본문 바로가기
war game/웹 워게임(los)

load of sql injection xavis

by 강깅꽁 2016. 9. 15.
반응형

<?php 
  
include "../config.php"
  
login_chk(); 
  
dbconnect(); 
  if(
preg_match('/prob|_|\.|\(\)/i'$_GET[pw])) exit("No Hack ~_~");
  if(
preg_match('/regex|like/i'$_GET[pw])) exit("HeHe"); 
  
$query "select id from prob_xavis where id='admin' and pw='{$_GET[pw]}'"
  echo 
"<hr>query : <strong>{$query}</strong><hr><br>"
  
$result = @mysql_fetch_array(mysql_query($query)); 
  if(
$result['id']) echo "<h2>Hello {$result[id]}</h2>"
   
  
$_GET[pw] = addslashes($_GET[pw]); 
  
$query "select pw from prob_xavis where id='admin' and pw='{$_GET[pw]}'"
  
$result = @mysql_fetch_array(mysql_query($query)); 
  if((
$result['pw']) && ($result['pw'] == $_GET['pw'])) solve("xavis"); 
  
highlight_file(__FILE__); 
?>


소스코드 분석

blind sql injection이 가능해 보인다.

근데 힌트가 없으면 정말 몰랐을 문제이다.


풀이

'||id='admin' and length(pw)>12#로 페이로드를 짜면 비밀번호의 길이가 12자리인것을 알 수 있다.


근데 여기서 힌트는 비밀번호가 유니코드 한글이고. 한글자가 4바이트라는 것이다.(아마 utf-16)인것으로 추정됨 

왜 그런지는 추후 조사해 봐야겠다.

따라서 12자리는 12바이트 이고 한글 한글자당 4바이트면 한글로 3글자라는 것이다.

여기서 중요한 것은 length는 1바이트씩 끊어서 알려주고 mid()는 한 글자씩 알려준다는 것이다 .

즉 두번쨰 글자는 mid(pw,2,1)로 찾으면 된다는 것이다.

첫글자는 해이다.

글자 검색 페이로드는 '||id='admin' and mid(pw,1,1) > '해

해커다

참고 사이트 : http://sexy.pe.kr/tc/113