Что такое EXTRACTVALUE и при чём тут SQL-инъекция

Функция EXTRACTVALUE() в MySQL предназначена для работы с XML-документами. Она принимает два строковых аргумента: фрагмент XML-разметки и XPath-выражение (локатор). Функция возвращает текстовое содержимое (CDATA) первого текстового узла, который является дочерним для элемента, соответствующего XPath-выражению. Однако эта безобидная на первый взгляд функция стала инструментом для проведения error-based SQL-инъекций — атак, при которых злоумышленник извлекает данные из базы через сообщения об ошибках, возвращаемые СУБД.

Рассматриваемый запрос:

))) AND EXTRACTVALUE(7628,CONCAT(0x7e,((SELECT (ELT(7628=7628,1)))),0x7e))-- -

представляет собой классический пример такой инъекции. Давайте разберём его по частям.

Анатомия запроса

Строка начинается с последовательности ))), которая, вероятно, закрывает ранее открытые скобки в оригинальном SQL-запросе, делая его синтаксически корректным для внедрения. Затем идёт AND EXTRACTVALUE(...) — это и есть полезная нагрузка. Оператор AND гарантирует, что функция будет вызвана, только если предыдущие условия истинны, но в контексте инъекции это не важно, так как цель — вызвать ошибку.

Внутри EXTRACTVALUE первым аргументом передаётся число 7628. Это не случайное число: оно используется в условии 7628=7628, которое всегда истинно, и в функции ELT(7628=7628,1). ELT() возвращает N-й элемент из списка строк. Здесь ELT(7628=7628,1) вернёт 1, так как условие истинно (в MySQL истина представлена как 1).

Далее CONCAT(0x7e, ((SELECT ...)), 0x7e) объединяет символ тильды ~ (hex-код 0x7e) с результатом подзапроса и ещё одной тильдой. Тильда используется как маркер, чтобы облегчить поиск выведенных данных в сообщении об ошибке.

Второй аргумент EXTRACTVALUE — это XPath-выражение. Поскольку переданная строка не является корректным XPath, MySQL генерирует ошибку вида: XPATH syntax error: '~1~'. В этом сообщении и оказывается результат выполнения подзапроса — в данном случае просто 1.

Зачем это нужно злоумышленнику

Основная цель — заставить сервер вернуть в сообщении об ошибке конфиденциальные данные. Вместо ELT(7628=7628,1) может быть подставлен любой подзапрос, например, (SELECT version()) или (SELECT password FROM users LIMIT 1). Тогда ошибка покажет версию СУБД или хеш пароля. Таким образом, атакующий может посимвольно извлекать информацию из базы данных, используя функцию EXTRACTVALUE как канал утечки.

Подобные техники относятся к классу error-based SQL injection и активно применяются при пентестах и реальных атаках. Они особенно опасны, когда приложение выводит сообщения об ошибках базы данных пользователю.

Как защититься от таких инъекций

Чтобы предотвратить эксплуатацию уязвимостей, подобных описанной, необходимо применять комплекс мер:

  • Использование подготовленных выражений (prepared statements) с параметризацией запросов. Это самый надёжный способ, так как данные не попадают в тело SQL-запроса.
  • Валидация и фильтрация входных данных. Проверяйте все входные параметры на соответствие ожидаемому формату (числа, даты, строки с ограниченным набором символов).
  • Отключение вывода подробных сообщений об ошибках. В production-окружении ошибки СУБД не должны показываться пользователю. Настройте логирование ошибок на сервере.
  • Ограничение прав пользователя базы данных. Приложение должно работать с минимально необходимыми привилегиями, чтобы даже при успешной инъекции ущерб был ограничен.
  • Регулярное обновление СУБД и фреймворков. Иногда уязвимости связаны с конкретными версиями MySQL, поэтому важно следить за патчами.
  • Использование WAF (Web Application Firewall). Современные WAF могут обнаруживать и блокировать попытки SQL-инъекций, включая error-based.

Пример безопасного кода

Вместо конкатенации строк используйте параметризованные запросы. Например, на PHP с PDO:

$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $userId]);

Такой подход исключает возможность внедрения SQL-кода, даже если злоумышленник передаст в параметр id строку с EXTRACTVALUE.

Заключение

Запрос ))) AND EXTRACTVALUE(7628,CONCAT(0x7e,((SELECT (ELT(7628=7628,1)))),0x7e))-- - — это типичный пример error-based SQL-инъекции, использующей функцию EXTRACTVALUE для вывода данных через сообщение об ошибке. Понимание механизма таких атак помогает разработчикам и специалистам по безопасности правильно выстраивать защиту. Никогда не доверяйте пользовательскому вводу и всегда используйте параметризацию запросов.

Источники