kế xây dựng cơng cụ phục vụ kiểm thử lỗ hổng sở liệu Phương pháp nghiên cứu - Về mặt lý thuyết: Thu thập, khảo sát, phân tích tài liệu thơng tin có liên quan đến lỗ hổng sở liệu Về mặt thực nghiệm: Xây dựng mơ hình triển khai cơng cụ phục vụ kiểm thử lỗ hổng sở liệu NGUYỄN THỊ BẢO ANH_D19CQAT01-N Document continues below Discover more from: máy tính Mang INT1336 Học viện Công ng… 266 documents Go to course Luận văn nghiên cứu 59 ứng dụng Blockchain Mang máy tính 100% (12) NHDT MMT - Đề ơn 42 thi trắc nghiệm… Mang máy tính 92% (26) De tai iot su dung 84 esp - hệ thống cảm… Mang máy tính 100% (7) Bai giang Computer 193 Network 2012 1118 Mang máy tính 93% (14) DE-thi kì tin học sở Mang máy Báo cáo TTTN Đại học 100% (5) tính CHƯƠNG I: TỔNG QUAN VỀ ĐỀ TÀI 300 cau hoi trac nghiem CHƯƠNG I: TỔNG QUAN VỀ ĐỀ TÀI kien truc… Lý chọn đề tài 53 Mang máy 100% (5) Cơ sở liệu đóng vai trị khơng thể thiếu hệ thống thơng tínhtin tổ chức, đảm bảo việc lưu trữ quản lý liệu cách hiệu Tuy nhiên, đồng điều đó, mối đe dọa an ninh sở liệu ngày gia tăng Do đó, việc phát triển cơng cụ phục vụ kiểm thử an ninh sở liệu trở thành nhiệm vụ cấp bách Một lý hàng đầu cho việc em chọn đề tài tăng cường an ninh Bảo vệ sở liệu trước mối đe dọa an ninh xâm nhập, truy cập trái phép hay công mạng yếu tố vô quan trọng Phát triển công cụ kiểm thử an ninh sở liệu giúp xác định lỗ hổng điểm yếu hệ thống, từ tăng cường an ninh bảo vệ liệu quan trọng Việc phát triển công cụ kiểm thử an ninh sở liệu đóng vai trị quan trọng việc phịng ngừa cơng Thơng qua việc xác định lỗ hổng bảo mật thiết kế biện pháp bảo mật phù hợp, công cụ giúp ngăn chặn việc xâm nhập giảm nguy bị liệu công mạng Điều đồng nghĩa với việc tăng cường đáng tin cậy chất lượng hệ thống sở liệu, bảo vệ liệu quan trọng đảm bảo hoạt động ổn định tổ chức Phát triển công cụ kiểm thử an ninh sở liệu đóng góp tích cực vào phát triển ngành công nghệ thông tin an ninh mạng Việc nghiên cứu áp dụng phương pháp mới, công nghệ tiên tiến giúp tạo công cụ hiệu quả, giảm thiểu rủi ro tạo mơi trường kỷ luật, an tồn cho việc sử dụng sở liệu Điều không hỗ trợ tổ chức việc quản lý bảo vệ liệu, mà cịn góp phần vào phát triển bền vững ngành công nghiệp công nghệ thơng tin Vì vậy, sau thời gian tìm tịi, em chọn đề tài: “Phát triển công cụ phục vụ kiểm thử an ninh sở liệu” Phạm vi nghiên cứu Trong đề tài em tập trung nghiên cứu phần sau: - Nghiên cứu tổng quan lỗ hổng sở liệu - Nghiên cứu kỹ thuật kiểm thử an ninh sở liệu - Tìm hiểu yêu cầu kiểm thử sở liệu NGUYỄN THỊ BẢO ANH_D19CQAT01-N Báo cáo TTTN Đại học CHƯƠNG II: CƠ SỞ LÝ THUYẾT