Что это за строка?

Строка %')))) AND EXTRACTVALUE(6465,CONCAT(0x7e,((SELECT (ELT(6465=6465,1)))),0x7e))-- - представляет собой классический пример error-based SQL-инъекции для СУБД MySQL. Она предназначена для извлечения данных из базы через вывод сообщения об ошибке. Подобные payload'ы часто встречаются в логах веб-серверов, в запросах к формам авторизации или в параметрах URL, когда злоумышленник пытается проверить уязвимость сайта.

Внешне строка выглядит как случайный набор символов, но на самом деле каждый элемент здесь имеет строгое назначение. Давайте разберём её по частям.

Анатомия payload'а

1. Начальный фрагмент %'))))

Символ % в начале часто является результатом URL-кодирования (например, пробела или специального символа). Далее идут закрывающие кавычки и скобки: ')))). Это попытка «закрыть» предыдущие конструкции в исходном SQL-запросе, чтобы внедрить свой код. Например, если уязвимый запрос выглядит как SELECT * FROM users WHERE name = '...', то последовательность кавычек и скобок позволяет «выйти» из строкового литерала и добавить собственные операторы.

2. Оператор AND

Логическое «И» используется для того, чтобы внедряемое условие выполнялось только при истинности предыдущей части запроса. Это помогает сохранить работоспособность исходного запроса и одновременно выполнить внедрённую функцию.

3. Функция EXTRACTVALUE(6465, CONCAT(...))

EXTRACTVALUE — это встроенная функция MySQL, предназначенная для извлечения значения из XML-документа. Однако в контексте SQL-инъекций она часто используется для принудительного вывода ошибки, содержащей результат подзапроса. Синтаксис: EXTRACTVALUE(XML_doc, XPath_expr). Если второй аргумент содержит недопустимый XPath, MySQL генерирует ошибку, в текст которой попадает переданное значение. Это и есть основа error-based инъекции.

В нашем случае первым аргументом является число 6465 — это может быть произвольный идентификатор, не влияющий на суть атаки. Второй аргумент — CONCAT(0x7e, ((SELECT (ELT(6465=6465,1)))), 0x7e).

4. CONCAT и 0x7e

CONCAT объединяет строки. 0x7e — шестнадцатеричное представление символа ~ (тильда). Тильда используется как маркер, чтобы облегчить поиск извлечённых данных в сообщении об ошибке. Часто атакующие оборачивают результат в одинаковые символы, чтобы потом легко его вычленить.

5. Подзапрос SELECT (ELT(6465=6465,1))

ELT(N, str1, str2, ...) возвращает строку с номером N. Если N=1, возвращается первая строка, и т.д. В данном случае условие 6465=6465 всегда истинно (возвращает 1), поэтому ELT(1,1) вернёт строку '1'. Это простейшая проверка работоспособности инъекции: если ошибка будет содержать ~1~, значит, внедрение сработало. В реальной атаке вместо 6465=6465 мог бы стоять подзапрос, извлекающий, например, имя пользователя или хеш пароля.

6. Комментарий -- -

Два дефиса и пробел (или дефис) обозначают начало комментария в SQL. Всё, что идёт после, игнорируется базой данных. Это нужно, чтобы «отрезать» оставшуюся часть оригинального запроса, которая могла бы вызвать синтаксическую ошибку.

Как работает атака целиком

Предположим, на сайте есть уязвимый параметр, который подставляется в запрос без должной очистки. Злоумышленник отправляет строку, подобную нашей. База данных выполняет запрос, и при попытке вычислить EXTRACTVALUE с некорректным XPath генерируется ошибка. В текст ошибки попадает результат CONCAT, то есть ~1~. Атакующий видит этот результат и понимает, что инъекция возможна. Далее он заменяет ELT(6465=6465,1) на подзапрос, например (SELECT password FROM users LIMIT 1), и таким образом шаг за шагом извлекает данные из базы.

Подобные техники описаны в базах знаний по безопасности, например в OWASP. Они относятся к категории error-based SQL injection и считаются одними из самых простых в исполнении, если приложение выводит сообщения об ошибках базы данных пользователю.

Почему это опасно?

Успешная SQL-инъекция может привести к:

  • утечке конфиденциальных данных (пароли, персональные данные, номера карт);
  • обходу аутентификации (вход без пароля);
  • изменению или удалению информации в базе;
  • полному захвату сервера в некоторых конфигурациях.

Наличие в логах строк, подобных %')))) AND EXTRACTVALUE(...), — признак того, что сайт пытались взломать. Если вы администратор, стоит проверить, не уязвимо ли приложение, и закрыть доступ к сообщениям об ошибках.

Как защититься?

Основная мера — использование параметризованных запросов (prepared statements). Они не позволяют данным влиять на структуру SQL-запроса. Дополнительно рекомендуется:

  • экранировать все пользовательские данные, попадающие в SQL;
  • отключить вывод ошибок базы данных в production-окружении;
  • использовать ORM или библиотеки, которые автоматически применяют параметризацию;
  • проводить регулярные сканирования уязвимостей (например, с помощью SQLMap или коммерческих сканеров);
  • следовать рекомендациям OWASP Top 10.

Важно понимать, что EXTRACTVALUE — не «дыра» в MySQL, а легитимная функция. Опасность возникает только тогда, когда злоумышленник может внедрить свой код в запрос. Поэтому главный рубеж обороны — корректная обработка ввода.

Заключение

Строка %')))) AND EXTRACTVALUE(6465,CONCAT(0x7e,((SELECT (ELT(6465=6465,1)))),0x7e))-- - — это учебный пример error-based SQL-инъекции, нацеленной на MySQL. Она использует функцию EXTRACTVALUE для генерации ошибки с внедрёнными данными, CONCAT и 0x7e для маркировки вывода, ELT для проверки условия и комментарий для обрезки запроса. Понимание таких payload'ов помогает разработчикам и специалистам по безопасности лучше защищать веб-приложения.

Источники