Что это за строка?

Строка )) AND EXTRACTVALUE(1209,CONCAT(0x7e,((SELECT (ELT(1209=1209,1)))),0x7e))-- - представляет собой классический пример error-based SQL-инъекции для СУБД MySQL. Подобные конструкции часто встречаются в логах веб-серверов, в полях ввода форм или в параметрах URL. Их цель — заставить базу данных выдать сообщение об ошибке, которое содержит полезные для атакующего данные (например, версию СУБД, имена таблиц или содержимое полей).

В основе лежит функция EXTRACTVALUE(), предназначенная для работы с XML. При передаче некорректного XPath-выражения MySQL генерирует ошибку, в тексте которой отображается переданный аргумент. Именно это и эксплуатирует злоумышленник.

Разбор по частям

Давайте разберём строку на составляющие, чтобы понять логику атаки.

  • )) — закрывающие скобки. Они нужны, чтобы «закрыть» ранее открытые скобки в оригинальном SQL-запросе, который формирует уязвимое приложение. Это позволяет внедрить собственный код.
  • AND — логический оператор, присоединяющий внедряемое условие к исходному запросу.
  • EXTRACTVALUE(1209, CONCAT(0x7e, ((SELECT (ELT(1209=1209,1)))), 0x7e)) — вызов уязвимой функции. Первый аргумент (1209) — произвольное число, второй — XPath-выражение, которое формируется динамически.
  • CONCAT(0x7e, ..., 0x7e) — конкатенация символов. 0x7e — это шестнадцатеричное представление символа ~ (тильда). Тильда используется как маркер, чтобы в сообщении об ошибке было легко найти внедрённые данные.
  • ((SELECT (ELT(1209=1209,1)))) — подзапрос, возвращающий результат выражения. ELT(N, str1, str2, ...) возвращает N-ю строку из списка. Здесь 1209=1209 — всегда истинное условие, поэтому ELT возвращает 1. В реальной атаке вместо этого подзапроса могла бы быть выборка данных из таблиц (например, SELECT version() или SELECT password FROM users LIMIT 1).
  • -- - — комментарий. В MySQL -- начинает комментарий, но только если после него идёт пробел. Дефис в конце добавлен для обхода некоторых фильтров.

Таким образом, при выполнении запроса MySQL попытается вычислить XPath-выражение, начинающееся с символа ~, что вызовет ошибку вида XPATH syntax error: '~1~'. В этом сообщении атакующий увидит результат подзапроса (в данном случае «1»).

Как работает error-based SQL-инъекция

Error-based инъекция — это метод извлечения данных из базы через вывод сообщений об ошибках. В отличие от union-based, где результаты внедряются в正常ный вывод страницы, здесь атакующий заставляет СУБД генерировать ошибку, содержащую конфиденциальную информацию. MySQL охотно делится деталями ошибок, если включён режим отображения ошибок (что часто бывает на этапе разработки или при неверной конфигурации).

Функция EXTRACTVALUE() — не единственная, используемая для этих целей. Также применяются UPDATEXML(), GTID_SUBSET(), EXP() и другие. Все они при некорректных аргументах возвращают ошибку с внедрёнными данными.

Важно понимать: сам по себе фрагмент EXTRACTVALUE(1209,CONCAT(0x7e,((SELECT (ELT(1209=1209,1)))),0x7e)) — это «безобидная» проверка. Злоумышленник сначала убеждается, что инъекция возможна, а затем подставляет вместо ELT(1209=1209,1) реальные запросы к таблицам.

Чем опасна такая инъекция?

Успешная эксплуатация error-based SQL-инъекции может привести к:

  • утечке структуры базы данных (имена таблиц, колонок);
  • извлечению конфиденциальных данных (логины, пароли, персональные данные пользователей);
  • обходу аутентификации и получению прав администратора;
  • полному захвату сервера базы данных, включая выполнение произвольных SQL-команд.

Особенно опасна автоматизация: существуют инструменты (например, sqlmap), которые автоматически обнаруживают и эксплуатируют подобные уязвимости, подбирая нужные функции и формируя сложные запросы.

Как защититься?

Основной способ защиты от SQL-инъекций — использование параметризованных запросов (prepared statements). Это гарантирует, что пользовательский ввод никогда не будет интерпретирован как SQL-код.

Дополнительные меры:

  1. Валидация и фильтрация всех входных данных (белые списки, регулярные выражения).
  2. Отключение подробного вывода ошибок СУБД на продакшене — это лишает атакующего обратной связи.
  3. Применение принципа наименьших привилегий для учётной записи, под которой работает веб-приложение: запрет на доступ к системным таблицам, ограничение прав.
  4. Регулярное обновление СУБД и веб-приложений для закрытия известных уязвимостей.
  5. Использование WAF (Web Application Firewall) для блокировки подозрительных запросов, содержащих сигнатуры SQL-инъекций.

Если вы обнаружили подобную строку в логах, это сигнал о том, что ваш сайт пытались взломать. Следует немедленно проверить код на наличие уязвимостей и, при необходимости, обратиться к специалистам по информационной безопасности.

Заключение

Строка )) AND EXTRACTVALUE(1209,CONCAT(0x7e,((SELECT (ELT(1209=1209,1)))),0x7e))-- - — это не случайный набор символов, а целенаправленный эксплойт для проверки возможности error-based SQL-инъекции в MySQL. Понимание принципов его работы помогает разработчикам и администраторам своевременно выявлять и устранять уязвимости, а также осознавать важность безопасного программирования.

Источники