CHƯƠNG II: CƠ SỞ LÝ THUYẾT 1.1 Kiểm thử an ninh sở liệu 1.1.1 Khái niệm - Mục tiêu Kiểm thử an ninh sở liệu trình đánh giá kiểm tra sở liệu hệ thống, ứng dụng, hay môi trường để xác định mức độ bảo mật đảm bảo tính an tồn chúng Mục tiêu kiểm thử an ninh sở liệu là: - Xác định lỗ hổng sở liệu hệ thống Điều bao gồm tìm hiểu khám phá lỗ hổng xác thực, phân quyền, mã hóa, kiểm soát truy cập, quản lý phiên lỗ hổng khác khai thác để truy cập trái phép vào hệ thống lợi dụng thông tin nhạy cảm - Xác định rủi ro bảo mật tiềm ẩn bao gồm việc đánh giá mức độ tổn thương tiềm lỗ hổng bảo mật tìm thấy, từ đưa biện pháp khắc phục ưu tiên hoạt động bảo mật - Kiểm tra tính an tồn bảo mật hệ thống Điều bao gồm việc kiểm tra tính đáng tin cậy chế xác thực, phân quyền kiểm soát truy cập, đảm bảo liệu mã hóa cách an tồn biện pháp bảo mật khác triển khai cách - Giúp đảm bảo hệ thống tuân thủ sách quy định bảo mật thiết lập Điều bao gồm xác định xem liệu sở liệu đáp ứng yêu cầu bảo mật, kiểm tra tuân thủ quy định bảo mật liệu cá nhân (như GDPR), đảm bảo quy trình bảo mật sách thực cách - Cung cấp đánh giá chi tiết tình trạng bảo mật hệ thống đề xuất biện pháp khắc phục cải thiện Đánh giá giúp đội ngũ quản lý nhóm phát triển có nhìn rõ ràng lỗ hổng bảo mật rủi ro, từ triển khai biện pháp bảo mật cải thiện tính bảo mật Mục tiêu kiểm thử an ninh đảm bảo tính bảo mật, an tồn tin cậy hệ thống, ứng dụng mơi trường, từ giảm thiểu rủi ro bảo vệ thông tin quan trọng tổ chức 1.1.2 Các lỗ hổng phổ biến Cơ sở liệu - - Lỗ hổng Injection (Injection Vulnerabilities): Lỗ hổng injection lỗ hổng phổ biến nguy hiểm sở liệu Nó xảy liệu đầu vào không kiểm tra xử lý cách, cho phép tin tặc chèn mã độc câu lệnh SQL/CMD không hợp lệ Kết truy cập trái phép vào sở liệu, thay đổi liệu, thực hoạt động không ủy quyền Lỗ hổng xác thực yếu (Weak Authentication Vulnerabilities): Lỗ hổng xác thực yếu liên quan đến trình xác thực quản lý danh sách người dùng hợp lệ Điều bao gồm việc sử dụng mật yếu, sử dụng chế xác thực không an NGUYỄN THỊ BẢO ANH_D19CQAT01-N Báo cáo TTTN Đại học - - - - CHƯƠNG II: CƠ SỞ LÝ THUYẾT tồn, khơng giới hạn số lần thử đăng nhập, không quản lý tài khoản người dùng đầy đủ Lỗ hổng quản lý quyền truy cập (Access Control Vulnerabilities): Lỗ hổng quản lý quyền truy cập xảy hệ thống không thực việc kiểm soát quyền truy cập cách Điều dẫn đến việc người dùng truy cập sửa đổi liệu mà họ không phép, không giới hạn quyền truy cập tài khoản có đặc quyền Lỗ hổng quản lý phiên (Session Management Vulnerabilities): Lỗ hổng quản lý phiên xảy hệ thống không quản lý phiên người dùng