В логах сервера или в поле ввода можно встретить строку вида )) AND EXTRACTVALUE(1480,CONCAT(0x7e,((SELECT (ELT(1480=1480,1)))),0x7e))-- -. Многие задаются вопросом: что это и какова её цель? Это классический пример SQL-инъекции, нацеленной на извлечение данных из базы через ошибки, генерируемые функцией EXTRACTVALUE в MySQL. В этой статье мы подробно разберём, как работает такая атака, что именно делает каждый элемент запроса и как защитить свой сайт.

Что такое SQL-инъекция?

SQL-инъекция (SQL injection) — один из самых распространённых способов взлома веб-приложений. Злоумышленник вставляет в пользовательский ввод специальные конструкции, которые интерпретируются базой данных как SQL-код. Это позволяет обойти аутентификацию, украсть данные, изменить или удалить информацию. Один из подвидов — error-based SQL-инъекция, при которой атакующий заставляет базу данных выдать сообщение об ошибке, содержащее полезные данные. Функция EXTRACTVALUE как раз используется для таких атак.

Функция EXTRACTVALUE в MySQL

Функция EXTRACTVALUE() принимает два строковых аргумента: фрагмент XML-разметки и выражение XPath. Она возвращает текст (CDATA) первого текстового узла, который является дочерним для элемента, соответствующего XPath-выражению. Синтаксис:

EXTRACTVALUE(xml_frag, xpath_expr)

Если XPath-выражение не соответствует ни одному узлу или возвращает не текст, функция генерирует ошибку. Именно эту особенность эксплуатируют хакеры: они передают в XPath вредоносный подзапрос, результат которого вставляется в текст ошибки. Сообщение об ошибке затем отображается на странице или возвращается в ответе, раскрывая конфиденциальные данные.

Разбор вредоносного запроса

Рассмотрим строку по частям:

  • )) — закрывающие скобки, которые завершают предыдущие SQL-выражения в уязвимом запросе. Злоумышленник подбирает их количество, чтобы «сбалансировать» синтаксис и внедрить свой код.
  • AND EXTRACTVALUE(1480,CONCAT(0x7e,((SELECT (ELT(1480=1480,1)))),0x7e)) — основная полезная нагрузка. Она вызывает функцию EXTRACTVALUE с первым аргументом 1480 (произвольное число, может быть любым) и вторым аргументом — результатом CONCAT.
  • CONCAT(0x7e, ((SELECT (ELT(1480=1480,1)))), 0x7e) — конкатенация символа тильды (0x7e в шестнадцатеричном виде) с результатом подзапроса и ещё одной тильдой. Тильды используются как маркеры, чтобы облегчить извлечение данных из сообщения об ошибке.
  • SELECT (ELT(1480=1480,1)) — подзапрос, который возвращает 1, если условие 1480=1480 истинно (а оно всегда истинно). Функция ELT() возвращает N-й элемент списка; здесь список состоит из одного элемента 1. Это простейшая проверка, но на практике вместо 1480=1480 может быть любое условие, например, извлечение имени таблицы или пароля.
  • -- - — комментарий, который отсекает оставшуюся часть оригинального SQL-запроса, чтобы не возникло синтаксических ошибок.

В результате выполнения такого запроса MySQL попытается интерпретировать строку ~1~ как XPath. Поскольку это невалидный XPath, функция EXTRACTVALUE сгенерирует ошибку вида: XPATH syntax error: '~1~'. В сообщении об ошибке появится значение, возвращённое подзапросом. Если вместо 1 подставить, например, SELECT password FROM users LIMIT 1, то в ошибке отобразится пароль пользователя. Таким образом, атакующий может посимвольно извлекать любые данные из базы.

Цели и последствия атаки

Основная цель error-based SQL-инъекции через EXTRACTVALUE — получить доступ к содержимому базы данных: учётным записям, персональным данным, платёжной информации. В руках злоумышленника это может привести к:

  • краже конфиденциальных данных пользователей;
  • обходу аутентификации и получению прав администратора;
  • полному контролю над базой данных, включая удаление или изменение информации;
  • дальнейшему распространению атаки на другие системы.

Особенно опасна такая инъекция для сайтов, которые выводят сообщения об ошибках базы данных прямо на страницу. Даже если ошибки не отображаются, злоумышленник может использовать слепые методы, но EXTRACTVALUE позволяет ускорить извлечение за счёт явных сообщений.

Как защититься от SQL-инъекций через EXTRACTVALUE

Чтобы предотвратить подобные атаки, необходимо применять комплекс мер:

  1. Использовать подготовленные выражения (prepared statements). Это самый надёжный способ: параметры запроса передаются отдельно от SQL-кода, и внедрение становится невозможным.
  2. Экранировать специальные символы. Если по каким-то причинам нельзя использовать подготовленные выражения, применяйте функции экранирования, например mysqli_real_escape_string.
  3. Отключить вывод ошибок базы данных на страницу. Сообщения об ошибках должны записываться в лог, а пользователю показываться общая информация.
  4. Ограничить права пользователя базы данных. Веб-приложение должно работать с минимально необходимыми привилегиями: только SELECT, INSERT, UPDATE, DELETE для нужных таблиц, без прав на чтение системных таблиц.
  5. Регулярно обновлять СУБД и фреймворки. В новых версиях MySQL функция EXTRACTVALUE помечена как устаревшая, и её использование может быть ограничено, но полагаться только на это нельзя.
  6. Использовать WAF (Web Application Firewall). Современные WAF могут обнаруживать и блокировать попытки SQL-инъекций по сигнатурам, включая конструкции с EXTRACTVALUE.
Помните: безопасность — это процесс, а не одноразовое действие. Регулярно проводите аудит кода и тестирование на проникновение.

Заключение

Строка )) AND EXTRACTVALUE(1480,CONCAT(0x7e,((SELECT (ELT(1480=1480,1)))),0x7e))-- - — это не случайный набор символов, а точно выверенный эксплойт для извлечения данных из базы MySQL через сообщения об ошибках. Понимание механики таких атак помогает разработчикам и администраторам своевременно закрывать уязвимости. Если вы нашли подобный запрос в логах, это сигнал о попытке взлома: немедленно проверьте свой код на наличие SQL-инъекций и примите меры защиты.

Источники