Что это за строка?

Строка вида %")))) AND EXTRACTVALUE(2884,CONCAT(0x7e,((SELECT (ELT(2884=2884,1)))),0x7e))-- - — это пример error-based SQL-инъекции для СУБД MySQL. Она предназначена для извлечения данных из базы через вывод сообщения об ошибке. Подобные конструкции часто встречаются в логах веб-серверов, в полях ввода форм или в параметрах URL, когда злоумышленник пытается протестировать уязвимость сайта.

Внешне строка может показаться набором случайных символов, но на самом деле это тщательно сконструированный запрос, который заставляет базу данных вернуть определённую информацию в тексте ошибки. Давайте разберём её по частям.

Разбор синтаксиса

Начнём с начала строки: %")))). Это попытка закрыть предыдущие кавычки и скобки в исходном SQL-запросе, чтобы внедрить свой код. Символ % часто используется в URL-кодировании, а " — это экранированная двойная кавычка. Далее идут закрывающие круглые скобки, которые завершают конструкции, открытые в оригинальном запросе.

Ключевая часть — AND EXTRACTVALUE(2884,CONCAT(0x7e,((SELECT (ELT(2884=2884,1)))),0x7e)). Функция EXTRACTVALUE в MySQL предназначена для извлечения значения из XML-документа по заданному XPath-выражению. Однако она также известна как инструмент для проведения error-based инъекций, потому что при передаче некорректного XPath-выражения возвращает ошибку, содержащую переданные данные.

Первый аргумент 2884 — это просто число, которое может быть любым. Второй аргумент — CONCAT(0x7e, ((SELECT (ELT(2884=2884,1)))), 0x7e). Функция CONCAT объединяет строки. 0x7e — это шестнадцатеричное представление символа ~ (тильда), который используется как маркер для облегчения поиска результата в сообщении об ошибке.

Внутри CONCAT находится подзапрос SELECT (ELT(2884=2884,1)). Функция ELT возвращает N-й элемент из списка строк. Здесь 2884=2884 — это всегда истинное условие, которое возвращает 1. Таким образом, ELT(1,1) вернёт строку '1'. Это простейший пример; в реальных атаках вместо 1 может быть подставлен запрос к базе, например, SELECT version() или SELECT password FROM users LIMIT 1.

Завершающая часть -- - — это комментарий, который отсекает оставшуюся часть оригинального SQL-запроса, чтобы синтаксис был корректным.

Как это работает?

Когда MySQL выполняет функцию EXTRACTVALUE с некорректным XPath (а строка, начинающаяся с ~, не является валидным XPath), генерируется ошибка вида:

XPATH syntax error: '~1~'

В этом сообщении об ошибке как раз и отображается результат выполнения подзапроса, обёрнутый в тильды. Злоумышленник, видя такой ответ, может извлекать данные посимвольно или целыми строками, подставляя нужные SQL-запросы вместо 1.

Таким образом, данная инъекция позволяет обойти защиту и получить информацию из базы данных, даже если приложение не выводит результаты запроса напрямую.

Зачем это нужно злоумышленнику?

Основная цель — получение конфиденциальных данных: имён пользователей, паролей, номеров кредитных карт, персональной информации. Error-based инъекции особенно эффективны, когда другие методы (например, UNION-based) не работают из-за ограничений вывода.

Кроме того, такие строки могут использоваться для сканирования уязвимостей. Если сайт уязвим, он вернёт ошибку с данными; если нет — ошибка будет иной или её не будет вовсе.

Как защититься?

Лучший способ предотвратить SQL-инъекции — использовать параметризованные запросы (prepared statements). Они гарантируют, что данные пользователя не будут интерпретироваться как SQL-код.

  • Используйте подготовленные выражения во всех языках программирования (PHP, Python, Java и т.д.).
  • Экранируйте специальные символы, если параметризация невозможна.
  • Ограничьте права пользователя базы данных: не давайте приложению прав на чтение системных таблиц или выполнение опасных функций.
  • Регулярно обновляйте СУБД и фреймворки, чтобы закрыть известные уязвимости.
  • Используйте WAF (Web Application Firewall) для фильтрации подозрительных запросов.

Также рекомендуется проводить аудит кода и тестирование на проникновение, чтобы выявить уязвимости до того, как их найдут злоумышленники.

Пример безопасного кода

Вместо конкатенации строк в SQL-запросе:

$query = "SELECT * FROM users WHERE id = " . $_GET['id'];

Используйте параметризованный запрос:

$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $_GET['id']]);

Это простое изменение делает инъекции невозможными.

Заключение

Строка с EXTRACTVALUE и ELT — это не случайный набор символов, а целенаправленная атака на базу данных MySQL. Понимание её работы помогает разработчикам и специалистам по безопасности лучше защищать свои системы. Помните: безопасность — это процесс, а не одноразовое действие. Всегда проверяйте вводимые данные и используйте современные методы защиты.

Источники