cách an tồn Điều cho phép tin tặc lấy thông tin phiên người dùng hợp lệ xâm nhập vào phiên người dùng Tin tặc sử dụng thơng tin phiên để thực hoạt động trái phép Lỗ hổng mã hóa (Encryption Vulnerabilities): Lỗ hổng mã hóa xảy liệu sở liệu không mã hóa mã hóa khơng đủ mạnh, dẫn đến rủi ro liệu bị truy cập trái phép Lỗ hổng bao gồm việc lưu trữ mật khơng mã hóa sử dụng thuật tốn mã hóa yếu Lỗ hổng khác (Other Vulnerabilities): Ngồi lỗ hổng trên, cịn có nhiều lỗ hổng khác tồn sở liệu lỗ hổng xử lý lỗi, lỗ hổng quản lý ghi nhật ký, lỗ hổng bảo mật hệ điều hành, lỗ hổng cấu hình sai, lỗ hổng mạng lỗ hổng liên quan đến vá bảo mật chưa cài đặt đầy đủ 2.1 Quy trình kiểm thử an ninh sở liệu 2.1.1 Yêu cầu kiểm thử sở liệu a) Xác định rõ phạm vi kiểm thử sở liệu: ● Các thành phần bản: Bảng, quan hệ, truy vấn, chức ● Ứng dụng liên quan ● Môi trường hoạt động ● Các vùng bảo mật cần kiểm tra b) Xác định mục tiêu cụ thể kiểm thử sở liệu: ● Tìm lỗ hổng bảo mật ● Xác định rủi ro ● Kiểm tra tính đáng tin cậy an toàn liệu ● Đánh giá tuân thủ sách quy định bảo mật ● Kiểm tra hiệu suất khả phục hồi c) Xác định kỹ thuật kiểm thử: ● Phù hợp với mục tiêu phạm vi kiểm thử d) Xác định thời gian nguồn lực cần thiết để thực kiểm thử sở liệu: ● Thời gian cần để hoàn thành kiểm thử ● Nguồn lực công cụ kiểm thử ● Phần cứng ● Nhân lực ● Lịch trình thực kiểm thử NGUYỄN THỊ BẢO ANH_D19CQAT01-N Admin cập nhật hồ sơ mình, thay đổi mật khơi phục mật - ● Users (Bệnh nhân) bị giới hạn số quyền so với admin Testing: Phần chia thành hai phần Một dành cho người dùng khác dành cho người dùng đăng ký Người dùng (Người dùng lần đầu) cần cung cấp Thông tin cá nhân xét nghiệm Người dùng đăng ký cần cung cấp thông tin xét nghiệm, thông tin cá nhân họ lấy từ sở liệu HÌNH 16: GIAO DIỆN PHẦN TESTING CỦA TRANG WEB – USERS NGUYỄN THỊ BẢO ANH_D19CQAT01-N 14 - Report: Trong phần này, người dùng tìm kiếm báo cáo xét nghiệm tên số điện thoại đăng ký HÌNH 18: GIAO DIỆN PHẦN REPORT CỦA TRANG WEB - USERS - Dashboard: Trong phần này, người dùng thấy trạng thái có xét nghiệm thực HÌNH 19: GIAO DIỆN PHẦN DASHBOARD CỦA TRANG WEB – USERS  - Trong phần triển khai kỹ thuật, em có sử dụng thêm công cụ Burp Suite để hỗ trợ Khi mở lên giao diện Burp Suite sau: Ở giao diện Dashboard, có thơng tin Task chạy, Event log, phía bên phải lỗ hổng tìm thấy NGUYỄN THỊ BẢO ANH_D19CQAT01-N 15 HÌNH 1: GIAO DIỆN DASHBOARD CỦA BURPSUITE - Tiếp đến giao diện phần Target, có thơng tin sites truy cập, request thực site này, người dùng nhấn nút > site, để xem dạng cây, có nhìn trực quan target Cũng Target, có subtab