เปิดช่องโหว่ SQL Injection: ถอดรหัสข้อมูลสำคัญจากเว็บไซต์หน่วยงานรัฐ
โลกออนไลน์ที่เราใช้งานกันอยู่ทุกวันขับเคลื่อนด้วยข้อมูลมากมาย และเบื้องหลังเว็บไซต์ต่างๆ มักมีฐานข้อมูลคอยเก็บรักษาข้อมูลสำคัญเอาไว้ แต่เมื่อใดที่ระบบรักษาความปลอดภัยมีช่องโหว่ ข้อมูลเหล่านั้นก็อาจตกอยู่ในความเสี่ยงได้ง่ายๆ โดยเฉพาะอย่างยิ่งกับเว็บไซต์ของหน่วยงานรัฐที่มีข้อมูลละเอียดอ่อนจำนวนมาก
ช่องโหว่ที่น่ากลัวและพบบ่อยอย่างหนึ่งคือ SQL Injection หรือการโจมตีโดยการฉีดคำสั่ง SQL เข้าไปในระบบ ทำให้ผู้ไม่ประสงค์ดีสามารถอ่าน แก้ไข หรือแม้แต่ลบข้อมูลในฐานข้อมูลได้ ลองจินตนาการว่าหากข้อมูลส่วนตัวประชาชน ข้อมูลการเงิน หรือแม้แต่ข้อมูลความมั่นคงรั่วไหลออกไป จะเกิดผลกระทบที่ร้ายแรงเพียงใด
การค้นหาเป้าหมายและสัญญาณเริ่มต้น
การเริ่มต้นค้นหาช่องโหว่ SQL Injection มักจะเริ่มจากการสอดส่องเว็บไซต์ที่มีพฤติกรรมน่าสงสัย โดยเฉพาะเว็บไซต์ที่มีพารามิเตอร์ URL ที่ดูเหมือนจะมีการเรียกใช้งานข้อมูลจากฐานข้อมูล เช่น id= หรือ cat=
เทคนิคที่ใช้ในการค้นหามักจะอาศัย Google Dorks ซึ่งเป็นการใช้คำสั่งค้นหาพิเศษบน Google เพื่อจำกัดผลลัพธ์ให้ตรงกับเป้าหมาย เช่น การค้นหาเว็บไซต์หน่วยงานรัฐที่มีพารามิเตอร์ id= ใน URL เมื่อพบเว็บไซต์ที่มีลักษณะดังกล่าว ก็จะเริ่มทดสอบเพื่อยืนยันการมีอยู่ของช่องโหว่
ยืนยันช่องโหว่และทำความเข้าใจโครงสร้าง
ขั้นตอนแรกในการยืนยันว่าเว็บไซต์มีช่องโหว่ SQL Injection หรือไม่คือ การลองใส่เครื่องหมาย single quote (‘) เข้าไปในพารามิเตอร์ URL หากเว็บไซต์แสดงข้อผิดพลาดของฐานข้อมูล นั่นอาจเป็นสัญญาณที่ดีว่ามีช่องโหว่เกิดขึ้นแล้ว
จากนั้น จะใช้เทคนิค ORDER BY เพื่อตรวจสอบว่าตารางข้อมูลนั้นมีกี่คอลัมน์ โดยจะเพิ่มตัวเลขไปเรื่อยๆ จนกว่าจะเกิดข้อผิดพลาด ซึ่งตัวเลขสุดท้ายก่อนเกิดข้อผิดพลาดคือจำนวนคอลัมน์ของตารางนั้น การรู้จำนวนคอลัมน์เป็นสิ่งสำคัญในการโจมตีแบบ UNION SELECT
เมื่อทราบจำนวนคอลัมน์แล้ว ขั้นตอนต่อไปคือการหาว่าคอลัมน์ใดบ้างที่สามารถแสดงผลบนหน้าเว็บไซต์ได้ เทคนิค UNION SELECT จะถูกนำมาใช้ โดยจะแทนที่ข้อมูลในคอลัมน์ที่ต้องการด้วยตัวเลข หรือสตริงที่ระบุ เมื่อข้อมูลเหล่านั้นปรากฏบนหน้าจอ ก็จะทราบได้ว่าคอลัมน์ใดที่สามารถใช้ในการดึงข้อมูลต่อไปได้
ดึงข้อมูลลับจากฐานข้อมูล
เมื่อระบุคอลัมน์ที่แสดงผลได้สำเร็จ การดึงข้อมูลสำคัญก็ไม่ใช่เรื่องยากอีกต่อไป เริ่มจากการดึงข้อมูลพื้นฐานของฐานข้อมูล เช่น ชื่อฐานข้อมูล ผู้ใช้งาน และเวอร์ชัน ของฐานข้อมูล ซึ่งให้ข้อมูลเชิงลึกเกี่ยวกับสภาพแวดล้อมของเซิร์ฟเวอร์
จากนั้นจะมุ่งเน้นไปที่การดึง ชื่อตารางทั้งหมด ที่อยู่ในฐานข้อมูล โดยใช้ประโยชน์จากตารางเมตาเดตาที่เรียกว่า information_schema.tables ซึ่งเป็นส่วนหนึ่งของฐานข้อมูลมาตรฐานที่เก็บข้อมูลเกี่ยวกับโครงสร้างของฐานข้อมูลทั้งหมด
เมื่อได้ชื่อตารางแล้ว เป้าหมายถัดไปคือการดึง ชื่อคอลัมน์ทั้งหมด ในแต่ละตารางที่น่าสนใจ เช่น ตาราง tb_user หรือ users ที่มักจะเก็บข้อมูลผู้ใช้งาน เทคนิคเดิมคือการใช้ information_schema.columns เพื่อดึงชื่อคอลัมน์ออกมา
สุดท้าย ผู้โจมตีสามารถดึง ข้อมูลจริง จากคอลัมน์ที่ระบุได้ เช่น ชื่อผู้ใช้งานและรหัสผ่านจากตารางผู้ใช้งาน ข้อมูลส่วนบุคคล หรือข้อมูลอื่นๆ ที่มีความสำคัญ การโจมตีทั้งหมดนี้เป็นการแสดงให้เห็นว่าข้อมูลภายในฐานข้อมูลสามารถถูกเปิดเผยได้อย่างไรหากไม่มีการป้องกันที่แข็งแกร่ง
ความสำคัญของการป้องกัน
การค้นพบช่องโหว่ SQL Injection บนเว็บไซต์หน่วยงานรัฐตอกย้ำถึงความเร่งด่วนในการยกระดับมาตรการรักษาความปลอดภัยทางไซเบอร์ การละเลยช่องโหว่เหล่านี้อาจนำไปสู่การรั่วไหลของข้อมูลที่สร้างความเสียหายอย่างมหาศาล ทั้งต่อบุคคลและต่อความน่าเชื่อถือขององค์กรนักพัฒนาเว็บไซต์จึงควรให้ความสำคัญกับการตรวจสอบและแก้ไขช่องโหว่ โดยเฉพาะการใช้ Prepared Statements หรือ Parameterized Queries เพื่อป้องกันการถูกฉีดคำสั่ง SQL และการตรวจสอบอินพุตจากผู้ใช้งานอย่างเข้มงวดเป็นสิ่งจำเป็นอย่างยิ่งในการสร้างเกราะป้องกันที่แข็งแกร่งให้กับโลกออนไลน์