Что это за строка?

Строка ") AND EXTRACTVALUE(6322,CONCAT(0x7e,((SELECT (ELT(6322=6322,1)))),0x7e))-- - представляет собой классический пример error-based SQL-инъекции для СУБД MySQL. Она предназначена для извлечения данных из базы через вывод сообщения об ошибке. Подобные конструкции часто встречаются в логах веб-серверов, в полях ввода форм и в параметрах URL, когда злоумышленник пытается протестировать уязвимость сайта.

Если вы увидели такую строку в логах, это означает, что кто-то (возможно, автоматический сканер уязвимостей) пытался атаковать ваш сайт. Важно понимать, что сама по себе строка не опасна, если приложение корректно обрабатывает входные данные. Однако если сайт уязвим, последствия могут быть серьёзными.

Как работает EXTRACTVALUE в MySQL

Функция EXTRACTVALUE() в MySQL предназначена для извлечения значения из фрагмента XML. Она принимает два аргумента: XML-документ и выражение XPath. Синтаксис:

EXTRACTVALUE(XML_фрагмент, XPath_выражение)

Функция возвращает текст узла, соответствующего XPath. Если XPath не matches ни одного узла или возвращает несколько узлов, MySQL генерирует ошибку. Именно эту особенность используют злоумышленники: они передают в качестве XPath заведомо некорректное выражение, содержащее результат подзапроса, и MySQL выводит его в сообщении об ошибке.

Например, классический payload:

AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT version()), 0x7e))

Здесь 0x7e — это шестнадцатеричное представление символа ~ (тильда). CONCAT склеивает тильду, результат подзапроса (например, версию СУБД) и ещё одну тильду. XPath ~версия~ не является валидным, поэтому MySQL выдаёт ошибку вида: XPATH syntax error: '~5.7.32~'. В этом сообщении и утекает искомая информация.

Разбор конкретной строки

Рассмотрим payload по частям:

  • ") — закрывает кавычку и скобку в оригинальном запросе, чтобы внедрить свой код.
  • AND EXTRACTVALUE(6322, ...) — добавляет условие AND с вызовом функции. Число 6322 — произвольный идентификатор, часто используемый для уникализации запроса.
  • CONCAT(0x7e, ((SELECT (ELT(6322=6322,1)))), 0x7e) — формирует строку для XPath. ELT(6322=6322,1) возвращает 1, если условие истинно (6322=6322 — всегда истина). ELT(N, str1, str2, ...) возвращает N-ю строку из списка. Здесь список состоит из одного элемента 1, поэтому возвращается 1.
  • -- - — комментарий, обрезающий остаток оригинального запроса.

Фактически этот payload проверяет, уязвимо ли приложение к error-based инъекциям. Если ошибка выводится, злоумышленник может заменить ELT(6322=6322,1) на подзапрос, извлекающий данные (например, SELECT password FROM users LIMIT 1).

Цели и последствия атаки

Основная цель error-based SQL-инъекций — получить доступ к содержимому базы данных. Злоумышленник может извлечь:

  • версию СУБД, имя текущей базы данных, пользователя;
  • структуру таблиц (имена таблиц и колонок);
  • конфиденциальные данные: логины, пароли (в виде хешей), персональную информацию, платёжные реквизиты.

Получив доступ к базе, атакующий может не только читать, но и изменять или удалять данные, а в некоторых случаях — выполнять команды на сервере. Это приводит к утечке данных, финансовым потерям и репутационному ущербу.

Как защититься от SQL-инъекций

Надёжная защита строится на нескольких уровнях:

  1. Параметризованные запросы (prepared statements). Это самый эффективный метод. Данные передаются отдельно от SQL-кода, и СУБД не интерпретирует их как часть запроса.
  2. Экранирование специальных символов. Если параметризация невозможна, используйте функции экранирования, предоставляемые драйвером БД (например, mysqli_real_escape_string в PHP).
  3. Валидация входных данных. Проверяйте, что входные данные соответствуют ожидаемому формату (числа, email и т.д.).
  4. Ограничение прав пользователя БД. Приложение должно работать с базой от имени пользователя с минимально необходимыми привилегиями (обычно только SELECT, INSERT, UPDATE, DELETE для конкретных таблиц).
  5. Регулярное обновление СУБД и фреймворков. Устаревшие версии могут содержать уязвимости.
  6. Использование WAF (Web Application Firewall). WAF может блокировать подозрительные запросы, но не должен быть единственной защитой.

Также рекомендуется проводить регулярные аудиты безопасности и сканирования уязвимостей, а также следить за логами на предмет подозрительной активности.

Что делать, если вы нашли такую строку в логах

Если вы обнаружили подобный payload в логах, это не обязательно означает, что атака удалась. Возможно, сканер просто прощупывал сайт. Тем не менее, следует:

  • проверить, уязвимо ли приложение (с помощью пентеста или сканера);
  • убедиться, что все запросы к БД используют параметризацию;
  • просмотреть логи на предмет других попыток инъекций;
  • при необходимости обратиться к специалистам по безопасности.

Помните: безопасность — это процесс, а не разовое действие. Регулярное внимание к коду и инфраструктуре помогает предотвратить большинство атак.

Источники