Что это за строка?

Строка ` AND EXTRACTVALUE(4971,CONCAT(0x7e,((SELECT (ELT(4971=4971,1)))),0x7e))-- - представляет собой классический пример error-based SQL-инъекции (SQL-инъекция, основанная на ошибках) для СУБД MySQL. Она предназначена для внедрения в уязвимый SQL-запрос с целью извлечения данных из базы через вывод сообщения об ошибке.

Подобные конструкции часто встречаются в отчётах пентестеров и в базах эксплойтов. Они используют особенности функций MySQL, чтобы заставить сервер сгенерировать ошибку, содержащую результат выполнения вложенного запроса. В данном случае проверяется тривиальное условие 4971=4971, которое всегда истинно, и возвращается число 1. Это демонстрационный пример, показывающий работоспособность техники.

Разбор компонентов инъекции

Чтобы понять, как работает эта строка, разберём её по частям.

  • Обратная кавычка (`) — используется для закрытия предыдущего идентификатора (например, имени столбца или таблицы) в исходном запросе. Это позволяет внедрить произвольный SQL-код.
  • AND — логический оператор, который добавляет условие к исходному запросу. Если исходный запрос был истинным, то добавление AND ... не изменит результат, но выполнит внедрённую функцию.
  • EXTRACTVALUE(4971, ...) — функция MySQL для извлечения значения из XML-строки. Первый аргумент — XML-документ (здесь просто число 4971), второй — XPath-выражение. Если XPath-выражение некорректно, функция выдаёт ошибку, в тексте которой отображается переданное значение.
  • CONCAT(0x7e, ..., 0x7e) — объединяет строки. 0x7e — это шестнадцатеричное представление символа тильды (~). Тильды используются как маркеры, чтобы облегчить поиск вывода в сообщении об ошибке.
  • (SELECT (ELT(4971=4971,1))) — подзапрос, возвращающий результат функции ELT(). ELT(N, str1, str2, ...) возвращает N-ю строку из списка. Здесь 4971=4971 — истина (1), поэтому ELT(1, 1) вернёт строку '1'.
  • -- - — комментарий, который отсекает оставшуюся часть исходного запроса, чтобы не возникло синтаксической ошибки.

В результате MySQL попытается выполнить XPath-выражение, содержащее символ '~' и результат подзапроса, что приведёт к ошибке вида: XPATH syntax error: '~1~'. В сообщении об ошибке злоумышленник увидит внедрённые данные.

Как работает error-based SQL-инъекция через EXTRACTVALUE

Техника основана на том, что СУБД MySQL при некорректном XPath-выражении в функции EXTRACTVALUE (или UPDATEXML) возвращает ошибку, включающую переданную строку. Это позволяет извлекать данные посимвольно или целыми блоками, если использовать подзапросы, возвращающие конкатенированные значения.

Например, чтобы получить имя текущей базы данных, можно внедрить:

AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT database()), 0x7e))-- -

В ответе придёт ошибка с названием базы данных. Аналогично извлекаются таблицы, столбцы и записи. Ограничение — длина вывода в сообщении об ошибке (обычно около 32 символов), поэтому для длинных строк применяют посимвольное извлечение с помощью SUBSTRING и смещений.

Где может использоваться такая инъекция?

Подобные строки внедряются в параметры, которые попадают в SQL-запрос без должной обработки: GET/POST-параметры, cookies, HTTP-заголовки. Уязвимыми оказываются приложения, которые конкатенируют пользовательский ввод в SQL-запросы вместо использования подготовленных выражений (prepared statements).

Часто такие инъекции встречаются в старых CMS, самописных скриптах и веб-приложениях, где не применяются параметризованные запросы. Опасность в том, что через error-based инъекцию можно быстро получить доступ к конфиденциальным данным: логинам, паролям, персональной информации.

Меры защиты

Чтобы предотвратить эксплуатацию подобных уязвимостей, необходимо:

  1. Использовать подготовленные выражения (prepared statements) с параметризацией. Это основной и самый надёжный способ.
  2. Применять ORM (например, Doctrine, Hibernate), которые автоматически экранируют входные данные.
  3. Проводить валидацию и фильтрацию всех входных данных на стороне сервера, отклоняя подозрительные символы (кавычки, комментарии, ключевые слова SQL).
  4. Ограничить права пользователя БД, от имени которого работает приложение: запретить доступ к системным таблицам, лишним базам.
  5. Отключить вывод подробных ошибок в продакшене, чтобы злоумышленник не мог использовать error-based технику.
  6. Регулярно обновлять CMS и библиотеки, чтобы закрыть известные уязвимости.
  7. Использовать WAF (Web Application Firewall) для блокировки подозрительных запросов, содержащих сигнатуры SQL-инъекций.

Заключение

Строка ` AND EXTRACTVALUE(4971,CONCAT(0x7e,((SELECT (ELT(4971=4971,1)))),0x7e))-- - — это учебный пример error-based SQL-инъекции. Она демонстрирует, как через функцию EXTRACTVALUE можно заставить MySQL выдать данные в сообщении об ошибке. Понимание таких техник помогает разработчикам и специалистам по безопасности лучше защищать веб-приложения. Главный вывод: никогда не доверяйте пользовательскому вводу и всегда используйте параметризованные запросы.

Источники