Lỗ hổng được tìm thấy là một lỗi kinh điển trong lập trình - SQL Injection. Lỗi xảy ra khi thực hiện insert/update vào cơ sở dữ liệu. Mặc dù các framework phát triển ứng dụng đều đã hỗ trợ sẵn các hàm insert/update dữ liệu an toàn với tham số truyền vào là một object hoặc một parameter.

Cụ thể, đây là lỗi Error Based SQL Injection, điều này cũng chỉ ra rằng việc xử lý với các error/exception của ứng dụng web là chưa tốt. Trong phát triển ứng dụng, việc xử lý khi gặp lỗi hay các exception sẽ hạn chế việc để lộ lọt các thông tin nhạy cảm. Với trường hợp insert/update dữ liệu nhưng không xem được lại các dữ liệu, tin tặc có thể sử dụng kỹ thuật Time Based để trích xuất dữ liệu từ cơ sở dữ liệu. Tuy nhiên, với việc không kiểm soát thông báo lỗi trên, khai thác tấn công sẽ dễ dàng hơn với kỹ thuật Error Based/ Double query. Cụ thể, Payload lấy thông tin version:

 

Dựa vào thông báo lỗi từ server, tin tặc có thể lấy được toàn bộ dữ liệu từ cơ sở dữ liệu. Trong đó, bao gồm cả thông tin của hàng trăm nghìn tài khoản người dùng. Bao gồm: email, mật khẩu, các thông tin liên quan đến Facebook người dùng,… 

 

Tuy nhiên, theo khuyến cáo của nightst0rm, vấn đề bảo mật của Beat.vn không phải chỉ là lỗ hổng về lập trình an toàn SQL injection này mà còn liên quan đến các giải pháp an toàn. 

Các chuyên gia từ nightst0rm cho biết: “Việc có thể dễ dàng inject các câu query mà không hề gặp phải một filter nào cho thấy website còn thiếu hệ thống bảo vệ vòng ngoài. Cần có những giải pháp chặn/lọc để đảm bảo an toàn hơn”. Bên cạnh đó, Beat cần lưu ý về cơ chế mã hóa thông tin mật khẩu của website. Mã băm của mật khẩu người dùng được tạo theo thuật toán hashedPassword = MD5 (password) và không bổ sung Salt. Điều này dẫn đến nguy cơ rất lớn đối với người dùng.

Beat.vn là một mạng xã hội có số lượng thành viên cũng như lượng truy cập lớn tại Viet Nam. Nếu như hàng trăm nghìn thông tin tài khoản người dùng bị rò rỉ, thì số lượng mật khẩu có thể bị chiếm quyền là không nhỏ. Và trong số đó cũng sẽ không ít người dùng sử dụng chung mật khẩu với mật khẩu email, Facebook…

Phía Beat.vn đã xác nhận và khắc phục kịp thời lỗ hổng này.