Что это за строка?

Строка AND EXTRACTVALUE(5973,CONCAT(0x7e,((SELECT (ELT(5973=5973,1)))),0x7e))-- - представляет собой классический пример error-based SQL-инъекции (SQL-инъекции, основанной на ошибках) для СУБД MySQL. Такие конструкции используются злоумышленниками для извлечения данных из базы данных путём внедрения в уязвимый SQL-запрос. Внешне она выглядит как бессмысленный набор символов, но на самом деле это тщательно сконструированный код, заставляющий сервер базы данных выдать сообщение об ошибке, содержащее полезную для атакующего информацию.

Подобные строки часто встречаются в логах веб-серверов, в отчётах систем обнаружения вторжений (IDS) и в базах данных уязвимостей. Понимание того, как они работают, необходимо специалистам по информационной безопасности, разработчикам и администраторам баз данных для защиты своих систем.

Разбор по частям

Давайте разберём эту строку на составляющие, чтобы понять логику атаки.

1. AND

Логический оператор AND используется для добавления условия к существующему SQL-запросу. В контексте инъекции он позволяет внедрить дополнительное выражение, которое будет вычислено сервером. Если исходный запрос уже содержит условие WHERE, то AND позволяет присоединить к нему новое условие, не нарушая синтаксис.

2. EXTRACTVALUE(5973, CONCAT(...))

Функция EXTRACTVALUE() в MySQL предназначена для извлечения значения из XML-строки по указанному XPath-выражению. Синтаксис: EXTRACTVALUE(XML_document, XPath_expression). Однако при передаче некорректного XPath-выражения функция генерирует ошибку, которая включает в себя переданное выражение. Именно на этом строится эксплуатация.

В нашем случае первым аргументом идёт число 5973 — это не XML-документ, а просто число, что уже может вызвать ошибку. Второй аргумент — результат функции CONCAT, который содержит специально сформированную строку.

3. CONCAT(0x7e, ((SELECT (ELT(5973=5973,1)))), 0x7e)

Функция CONCAT объединяет строки. Здесь она склеивает:

  • 0x7e — шестнадцатеричное представление символа ~ (тильда). Он используется как разделитель, чтобы облегчить извлечение данных из сообщения об ошибке.
  • ((SELECT (ELT(5973=5973,1)))) — подзапрос, который возвращает результат функции ELT.
  • Ещё один 0x7e — закрывающая тильда.

4. ELT(5973=5973,1)

Функция ELT(N, str1, str2, ...) возвращает N-ю строку из списка. В данном случае 5973=5973 — это логическое выражение, которое всегда истинно (1). Таким образом, ELT(1, 1) вернёт строку '1'. Это простейший пример, демонстрирующий работоспособность инъекции. В реальной атаке вместо 1 могло бы стоять выражение, извлекающее данные из других таблиц, например, версию СУБД, имя пользователя или хеши паролей.

5. -- -

Это комментарий в SQL. Два дефиса с пробелом (или без) означают, что весь последующий текст игнорируется. Это необходимо, чтобы «обезвредить» остаток оригинального запроса, который мог бы вызвать синтаксическую ошибку. Символ - после пробела добавлен для совместимости с некоторыми парсерами, где требуется пробел после --.

Как это работает на практике

Предположим, уязвимый запрос выглядит так:

SELECT * FROM users WHERE id = '$id';

Если злоумышленник передаст в параметр $id значение 1 AND EXTRACTVALUE(5973,CONCAT(0x7e,((SELECT (ELT(5973=5973,1)))),0x7e))-- -, то итоговый запрос станет:

SELECT * FROM users WHERE id = '1' AND EXTRACTVALUE(5973,CONCAT(0x7e,((SELECT (ELT(5973=5973,1)))),0x7e))-- -';

MySQL выполнит запрос, вычислит EXTRACTVALUE и, поскольку второй аргумент не является корректным XPath, сгенерирует ошибку вида:

XPATH syntax error: '~1~'

В сообщении об ошибке появится результат подзапроса, обрамлённый тильдами. В нашем случае это 1, но если заменить ELT(5973=5973,1) на, например, (SELECT version()), то в ошибке отобразится версия MySQL. Такой метод позволяет извлекать произвольные данные посимвольно или целыми строками, в зависимости от контекста.

Чем опасна error-based SQL-инъекция

Error-based SQL-инъекции считаются одними из самых эффективных, потому что они дают немедленный отклик. Атакующему не нужно использовать слепые методы (blind SQLi), требующие множества запросов и анализа времени отклика. Достаточно одной уязвимости, чтобы получить информацию о структуре базы данных, учётных записях, а в некоторых случаях — выполнить произвольные команды на сервере.

Последствия успешной эксплуатации могут быть катастрофическими:

  • Утечка конфиденциальных данных (персональные данные пользователей, платёжная информация, коммерческая тайна).
  • Компрометация всей базы данных, включая возможность изменения или удаления записей.
  • Получение доступа к операционной системе через расширения MySQL (например, INTO OUTFILE).
  • Использование сервера как точки входа во внутреннюю сеть организации.

Как защититься

Основной способ защиты от SQL-инъекций любого типа — использование параметризованных запросов (prepared statements). Это гарантирует, что пользовательский ввод никогда не будет интерпретирован как SQL-код. Дополнительные меры:

  • Экранирование специальных символов (хотя это менее надёжно, чем параметризация).
  • Ограничение прав пользователя базы данных: приложение должно работать под учётной записью с минимально необходимыми привилегиями.
  • Включение строгого режима SQL (STRICT_ALL_TABLES), чтобы ошибки не подавлялись.
  • Регулярное обновление СУБД и фреймворков.
  • Использование WAF (Web Application Firewall) для фильтрации подозрительных запросов.
  • Проведение аудитов безопасности и сканирование уязвимостей.

Важно понимать, что EXTRACTVALUE — не единственная функция, используемая в error-based инъекциях. Аналогично работают UPDATEXML, GTID_SUBSET, EXP и другие. Поэтому защита должна быть комплексной.

Заключение

Строка AND EXTRACTVALUE(5973,CONCAT(0x7e,((SELECT (ELT(5973=5973,1)))),0x7e))-- - — это не случайный набор символов, а рабочий инструмент атакующего. Она демонстрирует, как можно использовать особенности функций MySQL для извлечения данных через сообщения об ошибках. Понимание механизма таких атак помогает разработчикам и администраторам своевременно закрывать уязвимости и защищать свои системы от компрометации.

Источники