Что такое SQL-инъекция через EXTRACTVALUE?

SQL-инъекция — один из самых распространённых и опасных видов атак на веб-приложения. Согласно OWASP Top 10, она стабильно входит в список критических угроз. Особый интерес представляет error-based SQL-инъекция, при которой злоумышленник извлекает данные из базы, провоцируя вывод сообщений об ошибках. Функция EXTRACTVALUE в MySQL — популярный инструмент для таких атак.

Строка, которую вы видите в запросе: %')) AND EXTRACTVALUE(3934,CONCAT(0x7e,((SELECT (ELT(3934=3934,1)))),0x7e))-- - — это классический пример error-based SQL-инъекции для СУБД MySQL. Она предназначена для извлечения данных из базы через вывод сообщения об ошибке. Разберём её по частям.

Как работает EXTRACTVALUE в MySQL

Функция EXTRACTVALUE(XML_document, XPath_expression) извлекает значение из XML-строки по заданному XPath-выражению. Если XPath-выражение некорректно, MySQL возвращает ошибку с указанием проблемного фрагмента. Именно эту особенность эксплуатируют злоумышленники: они передают в XPath данные, полученные из подзапроса, и сервер сам «показывает» их в тексте ошибки.

Пример простой инъекции:

SELECT EXTRACTVALUE(1, CONCAT(0x7e, (SELECT version()), 0x7e));

В результате MySQL выдаст ошибку вида: XPATH syntax error: '~5.7.23~'. Здесь 0x7e — это тильда (~), используемая как маркер для удобного поиска вывода в сообщении об ошибке.

Разбор конкретного запроса

Теперь детально разберём строку %')) AND EXTRACTVALUE(3934,CONCAT(0x7e,((SELECT (ELT(3934=3934,1)))),0x7e))-- -:

  • %')) — закрывает предыдущие кавычки и скобки в уязвимом SQL-запросе, подготавливая почву для внедрения.
  • AND EXTRACTVALUE(3934, ...) — добавляет условие с вызовом функции EXTRACTVALUE. Первый аргумент (3934) — произвольное число, не влияющее на результат.
  • CONCAT(0x7e, ((SELECT (ELT(3934=3934,1)))), 0x7e) — формирует строку для XPath: тильда + результат подзапроса + тильда. Подзапрос SELECT ELT(3934=3934,1) возвращает 1, так как условие 3934=3934 истинно. ELT(N, str1, str2, ...) возвращает N-ю строку из списка; здесь N=1, поэтому возвращается 1.
  • -- - — комментарий, обрезающий оставшуюся часть оригинального запроса.

В реальной атаке вместо ELT(3934=3934,1) подставляется подзапрос, извлекающий нужные данные, например, имя пользователя или хеш пароля. Сервер MySQL сгенерирует ошибку, в тексте которой появятся эти данные.

Почему это работает: механизм error-based инъекции

MySQL вернёт ошибку, если XPath-выражение начинается с недопустимого символа или содержит синтаксическую ошибку. Функция EXTRACTVALUE пытается интерпретировать переданную строку как XPath, терпит неудачу и включает переданные данные в сообщение об ошибке. Так как приложение выводит сообщения об ошибках БД пользователю (или злоумышленник может их видеть через отладочный режим), происходит утечка информации.

Это один из методов так называемой «слепой» инъекции, когда прямой вывод данных невозможен, но можно судить о них по реакции сервера. Error-based инъекция — более быстрый и удобный вариант по сравнению с boolean-based или time-based.

Пример из реальной практики

Рассмотрим упрощённый пример. Допустим, есть уязвимый запрос:

SELECT * FROM users WHERE id = '$id';

Злоумышленник передаёт в параметр id значение 1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT database()), 0x7e))-- -. В результате MySQL выполнит:

SELECT * FROM users WHERE id = '1' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT database()), 0x7e))-- -';

И вернёт ошибку: XPATH syntax error: '~mydb~', где mydb — имя текущей базы данных.

Последствия успешной атаки

Если злоумышленник может эксплуатировать error-based SQL-инъекцию, он способен:

  • Извлечь содержимое любых таблиц: логины, пароли, персональные данные, номера кредитных карт.
  • Получить доступ к системным таблицам и определить структуру базы.
  • При наличии соответствующих привилегий — читать и записывать файлы на сервере, выполнять команды ОС.
  • Использовать базу как плацдарм для дальнейших атак на внутреннюю сеть.

По данным OWASP, SQL-инъекции приводят к утечкам миллионов записей ежегодно. Ущерб исчисляется миллиардами долларов.

Как защититься от инъекций через EXTRACTVALUE и другие функции

Основной метод защиты — использование параметризованных запросов (prepared statements). Это исключает возможность внедрения произвольного SQL-кода, так как данные передаются отдельно от структуры запроса.

  1. Параметризация запросов — самый надёжный способ. Никогда не конкатенируйте пользовательский ввод в SQL-строку.
  2. Валидация и экранирование ввода — если параметризация невозможна, применяйте строгую проверку типов и экранирование спецсимволов.
  3. Отключение вывода ошибок БД — не показывайте пользователям сообщения об ошибках MySQL. Логируйте их на сервере.
  4. Принцип наименьших привилегий — учётная запись приложения должна иметь минимально необходимые права. Не используйте root для работы с БД.
  5. Регулярное обновление СУБД — в новых версиях MySQL некоторые опасные функции могут быть удалены или изменены.
  6. Использование WAF — веб-приложения-экраны могут блокировать подозрительные запросы, содержащие EXTRACTVALUE или другие индикаторы атак.
  7. Аудит и мониторинг — отслеживайте аномальные SQL-запросы и ошибки.

Важно понимать: EXTRACTVALUE — лишь один из многих инструментов в арсенале атакующего. Аналогичными свойствами обладают функции UPDATEXML, GTID_SUBSET, EXP (в некоторых версиях). Поэтому защита должна быть комплексной.

Заключение

Запрос %')) AND EXTRACTVALUE(3934,CONCAT(0x7e,((SELECT (ELT(3934=3934,1)))),0x7e))-- - — это учебный пример error-based SQL-инъекции, демонстрирующий уязвимость приложения перед внешним воздействием. Понимание механизмов таких атак необходимо разработчикам и специалистам по безопасности для построения надёжной защиты. Используйте параметризованные запросы, скрывайте ошибки БД и следуйте лучшим практикам OWASP, чтобы не стать жертвой злоумышленников.

Источники