Scope, dùng để định Site thuộc scope, phục vụ việc filter request nhanh chóng - Tiếp đến giao diện tab Proxy, phần quan trọng Burp Suite Tab HTTP history lưu lịch sử request thực trình tương tác với ứng dụng Người dùng sử dụng thông tin để xem chi tiết request, response ứng dụng HÌNH 2: GIAO DIỆN TARGET CỦA BURP SUITE NGUYỄN THỊ BẢO ANH_D19CQAT01-N 16 - Từ tab Proxy, người dùng chọn request gửi request đến tool khác Burp, Repeater, Intruder, Comparer, … HÌNH 3: GIAO DIỆN PROXY CỦA BURP SUITE - Tab Intruder, sử dụng để brute force username/password, directory HÌNH 4: GIAO DIỆN INTRUDER CỦA BURP SUITE - Kế bên tab Intruder, Repeater, thành phần thiếu lần pentest Các request tab Target, Proxy chọn "Sent request to Repeater" hiển thị Tại giao diện này, cho phép chỉnh sửa thành phần request, từ method, headers, parameters, Sau chỉnh sửa request xong, nhấn Send để gửi request đến server NGUYỄN THỊ BẢO ANH_D19CQAT01-N 17 HÌNH 5: GIAO DIỆN REPEATER CỦA BURP SUITE - Tiếp đến tab Sequencer, dùng để phân tích token ứng dụng, sử dụng nhiều để xem mức độ phức tạp thuật toán tạo token, xem bị dị đốn hay khơng - Tiếp đến tab Decoder, dùng để encode, decode thơng tin mà người dùng nhập vào, ví dụ decode Base64, encode MD5, , sử dụng hiều HÌNH 6: GIAO DIỆN SEQUENCER CỦA BURP SUITE NGUYỄN THỊ BẢO ANH_D19CQAT01-N 18 HÌNH 7: GIAO DIỆN DECODER CỦA BURP SUITE - Tab Comparer, dùng để so sánh request, response khác nhau, người dùng gửi vào (thông qua Proxy tab Target tab, việc nhấn chuột phải vào request, chọn "Sent to Comparer") Chức hữu dụng việc tìm điểm khác request, trường hợp request lớn để xem mắt thường - Tab Logger dùng để log lại tất request thực Burp HÌNH 8: GIAO DIỆN COMPARER CỦA BURP SUITE HÌNH 9: GIAO DIỆN LOGGER CỦA BURP SUITE NGUYỄN THỊ BẢO ANH_D19CQAT01-N 19 - Tab Extender: Ở tab này, cho phép người thêm extension có sẵn Burp, thêm extension người dùng phát triển - Hai tab Project Options User Options dùng để cấu hình xác thực (khi pentest ứng dụng yêu cầu xác thực vào được), chỉnh Upstream proxy, để đẩy request từ Burp đến proxy khác (dùng tương tác với nhiều thành viên khác nhau, để tập trung request nhiều tester nơi nhất, ) HÌNH 10: GIAO DIỆN EXTENDER CỦA BURP SUITE NGUYỄN THỊ BẢO ANH_D19CQAT01-N 20 3.3 Triển Khai Kiểm Thử Và Tiến Hành Khai Thác B1: Trên công cụ kiểm thử Netsparker Thêm website URL (http://localhost/covid-tms) để bắt đầu tiến trình thu thập thơng tin: Phát website chứa lỗ hổng SQL Injection B2: Khai Thác Lỗ Hổng Truy cập vào mục Login trang chủ giao diện trang web: HÌNH 20: PHẦN LOGIN CỦA TRANG WEB NGUYỄN THỊ BẢO ANH_D19CQAT01-N 