문제소스:

쿼리에서

and id!='admin' -> 그리고 id는 admin이 아니어야 한다.

로 인해서 pw 뒷부분을 주석처리하고 pw 부분을 True로 만들면 될 것 같지만,

if(preg_match('/prob|_|\.|\(\)|#|-/i', $_GET[pw])) exit("No Hack ~_~"); 
  if(strlen($_GET[pw])>6) exit("No Hack ~_~"); 
 

#, -- 주석도 막아버리고 길이도 6까지로 제한되어 있다.

주석 처리부분은 ;%00로 할 수 있는 방법이 있다.

그런데 pw = ('')로 되어있다. pw = ('') = 0 으로 true로 만들어버린뒤 ;%00로 뒷부분을 주석처리하면 된다.

")=0;%00 그러면 딱 6자리 나온다.

문제소스 :

  $_GET['id'] = strrev(addslashes($_GET['id']));
  $_GET['pw'] = strrev(addslashes($_GET['pw']));

id와 pw를 addslashes로 아래 문자에 \을 붙여준다. https://www.w3schools.com/php/func_string_addslashes.asp

• single quote (')
• double quote (")
• backslash (\)
• NULL (%00)

그리고 strrev으로 문자열을 뒤집는다.

이전 문제처럼 쿼리에서 id = ' 부터 pw =' 까지를 문자열 취급하게 만들면 될 것 같다.

https://mandu-mandu.tistory.com/315

id='' and pw=''

두번째 싱글쿼트 앞에 \가 붙게 하여 문자열 취급하도록 해야 한다.

id에 \와 '을 제외한 나머지 " 또는 NULL (%00)을 넣어보자

" -> \" -> "\

id='"\' and pw = ''

\가 뒤로 오면서 '가 문자열 취급되고, " 은 ' 안에 있기 때문에 문자열 취급된다.

이제 pw=' or 1#' 로 만들어주면 된다. strrev함수로 인해 뒤집어서 입력해주면 된다.

소스:

if(strlen($_GET[shit])>1) exit("No Hack ~_~"); 

shit의 길이가 1보다 크면 죽어버린다.

쿼리 값을 보면 from 과 prob_giant사이에 공백이 없는 것을 볼 수 있다. 

select 1234 fromprob_giant where 1

공백을 넣는 방법에는

%09  (tab \t)

%0a  (linefeed \n)

%0b  (vertical tab)

%0c  (form feed)

%0d  (carriage return \r)

가 있는데

아래 구문에 의해서 몇개는 필터링 된다.

if(preg_match('/ |\n|\r|\t/i', $_GET[shit])) exit("HeHe"); 

\t \n \r이 아닌 %0b나 %0c를 입력해주면 풀린다.

DARKKNIGHT

문제 소스:

 if(($result['pw']) && ($result['pw'] == $_GET['pw'])) solve("darkknight");

pw 검증 -> blind sql injection

if(preg_match('/\'|substr|ascii|=/i', $_GET[no])) exit("HeHe");

substr => mid

= => like  로 우회

pw 글자 수 구하기

' 따옴표 필터링으로 인해 'admin'을 hex값으로 넣어서 string으로 인식하도록 함.

no = 1 or id like 0x61646d696e and length(pw) like 8

pw길이는 8. 이제 pw을 구하면 된다.

이전에는 mid(pw,1,1) like '0' 으로 하면 되었지만

' 따옴표을 필터링 하기 때문에 아스키 값으로 바꿔서 비교를 해야 한다.

ord(mid(pw,1,1)) like 48

풀이 코드 :

SKELETON

wolfman문제와 풀이가 비슷하다.

https://mandu-mandu.tistory.com/303?category=772020

공백필터링이 없으니 공백 우회를 하지 않아도 된다. 다른 점은 쿼리문 뒤에 있는 and 1=0 인데, #으로 주석처리 해주면 된다.

query : select id from prob_skeleton where id='guest' and pw='1' or '1'='1' and id = 'admin'#' and 1=0

pw = 1' or '1'='1' and id = 'admin'%23

https://los.rubiya.kr

troll

문제 소스:

$_GET[id]

이번에는 id만 입력을 받는다.

  if(preg_match('/\'/i', $_GET[id])) exit("No Hack ~_~");
  if(preg_match("/admin/", $_GET[id])) exit("HeHe");

' 따옴표와 admin을 필터링 한다.

if($result['id'] == 'admin') solve("troll");

id는 admin이어야 한다.

필터링 하는 구문을 잘 보자.

preg_match("/admin/", $_GET[id])

/admin/

/admin/i 가 아니다. 뒤에 i가 붙지 않아서 대소문자 구분을 하게 된다.

따라서, 소문자로 admin만 필터링을 한다.

mysql은 기본적으로 대소문자 구분을 하지 않기 때문에, ADMIN으로 입력하여도 무방하게 된다.

id에 ADMIN으로 입력하자.

https://los.rubiya.kr

ORGE

소스 :

if(preg_match('/or|and/i', $_GET[pw])) exit("HeHe");

이전 문제와 같이 or 과 and를 필터링 하고 있다. || 와 && 으로 우회해주면 된다.

if(($result['pw']) && ($result['pw'] == $_GET['pw'])) solve("orge"); 

입력한 pw가 저장된 pw와 같아야 한다.

orc 문제를 풀었을 때 사용했던 코드를 이용해서 blind SQL Injection을 해주면 된다.

orc 문제풀이:

https://mandu-mandu.tistory.com/302?category=772020

패스워드의 길이를 구해준다.

https://los.rubiya.kr/chall/orge_bad2f25db233a7542be75844e314e9f3.php?pw=1%27%20||%20%271%27=%271%27%20%26%26length(pw)=8%23

query : select id from prob_orge where id='guest' and pw='1' || '1'='1' &&length(pw)=8#'

풀이 코드:

pw을 구할 수 있다.

https://los.rubiya.kr

if($result['id'] == 'admin') solve("cobolt");

일단 id는 admin

pw는 md5()해쉬값이다.

pw를 true로 만들어주기 위해서 1') or '1'='1을 입력해주었다.

그러면 query : select id from prob_cobolt where id='admin' and pw=md5('1') or '1'='1')

이렇게 되면서 뒤에 )가 남게 된다. 그래서 뒤에도 md5를 붙여주었다.

그러면 쿼리는 맞는데 id가 rubiya로 나오면서 풀리지 않는다.

query : select id from prob_cobolt where id='admin' and pw=md5('1') or md5('1')=md5('1')

Hello rubiya
You are not admin :(

그래서 그냥 pw부분을 주석처리 했다.

id=admin%27--%20

풀린다.

LORD OF SQLINJECTION

https://los.rubiya.kr

gremlin

if($result['id']) solve("gremlin");

id만 찾아내면 문제가 풀린다.

id를 admin으로 두고, pw을 무조건 참이되도록 pw='1' or '1'='1'로 만들면 된다.

쿼리에 아래와 같이 입력하면 된다.

id=admin&pw=1' or '1'='1