📑 KHÓA HỌC CẨM NANG BẢO MẬT WEB & AN NINH MẠNG THỰC CHIẾN
BÀI 2 / 4
Cyber Security • Bài 2
Khóa Học Cẩm Nang An Ninh Mạng (Phần 2): Payloads All The Things & Kỹ Thuật Bypass WAF Thực Chiến
Muốn phòng thủ vững chắc, phải thấu hiểu vũ khí của kẻ tấn công:
PayloadsAllTheThings (hơn 57.000 sao trên GitHub) được xem là bộ bách khoa toàn thư bỏ túi của mọi chuyên gia Pentest và Red Team trên toàn cầu. Khóa học này giải phẫu cơ chế cấu tạo của các dòng payload nguy hiểm nhất và chỉ rõ các kỹ thuật xáo trộn mã (Obfuscation) mà hacker dùng để "lừa" qua mắt Tường lửa ứng dụng web (WAF), từ đó giúp bạn thiết lập quy tắc phòng ngự triệt để.
1. Kho Tàng PayloadsAllTheThings: Cấu Trúc Của Một Thư Viện Vũ Khí Số
Khác với những danh sách mã rời rạc trên mạng, PayloadsAllTheThings được tổ chức khoa học theo từng danh mục tấn công chuyên biệt:
Nhóm 1: SQL Injection (SQLi)
Union · Error · Blind
Các payload trích xuất dữ liệu qua độ trễ thời gian (Time-based:
pg_sleep(5), WAITFOR DELAY) hoặc thông báo lỗi cơ sở dữ liệu.Nhóm 2: Cross-Site Scripting (XSS)
Filter Evasion · SVG
Vượt qua bộ lọc thẻ
<script> bằng các thẻ HTML5 hiện đại như <svg onload=alert(1)> hoặc <details ontoggle=...>.Nhóm 3: Server-Side Template (SSTI)
Template Ingestion · RCE
Khai thác lỗ hổng trong các template engine (Jinja2, Twig, Freemarker) để leo thang từ
{{ 7*7 }} lên thực thi shell lệnh máy chủ.Nhóm 4: Command Injection
Shell Smuggling
Chèn ký tự điều khiển ngắt lệnh (
;, &&, |, `, $()) vào các tham số hệ thống để chạy mã từ xa (RCE).2. Bóc Tách Các Kỹ Thuật Bypass WAF Kinh Điển
1. Kỹ thuật Comment Injection & Whitespace Obfuscation
Nhiều WAF phát hiện SQLi bằng cách tìm kiếm cụm từ UNION SELECT liền nhau hoặc cách nhau bằng dấu cách. Kẻ tấn công thay thế dấu cách bằng các khối chú thích nội dòng của SQL:
-- Payload bypass thông thường qua mặt bộ lọc regex
id=-1UNION/**/SELECT/**/1,username,password/**/FROM/**/users
id=-1UNION/**/SELECT/**/1,username,password/**/FROM/**/users
2. Kỹ thuật Double URL Encoding
Nếu tầng WAF thực hiện giải mã URL một lần nhưng ứng dụng web phía sau lại tiếp tục gọi hàm giải mã URL lần thứ hai trước khi xử lý, hacker sẽ sử dụng mã hóa kép:
- Dấu nháy đơn
'mã hóa URL lần 1 thành%27. - Ký tự
%được mã hóa tiếp thành%25, kết quả là chuỗi%2527. - Khi qua WAF:
%2527được giải mã thành%27(vô hại trong mắt WAF). - Khi vào Backend:
%27được giải mã tiếp thành'→ Kích hoạt lỗi SQLi thành công!
3. Bài Học Phòng Ngự Dành Cho Kỹ Sư Phát Triển Phần Mềm
Nguyên tắc cốt tử: Đừng bao giờ coi WAF (Cloudflare, AWS WAF hay ModSecurity) là giải pháp thay thế cho việc viết code an toàn. WAF chỉ là một lớp cảnh báo và giảm thiểu tấn công tự động (DDoS, Bots). Nếu mã nguồn của bạn còn chứa lỗi ghép chuỗi SQL hay lỗi IDOR, kẻ tấn công sớm muộn cũng sẽ tìm ra cách biến đổi payload để vượt qua WAF!