21 Vì khai thác SQL Injection (Lỗ hổng quét thấy công cụ kiểm thử Netsparker) nên khơng có thơng tin tài khoản để đăng nhập vào trang web - Sử dụng Username là: admin Vì khơng thể biết Password admin, nên em sử dụng Burp Suite để quét payload: HÌNH 21: DỊ PAYLOAD PHÙ HỢP HÌNH 21: LOGIN VỚI PAYLOAD Và đăng nhập thành công với Username admin NGUYỄN THỊ BẢO ANH_D19CQAT01-N 22 HÌNH 22: THƠNG TIN ADMIN Tiếp tục qua trang nhập mẫu thử (Phlebotomist) HÌNH 23: GIAO DIỆN THÊM THƠNG TIN MẪU THỬ NGUYỄN THỊ BẢO ANH_D19CQAT01-N 23 HÌNH 24: CƠ SỞ DỮ LIỆU TRƯỚC KHI BỊ TẤN CÔNG SQL INJECTION Ở phần Employee Id, nhập EmpId tồn sở liệu nhận thơng báo EmpId tồn thêm Tuy nhiên, sử dụng Burp Suite đưa payload phù hợp vượt qua chế NGUYỄN THỊ BẢO ANH_D19CQAT01-N 24 HÌNH 25: PAYLOAD ĐƯA VÀO BURP SUITE Sau gửi payload lên Server EmpId trùng Employee đưa vào sở liệu Đăng ký thành công sở liệu tồn EmpId có thơng tin khác HÌNH 28: CƠ SỞ DỮ LIỆU SAU KHI BỊ TẤN CÔNG NGUYỄN THỊ BẢO ANH_D19CQAT01-N 25 Từ lỗ hổng này, kẻ cơng tìm thêm EmpID admin để thêm tài khoản có quyền admin Tiếp tự sử dụng Union Attack để tìm tên sở liệu Payload: searchdata=1111') UNION ALL SELECT NULL,NULL,NULL,NULL,DATABASE(),NULL,NULL FROM INFORMATION_SCHEMA.TABLES -&search=Search HÌNH 32: TÊN CỦA CƠ SỞ DỮ LIỆU Thông tin cho thấy tên cở liệu là: covidtmsdb NGUYỄN THỊ BẢO ANH_D19CQAT01-N 26 Báo cáo TTTN Đại học CHƯƠNG IV: ĐÁNH GIÁ VÀ KẾT LUẬN CHƯƠNG IV: ĐÁNH GIÁ VÀ KẾT LUẬN Đánh giá - Về mặt lý thuyết: Em nắm lỗ hổng phổ biến sở liệu ● ● ● ● ● Biết yêu cầu kiểm thử sở liệu Nhận thức tính nghiêm trọng bị cơng sở liệu Về thực hành triển khai kỹ thuật: Triển khai kiểm thử an ninh sở liệu Triển khai sở liệu có lỗ hổng để thực hành công khai thác Sử dụng số cách công thực thành công Kết luận - Dựa vào em tìm hiểu thực hành trình nghiên cứu kiểm thử an ninh sở liệu mà em hiểu sâu lỗ hổng sở liệu tính nghiêm trọng bị cơng sở liệu NGUYỄN THỊ BẢO ANH_D19CQAT01-N 27 Báo cáo TTTN Đại học TÀI LIỆU THAM KHẢO Tài Liệu Tham Khảo       @dao.thi.huong (2018) KIỂM THỬ CƠ SỞ DỮ LIỆU (DATABASE TESTING) viblo, Duyen, T T (2020) Security Testing Các tool đề xuất dùng cho Security Testing, Duyen, T T (2023) SQL Injection Testing (Security Testing) SQL Injection Testing (Security Testing), Gov (2023) Một số vấn đề bảo mật sở liệu doanh nghiệp - An Tồn Thơng Tin Bảo mật sở liệu doanh nghiệp, phpgurukul (2020) COVID19 Testing Management System Using PHP and MySQL PHPGURUKUL PROGRAMMING BLOG, taiwebs (2020) Thông tin phần mềm kiểm thử an ninh sở liệu phần mềm kiểm thử an ninh, NGUYỄN THỊ BẢO ANH_D19CQAT01-N 28