Что это за запрос и почему он выглядит подозрительно

Строка %")) AND EXTRACTVALUE(3970,CONCAT(0x7e,((SELECT (ELT(3970=3970,1)))),0x7e))-- - — это классический пример полезной нагрузки (payload) для SQL-инъекции, основанной на ошибках (error-based injection). Такие строки часто встречаются в логах веб-серверов, WAF или SIEM-систем. Они содержат характерные индикаторы: функцию EXTRACTVALUE, конструкцию CONCAT, условный оператор ELT, HEX-маркеры 0x7e и комментарий -- -. Всё это вместе нацелено на то, чтобы заставить базу данных MySQL вернуть данные в тексте ошибки.

В этой статье мы разберём, как работает каждый элемент этого запроса, зачем злоумышленники используют именно такую комбинацию и как от неё защититься. Материал будет полезен разработчикам, администраторам и специалистам по безопасности.

Анатомия payload: пошаговый разбор

Рассмотрим строку по частям.

  • %")) — попытка закрыть предыдущие кавычки и скобки в исходном SQL-запросе, чтобы внедрить свой код. Символ % часто используется в LIKE-запросах, но здесь он может быть частью контекста.
  • AND EXTRACTVALUE(3970,CONCAT(0x7e,((SELECT (ELT(3970=3970,1)))),0x7e)) — основная инъекция. Функция EXTRACTVALUE в MySQL извлекает значение из XML-фрагмента. Если переданный XML некорректен, она вызывает ошибку, в тексте которой может отображаться переданный аргумент. Злоумышленники используют это для вывода данных.
  • -- - — комментарий, который обрезает оставшуюся часть оригинального запроса, чтобы синтаксис стал корректным.

Число 3970 в первом аргументе EXTRACTVALUE — это произвольный идентификатор (может быть любым). Второй аргумент — строка, которая конкатенируется из нескольких частей.

Функция EXTRACTVALUE

EXTRACTVALUE(XML_document, XPath_expression) возвращает текст из XML-документа по указанному XPath-выражению. Если XML-документ некорректен, MySQL генерирует ошибку вида «XPATH syntax error: '...'», в которую попадает часть переданного XPath-выражения. Это позволяет внедряющему увидеть результат выполнения вложенного запроса.

Пример: EXTRACTVALUE(1, CONCAT(0x7e, (SELECT version()), 0x7e)) вызовет ошибку с текстом ~5.7.33~, где 5.7.33 — версия СУБД.

Конкатенация и HEX-маркеры

CONCAT(0x7e, ..., 0x7e) собирает строку, обрамляя результат символами ~ (тильда, ASCII-код 0x7e). Тильда используется как маркер, чтобы облегчить поиск выведенных данных в сообщении об ошибке. Часто вместе с ней применяют и другие разделители, например 0x3a (двоеточие).

Условный оператор ELT

ELT(N, str1, str2, ...) возвращает строку с номером N. В payload ELT(3970=3970,1) условие 3970=3970 всегда истинно (1), поэтому возвращается первый элемент — «1». Это простейшая проверка работоспособности инъекции. В реальных атаках вместо 3970=3970 подставляют условие, зависящее от данных, например SUBSTRING((SELECT password FROM users LIMIT 1),1,1)='a'. Тогда по результату (ошибка или нет) можно побитово извлекать информацию.

Зачем это нужно злоумышленнику

Error-based инъекции позволяют получать данные из базы, даже если приложение не выводит результаты запроса на экран. Атакующий внедряет функцию, вызывающую ошибку с полезной нагрузкой, и читает сообщение об ошибке. Это один из самых быстрых способов эксплуатации SQL-инъекций в MySQL, наряду с UNION-based.

Описанный payload — это, скорее всего, тестовый запрос для проверки уязвимости. Если сервер возвращает ошибку с тильдами и содержимым, значит, инъекция возможна.

Как защититься

Основная рекомендация — использовать параметризованные запросы (prepared statements) во всех взаимодействиях с базой данных. Это исключает возможность внедрения кода через пользовательский ввод. Дополнительные меры:

  • Экранирование специальных символов с помощью функций API (например, mysqli_real_escape_string в PHP).
  • Ограничение прав пользователя базы данных: не давайте приложению прав на чтение системных таблиц и выполнение опасных функций.
  • Использование WAF (Web Application Firewall) для блокировки подозрительных запросов, содержащих EXTRACTVALUE, CONCAT с HEX и комментарии.
  • Регулярный аудит кода и пентесты.

Важно также отключать вывод подробных ошибок БД в production-окружении, чтобы не давать атакующему лишней информации.

Вывод

Строка %")) AND EXTRACTVALUE(3970,CONCAT(0x7e,((SELECT (ELT(3970=3970,1)))),0x7e))-- - — это учебный пример error-based SQL-инъекции. Она демонстрирует типичные приёмы: использование EXTRACTVALUE для генерации ошибки с данными, CONCAT с тильдами для обрамления, ELT для условного вывода и комментария для обрезки запроса. Понимание механики таких атак помогает разработчикам и безопасникам эффективнее защищать приложения.

Источники