Что это за запрос?

Пользовательский запрос ")) AND EXTRACTVALUE(6409,CONCAT(0x7e,((SELECT (ELT(6409=6409,1)))),0x7e))-- - представляет собой классический пример SQL-инъекции на основе ошибок (error-based SQL injection). Такие payload'ы используются для проверки уязвимости веб-приложений и извлечения данных из базы данных через сообщения об ошибках.

Внешне строка выглядит как набор символов, но каждый элемент имеет строгое назначение. Давайте разберём его по частям.

Анатомия payload'а

1. Закрывающие скобки и кавычка: "))

В начале стоят две закрывающие скобки и двойная кавычка. Они нужны, чтобы «закрыть» оригинальный SQL-запрос, который, вероятно, выглядел примерно так:

SELECT * FROM products WHERE name = "$input"

Подставляя ")), атакующий завершает строковый литерал и добавляет свои условия. Это типичный приём для инъекций в запросы, где пользовательский ввод уже обёрнут в кавычки и скобки.

2. Оператор AND

Логический оператор AND добавляет новое условие к запросу. Если исходный запрос возвращал какие-то строки, то после внедрения AND результат будет зависеть от истинности добавленного выражения. Это позволяет атакующему проверять гипотезы и извлекать данные посимвольно.

3. Функция EXTRACTVALUE

EXTRACTVALUE — это функция MySQL (и MariaDB), предназначенная для извлечения значения из XML-документа. Однако в контексте SQL-инъекций она часто используется для вызова ошибки, которая содержит результат подзапроса. Синтаксис: EXTRACTVALUE(XML_document, XPath_expression).

В нашем payload'е первым аргументом передаётся число 6409 — это просто заполнитель (некорректный XML), а вторым — выражение CONCAT(0x7e,((SELECT (ELT(6409=6409,1)))),0x7e). При вычислении этого выражения MySQL попытается интерпретировать результат как XPath, что вызовет ошибку, и в тексте ошибки отобразится переданная строка. Такой приём называется error-based injection.

4. CONCAT и маркеры 0x7e

CONCAT объединяет строки. Шестнадцатеричное значение 0x7e соответствует символу тильды ~ в ASCII. Тильды используются как маркеры, чтобы в сообщении об ошибке легко было найти извлечённые данные. Например, если подзапрос вернёт 1, в ошибке появится ~1~.

5. Подзапрос (SELECT (ELT(6409=6409,1)))

ELT(N, str1, str2, ...) возвращает строку с номером N. В данном случае ELT(6409=6409,1) — это условное выражение: 6409=6409 всегда истинно (1), поэтому ELT(1,1) вернёт строку '1'. Это простейшая проверка работоспособности инъекции: если ошибка появится и в ней будет ~1~, значит, внедрение удалось.

В реальных атаках вместо ELT(6409=6409,1) подставляют подзапросы, извлекающие имена таблиц, колонок или конкретные данные (например, (SELECT password FROM users LIMIT 1)).

6. Комментарий -- -

Два дефиса с пробелом (или с дополнительным символом) начинают комментарий в SQL. Всё, что идёт после, игнорируется базой данных. Это нужно, чтобы «отрезать» оставшуюся часть оригинального запроса (например, закрывающую кавычку), которая могла бы вызвать синтаксическую ошибку.

Цель такого payload'а

Основная цель — проверить наличие уязвимости и, если она есть, получить возможность извлекать произвольные данные из базы. Error-based инъекции особенно удобны, когда приложение не выводит результаты запроса напрямую, но показывает сообщения об ошибках базы данных.

Подобные строки часто встречаются в отчётах пентестеров и в учебных материалах (например, на платформах DVWA, SQLZoo). Злоумышленники используют их для атак, поэтому важно понимать механизм и уметь защищаться.

Как защититься от SQL-инъекций

  • Параметризованные запросы (prepared statements) — самый надёжный способ. Они разделяют код SQL и данные, поэтому внедрение становится невозможным.
  • Экранирование специальных символов — менее надёжно, но может использоваться как дополнительная мера.
  • Валидация и фильтрация входных данных — например, разрешать только ожидаемые символы для каждого поля.
  • Отключение вывода ошибок БД в production — чтобы сообщения об ошибках не попадали к пользователю.
  • Использование ORM и современных фреймворков, которые по умолчанию применяют параметризацию.
  • Регулярные аудиты безопасности и сканирование уязвимостей.

Важно отметить, что EXTRACTVALUE и подобные функции (например, UPDATEXML) не следует использовать в пользовательском вводе. Если приложение получает от пользователя строку, похожую на SQL-код, это должно быть заблокировано на уровне валидации.

Вывод

Рассмотренный payload — это типичный пример error-based SQL-инъекции, использующей функцию EXTRACTVALUE для вызова ошибки с внедрёнными данными. Понимание его структуры помогает разработчикам и специалистам по безопасности лучше защищать приложения. Если вы встретили подобную строку в логах или запросах, это признак попытки взлома, и следует немедленно проверить систему на уязвимости.

Источники