Что это за запрос и почему он важен

Пользовательский запрос %' OR EXTRACTVALUE(3894,CONCAT(0x7e,((SELECT (ELT(3894=3894,1)))),0x7e))-- - представляет собой классический пример SQL-инъекции на основе ошибок (error-based SQL injection) в СУБД MySQL. Этот пейлоад пытается заставить сервер выполнить функцию EXTRACTVALUE с заведомо некорректным вторым аргументом, чтобы в тексте ошибки вернуть результат подзапроса. В данном случае подзапрос возвращает число 1, если условие 3894=3894 истинно. Это упрощённый, но показательный пример техники, которую злоумышленники используют для извлечения данных из базы.

Статья поможет понять, как работает этот конкретный пейлоад, какие функции задействованы и как защитить свой сайт от подобных атак.

Разбор пейлоада по частям

Разобьём строку на компоненты:

  • %' — символ процента и одинарная кавычка. В контексте SQL-запроса это попытка закрыть строковый литерал и добавить произвольный код. Символ % часто используется в LIKE-запросах, но здесь он, скорее всего, часть исходного значения, которое подставляется в уязвимый параметр.
  • OR — логический оператор, позволяющий выполнить инъекцию, даже если первая часть условия ложна.
  • EXTRACTVALUE(3894, CONCAT(...)) — функция MySQL, предназначенная для извлечения значения из XML-строки. Если второй аргумент не является корректным XPath-выражением, функция генерирует ошибку, в тексте которой выводится переданная строка. Это и есть основа error-based инъекции.
  • CONCAT(0x7e, ((SELECT (ELT(3894=3894,1)))), 0x7e) — конкатенация символа тильды (0x7e), результата подзапроса и ещё одной тильды. Тильды служат маркерами, чтобы облегчить поиск выведенных данных в сообщении об ошибке.
  • SELECT (ELT(3894=3894,1)) — подзапрос, возвращающий 1, если условие истинно. Функция ELT(N, str1, str2, ...) возвращает N-ю строку из списка. Здесь N — результат сравнения 3894=3894 (равен 1), а список состоит из одного элемента — единицы. Фактически это всегда возвращает 1.
  • -- - — комментарий, который отсекает оставшуюся часть оригинального SQL-запроса, чтобы избежать синтаксических ошибок.

В результате выполнения такого запроса MySQL выдаст ошибку вида: XPATH syntax error: '~1~'. Злоумышленник, получив этот текст, понимает, что инъекция работает, и может заменить подзапрос на извлечение реальных данных (например, версии СУБД, имён таблиц, паролей).

Как работает error-based SQL-инъекция через EXTRACTVALUE

Функция EXTRACTVALUE(XML_document, XPath_expression) появилась в MySQL 5.1. Она анализирует XML-документ и возвращает значение по указанному XPath-пути. Если XPath-выражение синтаксически неверно, MySQL генерирует ошибку, включающую фрагмент переданного выражения. Это позволяет атакующему «вытащить» произвольные данные, подставив их в XPath-строку.

Пример из документации MySQL:

SELECT EXTRACTVALUE(RAND(), CONCAT(0x7e, VERSION(), 0x7e, USER()));

Здесь в ошибке появится версия СУБД и текущий пользователь, обрамлённые тильдами.

В нашем пейлоаде вместо VERSION() используется подзапрос с ELT, но суть та же — вызвать ошибку и прочитать её содержимое. Часто для этих целей применяют также функцию UPDATEXML с аналогичным механизмом.

Зачем нужна ELT и условие 3894=3894

Функция ELT(N, str1, str2, ...) возвращает N-й элемент из списка строк. Если N=1, возвращается первая строка. В нашем случае N — это результат сравнения 3894=3894, которое всегда истинно (1). Это простейший способ убедиться, что подзапрос вернёт предсказуемое значение — единицу. В реальной атаке вместо этого условия могло бы быть что-то вроде SELECT IF(SUBSTRING(password,1,1)='a',1,0), что позволило бы побайтово извлекать данные.

Таким образом, данный пейлоад — это «тест на уязвимость»: если сервер возвращает ошибку с тильдами и единицей, значит, параметр уязвим для error-based SQLi.

Последствия успешной инъекции

Если злоумышленник подтвердил уязвимость, он может:

  • Извлечь структуру базы данных: имена таблиц, столбцов, типы данных.
  • Получить конфиденциальные данные: логины, пароли (в виде хешей), персональную информацию пользователей.
  • Изменить или удалить данные, если у пользователя БД есть соответствующие права.
  • В некоторых случаях выполнить команды операционной системы через дополнительные функции.

SQL-инъекции остаются в списке OWASP Top 10 и представляют серьёзную угрозу для веб-приложений.

Как защититься от подобных атак

Основной метод защиты — использование параметризованных запросов (prepared statements) с привязкой переменных. Это исключает возможность подстановки произвольного SQL-кода через пользовательский ввод.

Дополнительные меры:

  • Экранирование специальных символов, если параметризация невозможна.
  • Ограничение прав пользователя базы данных: не давайте приложению прав на удаление таблиц или доступ к системным схемам.
  • Регулярное обновление СУБД и фреймворков.
  • Использование WAF (Web Application Firewall) для блокировки подозрительных запросов.
  • Проведение аудита кода и пентестов.

Важно понимать, что даже простая ошибка в одном параметре может открыть доступ ко всей базе. Поэтому следует уделять внимание безопасности на всех этапах разработки.

Заключение

Пейлоад %' OR EXTRACTVALUE(3894,CONCAT(0x7e,((SELECT (ELT(3894=3894,1)))),0x7e))-- - — это учебный пример error-based SQL-инъекции в MySQL. Он демонстрирует, как через вызов функции EXTRACTVALUE с некорректным XPath можно заставить сервер вернуть результат подзапроса в сообщении об ошибке. Понимание механики таких атак помогает разработчикам и специалистам по безопасности эффективно защищать веб-приложения.

Источники