<?php
include "../config.php";
login_chk();
dbconnect();
if(preg_match('/prob|_|\.|\(\)/i', $_GET[pw])) exit("No Hack ~_~");
if(preg_match('/regex|like/i', $_GET[pw])) exit("HeHe");
$query = "select id from prob_xavis where id='admin' and pw='{$_GET[pw]}'";
echo "<hr>query : <strong>{$query}</strong><hr><br>";
$result = @mysql_fetch_array(mysql_query($query));
if($result['id']) echo "<h2>Hello {$result[id]}</h2>";
$_GET[pw] = addslashes($_GET[pw]);
$query = "select pw from prob_xavis where id='admin' and pw='{$_GET[pw]}'";
$result = @mysql_fetch_array(mysql_query($query));
if(($result['pw']) && ($result['pw'] == $_GET['pw'])) solve("xavis");
highlight_file(__FILE__);
?>
소스코드 분석
blind sql injection이 가능해 보인다.
근데 힌트가 없으면 정말 몰랐을 문제이다.
풀이
'||id='admin' and length(pw)>12#로 페이로드를 짜면 비밀번호의 길이가 12자리인것을 알 수 있다.
근데 여기서 힌트는 비밀번호가 유니코드 한글이고. 한글자가 4바이트라는 것이다.(아마 utf-16)인것으로 추정됨
왜 그런지는 추후 조사해 봐야겠다.
따라서 12자리는 12바이트 이고 한글 한글자당 4바이트면 한글로 3글자라는 것이다.
여기서 중요한 것은 length는 1바이트씩 끊어서 알려주고 mid()는 한 글자씩 알려준다는 것이다 .
즉 두번쨰 글자는 mid(pw,2,1)로 찾으면 된다는 것이다.
첫글자는 해이다.
글자 검색 페이로드는 '||id='admin' and mid(pw,1,1) > '해
해커다
참고 사이트 : http://sexy.pe.kr/tc/113