Что это за строка?

Строка «") AND EXTRACTVALUE(4756,CONCAT(0x7e,((SELECT (ELT(4756=4756,1)))),0x7e))-- -» представляет собой классический пример error-based SQL-инъекции (инъекции на основе ошибок) для СУБД MySQL. Такие конструкции используются для извлечения данных из базы данных через сообщения об ошибках, которые возвращает сервер базы данных.

Внешне это выглядит как бессмысленный набор символов, но на самом деле это тщательно сконструированный запрос, который заставляет MySQL выдать конфиденциальную информацию в тексте ошибки. Злоумышленники применяют подобные техники для получения имён таблиц, колонок, логинов и паролей пользователей, когда другие методы (например, UNION-based) не работают.

Как работает эта инъекция?

Разберём по частям:

  • «") — закрывающая кавычка и скобка. Они нужны, чтобы «закрыть» оригинальный запрос приложения и внедрить свой код. В зависимости от контекста, это может быть строка в кавычках или подзапрос.
  • AND — логический оператор, который добавляет условие к исходному запросу. Если оригинальный запрос уже содержит WHERE, то AND позволяет добавить дополнительное выражение.
  • EXTRACTVALUE(4756, CONCAT(0x7e, ((SELECT (ELT(4756=4756,1)))), 0x7e)) — ключевая часть. Функция EXTRACTVALUE() в MySQL предназначена для извлечения значения из XML-строки по XPath-выражению. Если переданный XPath-аргумент некорректен (например, содержит недопустимые символы), MySQL генерирует ошибку, в тексте которой отображается переданное значение.
  • CONCAT(0x7e, ..., 0x7e) — объединяет символ тильды (~, код 0x7e) с результатом подзапроса. Тильда используется как маркер, чтобы в сообщении об ошибке было легко найти начало и конец извлекаемых данных.
  • (SELECT (ELT(4756=4756,1))) — подзапрос, который возвращает либо 1, либо NULL. Функция ELT() возвращает N-й элемент из списка. Здесь 4756=4756 — всегда истинное условие, поэтому ELT возвращает 1 (первый элемент). В реальных атаках вместо этой константы подставляют подзапросы, извлекающие данные, например: SELECT password FROM users LIMIT 1.
  • -- - — комментарий, который «отрезает» оставшуюся часть оригинального запроса, чтобы не возникло синтаксической ошибки.

В результате выполнения такого запроса MySQL выдаёт ошибку вида: «XPATH syntax error: '~1~'». Если вместо «1» подставить подзапрос, возвращающий имя пользователя, в ошибке появится это имя. Так злоумышленник может посимвольно извлекать данные.

Зачем нужен EXTRACTVALUE?

Функция EXTRACTVALUE() — не единственная, но одна из самых популярных для error-based инъекций. Её преимущество в том, что она доступна в стандартной сборке MySQL и позволяет выводить до 32 символов за раз. Если данных больше, приходится использовать SUBSTR() или LIMIT для посимвольного извлечения.

Внимание: максимальная длина результата EXTRACTVALUE — 32 символа. При большей длине используйте SUBSTR() или LIMIT.

Другие функции, часто применяемые в error-based атаках: UPDATEXML(), GTID_SUBSET(), EXP() (для MySQL 5.5+). Все они вызывают ошибку, содержащую переданные данные.

Пример реальной атаки

Предположим, есть уязвимый параметр id в URL: http://example.com/product.php?id=1. Приложение формирует запрос:

SELECT * FROM products WHERE id = '" . $_GET['id'] . "'

Злоумышленник подставляет:

1'") AND EXTRACTVALUE(4756,CONCAT(0x7e,(SELECT database()),0x7e))-- -

В ответе сервера появится ошибка с именем текущей базы данных. Далее аналогично извлекаются таблицы, колонки и записи.

Как защититься?

Основной способ защиты — использование подготовленных выражений (prepared statements) с параметризацией запросов. Это полностью исключает возможность внедрения SQL-кода, так как данные передаются отдельно от структуры запроса.

  • Никогда не конкатенируйте пользовательский ввод в SQL-запросы.
  • Используйте ORM или библиотеки, поддерживающие параметризацию (PDO, mysqli).
  • Ограничьте права пользователя БД: не давайте приложению доступ к системным таблицам.
  • Настройте вывод ошибок: на продакшене ошибки MySQL не должны показываться пользователю.
  • Регулярно проводите аудит кода и сканирование уязвимостей.

Помните, что error-based инъекции — лишь один из многих классов атак. Полноценная защита требует комплексного подхода: валидация ввода, экранирование, WAF и мониторинг.

Заключение

Строка «") AND EXTRACTVALUE(4756,CONCAT(0x7e,((SELECT (ELT(4756=4756,1)))),0x7e))-- -» — это учебный пример эксплуатации уязвимости SQL-инъекции в MySQL. Понимание таких конструкций необходимо специалистам по информационной безопасности для тестирования систем на проникновение и написания защищённого кода. Если вы разработчик, всегда используйте параметризованные запросы — это лучший способ предотвратить подобные атаки.