Các hình thức tấn công website phổ biến và cách phòng chống

Website nhỏ hay lớn đều có thể nhận request tự động từ bot, bị thử tài khoản, dò thành phần lỗi thời hoặc khai thác lỗ hổng ứng dụng. Mức rủi ro không chỉ phụ thuộc lượng dữ liệu, mà còn phụ thuộc bề mặt Internet, quyền tài khoản, phần mềm, cấu hình và khả năng phát hiện sự cố.

Tóm tắt: Các nhóm tấn công cần chú ý gồm chiếm tài khoản, lỗi phân quyền, injection, XSS và tấn công phía trình duyệt, khai thác thành phần lỗi thời hoặc chuỗi cung ứng, mã độc/backdoor, DDoS và giả mạo/phishing. Không có một plugin hoặc WAF nào xử lý tất cả; cần kết hợp cập nhật, MFA, secure coding, phân quyền, backup, log, giám sát và quy trình ứng cứu.

Cách dùng các danh sách rủi ro như OWASP Top 10

OWASP Top 10 là tài liệu nâng cao nhận thức về các nhóm rủi ro ứng dụng web. Danh sách này không phải checklist bảo mật hoàn chỉnh và cũng không thay thế việc đánh giá hệ thống cụ thể. Website WordPress, ứng dụng mã nguồn riêng, API và cổng đăng nhập có bề mặt tấn công khác nhau.

Cần xác định trước	Ví dụ
Tài sản và ranh giới	Domain, app, API, admin, database, storage, CDN
Danh tính và quyền	Admin, editor, khách hàng, service account, nhà cung cấp
Dữ liệu	Lead, tài khoản, đơn hàng, file upload, token
Thành phần	CMS, plugin, theme, framework, thư viện, runtime
Khả năng phát hiện	Log, alert, uptime, file integrity, WAF, EDR
Khả năng phục hồi	Backup sạch, runbook, người chịu trách nhiệm, RTO/RPO

1. Chiếm tài khoản và tấn công thông tin đăng nhập

Kẻ tấn công có thể thử mật khẩu phổ biến, dùng thông tin đăng nhập đã rò rỉ, lừa người dùng nhập mật khẩu hoặc chiếm phiên đăng nhập. “Brute force” chỉ là một phần; credential stuffing và phishing có thể vượt qua mật khẩu mạnh nếu người dùng tái sử dụng thông tin.

• Dùng mật khẩu riêng được quản lý bằng password manager.
• Bật MFA cho admin, hosting, DNS, email và repository.
• Không dùng chung tài khoản quản trị.
• Rate limit, challenge hoặc lockout có kiểm soát để tránh tự gây từ chối dịch vụ.
• Rà tài khoản cũ, quyền cao và phiên đăng nhập.
• Cảnh báo đăng nhập bất thường, thay đổi quyền và tạo admin mới.

2. Lỗi phân quyền và kiểm soát truy cập

Lỗi xảy ra khi người dùng có thể xem hoặc thay đổi tài nguyên ngoài quyền của mình, gọi API quản trị, đoán ID đối tượng hoặc truy cập file nhạy cảm. Đây không phải vấn đề có thể giải quyết chỉ bằng ẩn nút trên giao diện.

• Kiểm tra quyền ở phía server cho mọi request quan trọng.
• Dùng nguyên tắc quyền tối thiểu và vai trò rõ.
• Không dựa vào ID tuần tự như cơ chế bảo vệ.
• Rà endpoint, file backup, trang staging và thư mục quản trị.
• Kiểm thử bằng nhiều vai trò và tài khoản khác nhau.
• Ghi log thao tác quản trị và thay đổi dữ liệu quan trọng.

3. Injection, gồm SQL injection và command injection

Injection xảy ra khi dữ liệu không tin cậy được ghép vào câu lệnh hoặc truy vấn theo cách làm thay đổi ý nghĩa thực thi. SQL injection là ví dụ phổ biến, nhưng còn có command, LDAP, template và các dạng injection khác.

• Dùng parameterized query hoặc API an toàn của framework.
• Không ghép input trực tiếp vào câu lệnh.
• Validate theo kiểu và phạm vi dữ liệu mong đợi.
• Giới hạn quyền database/service account.
• Không hiển thị lỗi kỹ thuật và secret cho người dùng.
• Kiểm thử code, dependency và endpoint nhận input.

4. XSS và tấn công phía trình duyệt

Cross-Site Scripting có thể xảy ra khi dữ liệu không tin cậy được đưa vào HTML, JavaScript hoặc thuộc tính mà không encode đúng ngữ cảnh. Hậu quả có thể gồm giả mạo giao diện, đánh cắp dữ liệu truy cập được từ trình duyệt hoặc thực hiện hành động dưới phiên người dùng.

• Output encode đúng ngữ cảnh và dùng template/framework an toàn.
• Sanitize nội dung HTML khi thực sự cần cho phép markup.
• Đặt cookie với thuộc tính bảo vệ phù hợp.
• Cân nhắc Content Security Policy như lớp giảm thiểu bổ sung.
• Kiểm soát script bên thứ ba, tag manager và quyền publish.
• Không xem “plugin anti-XSS” là thay thế cho sửa code.

