Câu trả lời đúng
Các tấn công ứng dụng web thường được thực hiện qua lưu lượng HTTP/HTTPS nên bị các thiết bị an ninh mạng truyền thống bỏ qua.
Giải thích chi tiết
Thiết bị truyền thống (Firewall trạng thái, IPS/IDS dựa signature, Router ACL)
- Hoạt động chủ yếu ở Lớp 3/4 (Network/Transport): lọc theo IP, port, protocol.
- Hiểu hạn chế về Lớp 7 (Application): không phân tích cú pháp HTTP, JSON, XML, SQL, script.
- Chặn dựa trên signature tấn công mạng (ví dụ: quét port, flood SYN, exploit buffer overflow dịch vụ mạng).
Tấn công ứng dụng web (Web Application Attacks)
- Đi trong lưu lượng HTTP/HTTPS hợp pháp (port 80/443 mở cho web server).
- Khai thác lỗ hổng logic nghiệp vụ, validation input, authentication, authorization.
- Ví dụ: SQL Injection (SQLi), Cross-Site Scripting (XSS), CSRF, Path Traversal, Broken Access Control.
- Payload nhúng trong parameter, header, body, cookie – firewall truyền thống không "hiểu" ngữ nghĩa.
Các khái niệm liên quan trong bài问答
Session Token
Chuỗi ngẫu nhiên do web server sinh ra để xác định phiên làm việc của người dùng sau khi đăng nhập. Thay cho việc gửi username/password mỗi request. Truyền qua: Cookie, URL parameter, Header (Authorization: Bearer), Hidden form field.
Man-in-the-Middle (MitM) Attack
Kẻ tấn công chặn, đọc, sửa, chèn dữ liệu giữa hai bên komunikasi (client-server). Các dạng: ARP spoofing, DNS spoofing, HTTPS stripping, Evil Twin AP.
Cross-Site Request Forgery (CSRF)
Kẻ tấn công lừa trình duyệt nạn nhân gửi request trái phép đến ứng dụng web đã xác thực (dùng session cookie của nạn nhân). Phòng chống: Anti-CSRF token, SameSite Cookie, kiểm tra Origin/Referer header.
SQL Injection (SQLi)
Chèn mã SQL độc hại qua input không được validate/sanitize. Hậu quả: đọc/sửa/xóa dữ liệu DB, thực thi lệnh OS, bypass login.
Cross-Site Scripting (XSS)
Chèn script độc hại (JavaScript) vào trang web hiển thị cho user khác. Loại: Reflected, Stored, DOM-based. Hậu quả: đánh cắp session, deface, keylogger, redirect độc hại.
Session Fixation
Kẻ tấn công thiết lập session ID cho nạn nhân trước khi đăng nhập (gửi link chứa sessionid). Sau khi nạn nhân login, session đó trở thành hợp pháp > kẻ tấn công chiếm đoạt tài khoản. Giai đoạn 1: Initial session setup – kẻ tấn công kết nối server lấy session ID hợp pháp.
Giải pháp: Web Application Firewall (WAF)
Thiết bị/phần mềm chuyên biệt làm việc ở Lớp 7, hiểu ngữ nghĩa HTTP, có rule set (OWASP CRS) chặn SQLi, XSS, RFI, LFI, bot, scanner. Triển khai: Cloud WAF (Cloudflare, AWS WAF), On-prem WAF (ModSecurity, F5 ASM), hoặc RASP (Runtime Application Self-Protection).