Введение

В мире кибербезопасности SQL-инъекции остаются одной из самых распространённых и опасных уязвимостей веб-приложений. Среди них особое место занимают так называемые error-based инъекции, которые позволяют злоумышленнику извлекать данные из базы, провоцируя вывод сообщений об ошибках. В этой статье мы детально разберём конкретную строку %' OR EXTRACTVALUE(5996,CONCAT(0x7e,((SELECT (ELT(5996=5996,1)))),0x7e))-- -, которая является классическим примером такой атаки для СУБД MySQL.

Что такое error-based SQL-инъекция?

Error-based SQL-инъекция — это метод эксплуатации уязвимости, при котором атакующий заставляет базу данных выдать сообщение об ошибке, содержащее полезные данные. В отличие от blind-инъекций, где информация извлекается по косвенным признакам (например, по времени ответа), здесь результат виден непосредственно в тексте ошибки.

MySQL, как и многие другие СУБД, при определённых условиях может возвращать детализированные ошибки, включающие фрагменты SQL-запроса или значения выражений. Этим и пользуются злоумышленники.

Разбор строки инъекции

Рассмотрим по частям строку %' OR EXTRACTVALUE(5996,CONCAT(0x7e,((SELECT (ELT(5996=5996,1)))),0x7e))-- -.

  • %' — это начало, которое часто используется для «закрытия» предыдущего условия в SQL-запросе. Символ % может быть частью LIKE-шаблона, а одинарная кавычка разрывает строковый литерал.
  • OR — логический оператор, позволяющий добавить произвольное условие.
  • EXTRACTVALUE(5996, CONCAT(...)) — вызов функции MySQL EXTRACTVALUE, которая извлекает значение из XML-документа по XPath-выражению. Если XPath-выражение некорректно, функция генерирует ошибку.
  • CONCAT(0x7e, ((SELECT (ELT(5996=5996,1)))), 0x7e) — конкатенация символа тильды (0x7e — шестнадцатеричное представление символа ~), результата подзапроса и ещё одной тильды.
  • SELECT (ELT(5996=5996,1)) — подзапрос, возвращающий 1, если условие 5996=5996 истинно (а оно всегда истинно). Функция ELT возвращает N-й элемент из списка. Здесь список состоит из одного элемента — числа 1.
  • -- - — комментарий, который отсекает оставшуюся часть оригинального запроса.

В результате выполнения такого запроса MySQL попытается обработать XPath-выражение, которое не является валидным, и выдаст ошибку вида: XPATH syntax error: '~1~'. В этом сообщении как раз и будет содержаться результат подзапроса — в данном случае «1».

Зачем это нужно злоумышленнику?

Основная цель — получить данные из базы. Меняя подзапрос, атакующий может извлекать имена таблиц, колонок, логины, пароли и другую конфиденциальную информацию. Например, вместо ELT(5996=5996,1) можно подставить SELECT password FROM users LIMIT 1, и если пароль будет содержать недопустимые для XPath символы, ошибка выведет его на экран.

Такой подход особенно эффективен, когда приложение отображает подробные сообщения об ошибках базы данных. Если же ошибки скрыты, инъекция может не сработать.

Пример уязвимого запроса

Предположим, на сайте есть форма поиска, которая формирует запрос:

SELECT * FROM articles WHERE title LIKE '%пользовательский_ввод%'

Если злоумышленник введёт в поле поиска нашу строку, то итоговый запрос примет вид:

SELECT * FROM articles WHERE title LIKE '%%' OR EXTRACTVALUE(5996,CONCAT(0x7e,((SELECT (ELT(5996=5996,1)))),0x7e))-- -%'

После подстановки MySQL выполнит EXTRACTVALUE и вернёт ошибку, которая будет содержать результат подзапроса.

Как защититься от error-based SQL-инъекций?

Существует несколько уровней защиты:

  1. Параметризованные запросы (prepared statements). Это самый надёжный способ. При использовании подготовленных выражений данные не смешиваются с кодом SQL, и инъекция становится невозможной.
  2. Экранирование специальных символов. Если по каким-то причинам параметризация недоступна, необходимо тщательно экранировать все пользовательские данные с помощью функций вроде mysqli_real_escape_string.
  3. Отключение подробных сообщений об ошибках. В production-окружении не следует показывать пользователям детали ошибок СУБД. Это затруднит эксплуатацию, хотя и не устранит уязвимость полностью.
  4. Использование ORM. Современные ORM (например, Doctrine, Hibernate) обычно автоматически используют параметризацию.
  5. Регулярные аудиты и сканеры уязвимостей. Инструменты вроде SQLMap могут обнаружить такие инъекции на этапе тестирования.

Заключение

Строка %' OR EXTRACTVALUE(5996,CONCAT(0x7e,((SELECT (ELT(5996=5996,1)))),0x7e))-- - — это яркий пример error-based SQL-инъекции, использующей особенности функций MySQL EXTRACTVALUE и ELT. Понимание механизма таких атак помогает разработчикам и специалистам по безопасности эффективно защищать веб-приложения. Помните: лучшая защита — это параметризованные запросы и внимательное отношение к обработке пользовательского ввода.

Источники