Что такое SQL-инъекция через EXTRACTVALUE?

SQL-инъекция — один из самых распространённых способов взлома веб-приложений. Злоумышленник внедряет вредоносный SQL-код в запрос, чтобы получить доступ к данным, изменить их или выполнить другие неправомерные действия. Ошибко-ориентированная инъекция (error-based SQL injection) — это техника, при которой атакующий заставляет базу данных выдать сообщение об ошибке, содержащее конфиденциальную информацию. Функция EXTRACTVALUE в MySQL часто используется для таких атак.

В запросе пользователя: ))) AND EXTRACTVALUE(5645,CONCAT(0x7e,((SELECT (ELT(5645=5645,1)))),0x7e))-- - — показан классический пример ошибко-ориентированной инъекции. Давайте разберём его по частям.

Разбор внедрённого кода

Начнём с конца: -- - — это комментарий в SQL, который отсекает оставшуюся часть оригинального запроса, чтобы синтаксис остался корректным. Три закрывающие скобки ))) нужны, чтобы закрыть ранее открытые скобки в уязвимом запросе (например, если исходный запрос был вида SELECT ... WHERE id = ((('...')))).

Далее идёт AND EXTRACTVALUE(5645, CONCAT(0x7e, ((SELECT (ELT(5645=5645,1)))), 0x7e)). Функция EXTRACTVALUE(XML_document, XPath_expression) извлекает значение из XML-документа по указанному XPath-выражению. Если XPath-выражение некорректно, MySQL генерирует ошибку, в тексте которой отображается переданное выражение. Это и позволяет атакующему «вытащить» данные через сообщение об ошибке.

Роль CONCAT и 0x7e

CONCAT(0x7e, ..., 0x7e) объединяет строки. 0x7e — это шестнадцатеричное представление символа ~ (тильда). Тильды используются как маркеры, чтобы в сообщении об ошибке было легко найти начало и конец внедрённых данных. Например, если мы хотим узнать имя пользователя, можно подставить подзапрос вместо ELT(...).

Функция ELT и подзапрос

ELT(N, str1, str2, ...) возвращает N-ю строку из списка. В примере ELT(5645=5645,1) возвращает 1, так как условие 5645=5645 истинно (равно 1). Это простейшая демонстрация: если бы вместо 1 стоял подзапрос, например (SELECT user FROM mysql.user LIMIT 1), то в ошибке отобразилось бы имя пользователя. Однако в данном запросе подзапрос возвращает просто 1, что показывает саму возможность инъекции, но не извлекает реальные данные.

Как работает ошибко-ориентированная инъекция

MySQL при вызове EXTRACTVALUE с некорректным XPath (например, если выражение начинается с тильды) выдаёт ошибку вида: XPATH syntax error: '~1~'. В этом сообщении как раз и оказываются данные, переданные в XPath. Атакующий может подставить в CONCAT любой подзапрос, и результат его выполнения попадёт в текст ошибки. Так можно посимвольно извлекать имена таблиц, колонок, логины, пароли и другую информацию.

Пример из реальной практики: чтобы получить первую колонку таблицы username, используют запрос вида:

+AND+ (SELECT+1+FROM+ (SELECT+COUNT(*),CONCAT((SELECT (SELECT+CONCAT(CAST(column_name+AS+CHAR),0x7e))+FROM+INFORMATION_SCHEMA.COLUMNS+WHERE+table_name=0x757365726e616d65+AND+table_schema=0x6c69746f666c6578+LIMIT+0,1),FLOOR(RAND(0)*2))x+FROM+INFORMATION_SCHEMA.TABLES+GROUP+BY+x)a)

Здесь используются шестнадцатеричные значения для имён таблиц и схем, чтобы обойти фильтры. Аналогично можно извлекать данные из любых таблиц.

Последствия успешной инъекции

Если злоумышленник сможет эксплуатировать уязвимость, он получит доступ к конфиденциальной информации: учётным данным пользователей, персональным данным, коммерческой тайне. В худшем случае возможны модификация или удаление данных, а также выполнение административных операций. Ошибко-ориентированные инъекции особенно опасны, потому что не требуют слепого перебора — данные сразу видны в ответе сервера.

Как защититься от SQL-инъекций через EXTRACTVALUE

Основной метод защиты — использование параметризованных запросов (prepared statements). Это гарантирует, что пользовательский ввод никогда не будет интерпретирован как SQL-код. Дополнительные меры:

  • Экранирование специальных символов — если параметризация невозможна, используйте функции экранирования, предоставляемые драйвером БД.
  • Ограничение прав пользователя БД — приложение должно работать с минимально необходимыми привилегиями, чтобы даже при инъекции нельзя было прочитать системные таблицы.
  • Валидация входных данных — проверяйте типы данных, отсекайте подозрительные символы (кавычки, комментарии, точки с запятой).
  • Использование ORM — современные ORM-библиотеки автоматически параметризуют запросы.
  • Регулярное обновление СУБД — в новых версиях MySQL некоторые функции могут быть удалены или изменены, что снижает риск.
  • Мониторинг и логирование — настройте систему обнаружения вторжений (IDS) для выявления попыток инъекций.

Также рекомендуется проводить аудит кода и пентесты, чтобы выявить уязвимости до того, как их найдут злоумышленники.

Заключение

Запрос ))) AND EXTRACTVALUE(5645,CONCAT(0x7e,((SELECT (ELT(5645=5645,1)))),0x7e))-- - — это учебный пример ошибко-ориентированной SQL-инъекции. Он демонстрирует, как через функцию EXTRACTVALUE можно вынудить MySQL выдать данные в сообщении об ошибке. Понимание таких техник необходимо для построения надёжной защиты. Всегда используйте параметризованные запросы и следуйте лучшим практикам безопасности.

Источники