Что это за строка?

Строка %")))) AND EXTRACTVALUE(5751,CONCAT(0x7e,((SELECT (ELT(5751=5751,1)))),0x7e))-- - — это классический пример error-based SQL-инъекции для СУБД MySQL. Она предназначена для извлечения данных из базы через вывод сообщения об ошибке. Подобные строки часто встречаются в логах веб-серверов, в отчётах сканеров уязвимостей и в базах эксплойтов.

Цель такой инъекции — заставить сервер базы данных выполнить вредоносный SQL-код и вернуть результат в тексте ошибки, который затем отобразится на странице или попадёт в лог. Злоумышленник может использовать этот приём для получения имён таблиц, логинов, паролей и другой конфиденциальной информации.

Разбор строки по частям

Давайте разберём эту конструкцию поэлементно, чтобы понять логику атакующего.

1. Начало: %"))))

Эта часть предназначена для «разрыва» оригинального SQL-запроса. Символ % часто используется в SQL как шаблон для оператора LIKE. Кавычка " закрывает строковый литерал, а несколько закрывающих скобок )))) завершают вложенные функции или условия. Всё вместе это позволяет выйти из контекста исходного запроса и добавить собственный код.

Количество скобок подбирается методом проб и ошибок: атакующий должен точно знать структуру уязвимого запроса, чтобы «закрыть» все открытые конструкции и не вызвать синтаксическую ошибку раньше времени.

2. AND EXTRACTVALUE(5751,CONCAT(0x7e,((SELECT (ELT(5751=5751,1)))),0x7e))

Здесь начинается сама полезная нагрузка. Оператор AND добавляет новое условие к исходному запросу. Функция EXTRACTVALUE() — это встроенная функция MySQL для работы с XML. Она принимает два аргумента: XML-фрагмент и XPath-выражение, и возвращает текст, соответствующий этому выражению.

Первый аргумент — число 5751. Это не просто число, а «заглушка», которая будет преобразована в строку. Второй аргумент — результат функции CONCAT(). Именно здесь и происходит внедрение.

3. CONCAT(0x7e,((SELECT (ELT(5751=5751,1)))),0x7e)

Функция CONCAT() объединяет несколько строк. 0x7e — это шестнадцатеричное представление символа ~ (тильда). Тильда используется как маркер, чтобы в сообщении об ошибке было легко найти внедрённые данные.

Внутри CONCAT находится подзапрос (SELECT (ELT(5751=5751,1))). Функция ELT() возвращает N-й элемент из списка строк. В данном случае ELT(5751=5751,1) — это упрощённый пример. В реальной атаке вместо 5751=5751 подставляется условие, проверяющее истинность какого-либо утверждения, а вместо 1 — номер извлекаемого элемента. Например, ELT(1=1,1) вернёт 1, а ELT(1=2,1) вернёт NULL.

В более сложных вариантах вместо ELT используется SELECT для извлечения данных из таблиц, например: (SELECT password FROM users LIMIT 1). Но в нашем примере показан базовый шаблон.

4. Завершение: -- -

Два дефиса и пробел — это комментарий в SQL. Всё, что идёт после --, игнорируется базой данных. Это нужно, чтобы «отрезать» остаток оригинального запроса, который мог бы вызвать ошибку или нарушить логику инъекции. Пробел после дефисов обязателен в некоторых СУБД, включая MySQL.

Как работает error-based инъекция

Главная идея метода — заставить базу данных выдать сообщение об ошибке, содержащее полезные данные. Функция EXTRACTVALUE() в MySQL при передаче некорректного XPath-выражения генерирует ошибку вида:

XPATH syntax error: '~1~'

Если вместо 1 подставить результат подзапроса, например имя пользователя или хеш пароля, то это значение попадёт в текст ошибки. Атакующий может прочитать его, если сайт отображает ошибки базы данных на странице.

Если отображение ошибок отключено, злоумышленник может использовать слепую инъекцию (blind SQL injection), анализируя время ответа или поведение приложения. Но error-based метод считается более быстрым и удобным, когда ошибки видны.

Почему это опасно?

Успешная эксплуатация такой уязвимости позволяет злоумышленнику:

  • Получить доступ к конфиденциальным данным (логины, пароли, персональные данные).
  • Изменять или удалять информацию в базе.
  • Выполнять административные операции, если уязвимый пользователь имеет высокие привилегии.
  • Использовать сервер для дальнейших атак.

Подобные строки часто встречаются в автоматических сканерах, которые проверяют сайты на наличие уязвимостей. Если вы видите такую строку в логах, это признак того, что ваш сайт пытались взломать.

Как защититься?

Основной способ защиты — использование параметризованных запросов (prepared statements). Они разделяют код SQL и данные, поэтому введённые пользователем символы не интерпретируются как часть запроса.

Дополнительные меры:

  1. Экранирование специальных символов с помощью функций вроде mysqli_real_escape_string().
  2. Ограничение привилегий пользователя базы данных: приложение должно работать под учётной записью с минимально необходимыми правами.
  3. Отключение вывода ошибок базы данных на страницы сайта (в production-окружении).
  4. Регулярное обновление СУБД и фреймворков.
  5. Использование WAF (Web Application Firewall) для фильтрации подозрительных запросов.

Важно понимать, что EXTRACTVALUE — не единственная функция, используемая для error-based инъекций. Аналогично работают UPDATEXML, GTID_SUBSET и другие. Поэтому защита должна быть комплексной.

Заключение

Строка %")))) AND EXTRACTVALUE(5751,CONCAT(0x7e,((SELECT (ELT(5751=5751,1)))),0x7e))-- - — это не случайный набор символов, а тщательно сконструированная полезная нагрузка для эксплуатации уязвимости SQL-инъекции в MySQL. Она демонстрирует, как злоумышленники используют встроенные функции СУБД для извлечения данных через сообщения об ошибках.

Если вы разработчик или администратор, убедитесь, что ваше приложение использует параметризованные запросы и не выводит ошибки базы данных пользователям. Если вы обычный пользователь и увидели такую строку в логах своего сайта — это повод проверить безопасность и обратиться к специалисту.

Источники