5. Thành phần lỗi thời, chuỗi cung ứng và mã độc/backdoor

Website có thể bị khai thác qua plugin, theme, thư viện, tài khoản nhà phát triển hoặc gói cài đặt không rõ nguồn gốc. Sau khi xâm nhập, kẻ tấn công có thể chèn file, tạo admin, thêm scheduled task hoặc backdoor để quay lại.

• Chỉ dùng thành phần từ nguồn và license có thể xác minh.
• Kiểm kê phiên bản, theo dõi cảnh báo và cập nhật theo rủi ro.
• Gỡ thành phần không dùng sau khi xác nhận phụ thuộc.
• Giới hạn quyền ghi file, deploy và tài khoản dịch vụ.
• Theo dõi thay đổi file, admin mới, cron và kết nối bất thường.
• Duy trì backup nhiều điểm thời gian và kiểm tra restore.

Tần suất scan không nên lấy một lịch cứng cho mọi website. Xem bao lâu nên quét malware website để đặt cadence theo mức rủi ro, trigger, lịch thay đổi và năng lực monitoring.

Nếu website đã có dấu hiệu xâm nhập, không cập nhật hoặc cài thêm plugin một cách ngẫu nhiên. Hãy dùng quy trình xử lý website bị hack.

6. DDoS, bot abuse và làm cạn tài nguyên

Tấn công khả dụng có thể nhắm vào băng thông, giao thức, request HTTP hoặc endpoint tốn tài nguyên như login, search, API và checkout. Traffic tăng không tự động là DDoS; cần đối chiếu nguồn, hành vi, mã phản hồi và tài nguyên.

• Thiết lập baseline traffic và endpoint quan trọng.
• Dùng CDN/WAF/rate limit phù hợp với hành vi hợp lệ.
• Giới hạn truy cập trực tiếp tới origin khi kiến trúc cho phép.
• Tối ưu cache và endpoint tốn tài nguyên.
• Có monitoring, liên hệ upstream và runbook escalation.
• Không cam kết một lớp duy nhất chống được mọi quy mô tấn công.

Với cổng web hoặc API công khai, xem phạm vi triển khai WAF và chống DDoS cùng các giới hạn cần ghi rõ.

7. Phishing, giả mạo domain và chiếm kênh liên lạc

Kẻ tấn công có thể đăng ký domain giống thương hiệu, chiếm email hoặc tài khoản mạng xã hội, gửi link đăng nhập giả hoặc chèn nội dung phishing lên website đã xâm nhập. HTTPS chỉ mã hóa kết nối tới domain đang truy cập; nó không chứng minh website đó là thương hiệu thật.

• Bảo vệ registrar, DNS và email bằng MFA.
• Thiết lập SPF, DKIM và DMARC theo hệ thống email.
• Đào tạo người dùng kiểm tra domain và yêu cầu bất thường.
• Quản lý certificate, domain gần giống và kênh báo cáo giả mạo.
• Dùng quy trình xác minh ngoài băng cho thay đổi tài chính hoặc tài khoản.
• Phối hợp nhà cung cấp và nền tảng để gỡ nội dung giả mạo.

Dấu hiệu cần điều tra

• Redirect, popup, trang hoặc kết quả tìm kiếm lạ.
• Tài khoản admin, API key, cron hoặc file không rõ nguồn gốc.
• Đăng nhập bất thường, thay đổi quyền hoặc reset mật khẩu không yêu cầu.
• Traffic, CPU, email gửi hoặc lỗi 5xx tăng khác baseline.
• Website bị trình duyệt, Search Console hoặc nhà cung cấp cảnh báo.
• Đơn hàng, nội dung hoặc cấu hình bị thay đổi.
• WAF/antimalware báo phát hiện — cần xác minh, không xóa mù.

Mỗi dấu hiệu có thể có nguyên nhân không phải tấn công. Cần bảo toàn log, ghi thời điểm và đối chiếu thay đổi trước khi kết luận.

Khung phòng thủ cho doanh nghiệp

Lớp	Kiểm soát
Quản trị	Chủ sở hữu, phạm vi, quy trình thay đổi, nhà cung cấp và ứng cứu
Danh tính	MFA, tài khoản riêng, quyền tối thiểu, thu hồi quyền
Phần mềm	Kiểm kê, cập nhật, secure coding, dependency và staging
Hạ tầng	Hardening, network, WAF/CDN, TLS và bảo vệ origin
Dữ liệu	Phân quyền, backup, mã hóa phù hợp và restore test
Phát hiện	Log, uptime, alert, file integrity và dashboard
Ứng cứu	Runbook, liên hệ, cô lập, điều tra, khôi phục và báo cáo

Bài bảo mật website trong gói bảo trì giúp chuyển các lớp này thành phạm vi dịch vụ và bằng chứng vận hành.

Kết luận

Các hình thức tấn công website không tồn tại độc lập: một mật khẩu bị lộ có thể dẫn tới cài backdoor; một plugin lỗi thời có thể mở đường cho injection; một website bị chiếm có thể được dùng để phishing. Phòng thủ hiệu quả cần nhiều lớp và khả năng ứng cứu, không phải một plugin hoặc một lần quét.