Что это за строка?

Строка ))) AND EXTRACTVALUE(5982,CONCAT(0x7e,((SELECT (ELT(5982=5982,1)))),0x7e))-- - — это классический пример error-based SQL-инъекции (инъекции на основе ошибок) для СУБД MySQL. Такие конструкции используются злоумышленниками для извлечения данных из базы данных через сообщения об ошибках, которые возвращает сервер.

Как работает эта инъекция?

Разберём по частям:

  • ))) — закрывающие скобки, которые завершают предыдущий SQL-запрос, чтобы внедрить свой код.
  • AND EXTRACTVALUE(5982,CONCAT(0x7e,((SELECT (ELT(5982=5982,1)))),0x7e)) — вызов функции EXTRACTVALUE, которая извлекает значение из XML-строки. Если второй аргумент не является корректным XPath-выражением, MySQL выдаёт ошибку, содержащую этот аргумент.
  • 0x7e — шестнадцатеричное представление символа ~ (тильда), используется как разделитель, чтобы облегчить чтение результата в сообщении об ошибке.
  • SELECT (ELT(5982=5982,1)) — подзапрос, возвращающий 1, если условие 5982=5982 истинно (а это всегда так). ELT возвращает N-й элемент из списка; здесь список состоит из одного элемента 1.
  • -- - — комментарий, который игнорирует остаток оригинального запроса.

В результате MySQL выполнит функцию EXTRACTVALUE с аргументом, содержащим символ ~ и результат подзапроса. Поскольку ~1~ не является допустимым XPath, СУБД сгенерирует ошибку вида: XPATH syntax error: '~1~'. Эта ошибка будет возвращена в ответе сервера, и атакующий увидит значение 1. В реальной атаке вместо 1 подставляются имена таблиц, колонок или другие данные.

Цель инъекции

Основная цель — получить информацию о структуре базы данных или извлечь конфиденциальные данные (логины, пароли, номера кредитных карт) путём последовательного выполнения запросов. Error-based инъекции удобны тем, что результат сразу отображается в сообщении об ошибке, не требуя слепого перебора.

Пример реальной атаки

Злоумышленник может заменить ELT(5982=5982,1) на подзапрос, возвращающий, например, имя текущей базы данных: SELECT database(). Тогда строка примет вид:

))) AND EXTRACTVALUE(5982,CONCAT(0x7e,(SELECT database()),0x7e))-- -

В ответе сервера появится ошибка с именем базы данных. Далее аналогично извлекаются имена таблиц, колонок и сами данные.

Как защититься?

Чтобы предотвратить такие атаки, необходимо:

  1. Использовать параметризованные запросы (prepared statements). Это самый надёжный способ, при котором данные никогда не интерпретируются как SQL-код.
  2. Экранировать специальные символы. Если параметризация невозможна, применяйте функции экранирования, предоставляемые драйвером БД.
  3. Ограничить права пользователя БД. Учётная запись веб-приложения не должна иметь прав на чтение системных таблиц или выполнение опасных функций.
  4. Отключить вывод ошибок MySQL в продакшене. Сообщения об ошибках не должны попадать в ответ клиенту; логируйте их на сервере.
  5. Использовать WAF (Web Application Firewall). Современные WAF могут обнаруживать и блокировать попытки SQL-инъекций по сигнатурам.
  6. Регулярно обновлять СУБД и библиотеки. Устаревшие версии могут содержать уязвимости.

Заключение

Строка ))) AND EXTRACTVALUE(5982,CONCAT(0x7e,((SELECT (ELT(5982=5982,1)))),0x7e))-- - — это не случайный набор символов, а тщательно сконструированная SQL-инъекция, использующая особенности функций MySQL для извлечения данных через ошибки. Понимание механизма таких атак помогает разработчикам и администраторам лучше защищать свои системы.

Источники