Что это за строка?

Строка %')))) AND EXTRACTVALUE(8949,CONCAT(0x7e,((SELECT (ELT(8949=8949,1)))),0x7e))-- - — это классический пример error-based SQL-инъекции (инъекции на основе ошибок) для СУБД MySQL. Такие конструкции используют для извлечения данных из базы через принудительное вызывание ошибок, текст которых содержит полезную информацию.

Подобные строки можно встретить в логах веб-серверов, в отчётах систем обнаружения вторжений (IDS) или в обучающих материалах по пентесту. Они не являются частью нормального пользовательского ввода — это попытка атакующего внедрить SQL-код в уязвимый параметр приложения.

Как работает error-based SQL-инъекция?

Error-based SQL-инъекция — это техника, при которой злоумышленник заставляет базу данных вернуть сообщение об ошибке, содержащее результат выполнения вредоносного SQL-запроса. В отличие от UNION-based или blind-инъекций, здесь не нужно угадывать данные побитово — СУБД сама «выдаёт» их в тексте ошибки.

В MySQL для этого часто используют функции EXTRACTVALUE() и UPDATEXML(). Эти функции предназначены для работы с XML-документами, но при передаче некорректного XPath-выражения они генерируют ошибку, в которую подставляется вычисленное значение.

Разбор конкретного запроса

Рассмотрим строку по частям:

  • %')))) — попытка закрыть предыдущие кавычки и скобки в уязвимом SQL-запросе, чтобы вставить свой код.
  • AND EXTRACTVALUE(8949,CONCAT(0x7e,((SELECT (ELT(8949=8949,1)))),0x7e)) — вызов функции EXTRACTVALUE с заведомо некорректным XPath.
  • -- - — комментарий, который «отрезает» оставшуюся часть оригинального запроса.

Функция EXTRACTVALUE(8949, ...) принимает два аргумента: XML-документ (здесь просто число 8949, что уже некорректно) и XPath-выражение. Второй аргумент формируется через CONCAT(0x7e, ..., 0x7e), где 0x7e — это символ тильды ~. Тильды используются как маркеры, чтобы в тексте ошибки легко найти внедрённые данные.

Внутри CONCAT выполняется подзапрос SELECT (ELT(8949=8949,1)). Функция ELT() возвращает N-й элемент из списка. Выражение 8949=8949 всегда истинно (равно 1), поэтому ELT вернёт первый элемент — число 1. В реальной атаке вместо этой константы стоял бы подзапрос к системным таблицам, например SELECT version() или SELECT table_name FROM information_schema.tables.

Когда MySQL пытается вычислить XPath вида ~1~, он выдаёт ошибку: XPATH syntax error: '~1~'. Атакующий видит эту ошибку в ответе сервера и получает искомые данные.

Почему это опасно?

SQL-инъекции уже много лет входят в топ OWASP (Open Web Application Security Project) как одна из самых критичных уязвимостей. Error-based инъекции особенно опасны, потому что:

  • Позволяют быстро извлекать данные без необходимости слепого перебора.
  • Могут раскрыть версию СУБД, имена таблиц, логины, хеши паролей и другую конфиденциальную информацию.
  • Часто срабатывают даже при частичной фильтрации ввода, если разработчик не использует параметризованные запросы.
По данным OWASP, SQL-инъекции остаются в десятке самых распространённых угроз веб-приложений. Успешная эксплуатация может привести к полной компрометации базы данных.

Как защититься?

Основной способ защиты от error-based SQL-инъекций — использовать параметризованные запросы (prepared statements). В этом случае пользовательский ввод передаётся отдельно от SQL-кода и не может изменить структуру запроса.

Дополнительные меры:

  1. Валидация и фильтрация входных данных на стороне сервера.
  2. Отключение вывода подробных ошибок СУБД в production-окружении.
  3. Использование ORM и современных фреймворков, которые по умолчанию экранируют ввод.
  4. Регулярное сканирование уязвимостей и пентесты.
  5. Применение WAF (Web Application Firewall) для блокировки подозрительных запросов.

Важно понимать: экранирование спецсимволов — не панацея. Только параметризация гарантирует, что ввод не будет интерпретирован как SQL-код.

Что делать, если вы нашли такую строку в логах?

Если вы обнаружили подобную конструкцию в логах своего сервера, это может означать попытку атаки. Рекомендуется:

  • Проверить, не была ли она успешной (искать необычные ответы сервера, ошибки 500).
  • Убедиться, что все запросы к базе данных параметризованы.
  • Обновить СУБД и зависимости до актуальных версий.
  • Настроить мониторинг и оповещения о подозрительной активности.

Помните, что даже неудачная попытка инъекции — это сигнал о том, что приложение может быть уязвимо. Лучше провести аудит безопасности, чем ждать успешной атаки.

Заключение

Строка с EXTRACTVALUE и CONCAT — это не случайный набор символов, а отработанный инструмент error-based SQL-инъекции. Понимание того, как работают такие атаки, помогает разработчикам и администраторам лучше защищать свои системы. Используйте параметризованные запросы, скрывайте детали ошибок и регулярно проверяйте безопасность — тогда подобные строки останутся лишь в логах, а не в вашей базе данных.

Источники