Kẻ tấn công đã thêm cú pháp JSON vào tải trọng SQL injection. Hầu hết các WAF sẽ dễ dàng phát hiện các cuộc tấn công SQLi nhưng không thể phân tích cú pháp JSON được thêm vào SQL.
Các nhà nghiên cứu đã thử nghiệm kỹ thuật này và cho biết họ đã vượt qua thành công nhiều WAF như Amazon Web Service (AWS), Cloudflare, F5, Imperva và Palo Alto Networks, tất cả đều đã phát hành bản cập nhật để hỗ trợ cú pháp JSON trong quá trình thử nghiệm SQL injection.
Theo các chuyên gia, kẻ tấn công sử dụng kỹ thuật mới này có thể truy cập cơ sở dữ liệu phụ trợ và khai thác điểm yếu/lỗ hổng để đánh cắp thông tin thông qua truy cập trực tiếp vào máy chủ hoặc đám mây. Đây là một cuộc tấn công nguy hiểm, đặc biệt là khi nhiều tổ chức tiếp tục chuyển nhiều chức năng kinh doanh và vận hành của họ lên đám mây.
Link nguồn: https://cafef.vn/canh-bao-phuong-phap-tan-cong-moi-vuot-qua-tuong-lua-cua-nhieu-ung-dung-pho-bien-20221215103534311.chn
