Что это за строка?

Строка ")))) AND EXTRACTVALUE(1151,CONCAT(0x7e,((SELECT (ELT(1151=1151,1)))),0x7e))-- - представляет собой классический пример error-based SQL-инъекции (инъекции на основе ошибок) для СУБД MySQL. Такие конструкции используются злоумышленниками для извлечения данных из базы данных через вывод сообщения об ошибке, которое возвращается веб-приложением.

В данном случае строка содержит несколько характерных элементов: закрывающие скобки и кавычки для нарушения исходного запроса, логическое условие AND, функцию EXTRACTVALUE с подобранными аргументами, а также комментарий -- -, который обрезает оставшуюся часть оригинального SQL-запроса.

Как работает error-based SQL-инъекция?

Error-based SQL-инъекция — это техника, при которой атакующий заставляет базу данных сгенерировать ошибку, содержащую полезные данные. В MySQL для этого часто используются функции EXTRACTVALUE или UPDATEXML. Они предназначены для работы с XML, но при передаче некорректного XPath-выражения возвращают сообщение об ошибке, в которое попадает вычисленное значение.

В анализируемой строке применяется функция EXTRACTVALUE(1151, CONCAT(0x7e, (SELECT (ELT(1151=1151,1))), 0x7e)). Первый аргумент — произвольное число (1151), второй — конкатенация тильды (0x7e — шестнадцатеричный код символа ~), результата подзапроса и ещё одной тильды. Символ ~ выбран потому, что он недопустим в XPath и гарантированно вызывает ошибку.

Подзапрос SELECT (ELT(1151=1151,1)) возвращает 1, если условие 1151=1151 истинно (что всегда так), или NULL в противном случае. Функция ELT выбирает элемент из списка по индексу. В данном случае список состоит из одного элемента 1, поэтому результат — 1. Затем этот результат вместе с тильдами передаётся в EXTRACTVALUE, что приводит к ошибке вида XPATH syntax error: '~1~'. Именно эта ошибка и содержит внедрённые данные.

Разбор составных частей строки

  • ")))) — закрывающие кавычки и скобки, необходимые для завершения оригинального запроса и внедрения своего кода. Количество скобок подбирается под конкретный запрос уязвимого приложения.
  • AND — логический оператор, добавляющий условие к исходному запросу.
  • EXTRACTVALUE(1151, ...) — уязвимая функция MySQL, вызывающая ошибку с полезной нагрузкой.
  • CONCAT(0x7e, ..., 0x7e) — объединяет символы тильды с результатом подзапроса, чтобы отделить данные в сообщении об ошибке.
  • (SELECT (ELT(1151=1151,1))) — подзапрос, возвращающий фиксированное значение (1). В реальных атаках вместо этого подзапроса внедряется запрос к таблицам базы данных, например, для извлечения имён пользователей или паролей.
  • -- - — комментарий, который игнорирует оставшуюся часть исходного SQL-запроса (пробел после двух дефисов обязателен в MySQL).

Зачем злоумышленники используют такие конструкции?

Основная цель — получить информацию о структуре базы данных или её содержимом, когда другие методы (например, UNION-инъекции) недоступны. Error-based инъекции эффективны, когда приложение выводит сообщения об ошибках базы данных на страницу. Если ошибки подавляются, этот метод не сработает, и атакующий может переключиться на blind SQL-инъекции (основанные на времени или логических условиях).

В приведённом примере с ELT(1151=1151,1) демонстрируется базовый тест: если ошибка появляется, значит, инъекция возможна. Затем злоумышленник заменяет подзапрос на такой, который извлекает реальные данные, например: SELECT password FROM users LIMIT 1. Сообщение об ошибке отобразит эти данные, заключённые в тильды.

Как защититься от подобных атак?

Для предотвращения SQL-инъекций необходимо использовать параметризованные запросы (prepared statements) и хранимые процедуры. Никогда не подставляйте пользовательский ввод напрямую в SQL-запрос. Также следует отключить вывод подробных сообщений об ошибках базы данных в production-окружении, чтобы не давать атакующему обратную связь. Регулярное обновление СУБД и веб-приложений, использование WAF (Web Application Firewall) и проведение аудитов безопасности помогут снизить риски.

Важно: приведённая информация предназначена исключительно для образовательных целей и повышения осведомлённости о безопасности. Использование описанных техник без разрешения владельца системы является незаконным.

Заключение

Строка ")))) AND EXTRACTVALUE(1151,CONCAT(0x7e,((SELECT (ELT(1151=1151,1)))),0x7e))-- - — это типичный пример error-based SQL-инъекции для MySQL. Она демонстрирует, как злоумышленники могут использовать функции EXTRACTVALUE и CONCAT для извлечения данных через сообщения об ошибках. Понимание таких конструкций помогает разработчикам и специалистам по безопасности лучше защищать свои приложения.

Источники