Webhacking.kr :: old-59번

JOIN 과 LOGIN 이 있는데, 

JOIN 에 대한 코드는

이고, LOGIN 에 대한 코드는 

 

이다. 

tavle chall59 에는 id, phone, lv 의 3 가지 column 이 존재하는 것으로 추정된다.

그래서 LOGIN 할 때, lv 의 값이 admin 이면 solve 이고, 아니면 별 반응 없는 것이다. 

 

그런데 JOIN 할 때 lv 의 값이 기본적으로 guest 이다.

mysqli_query($db,"insert into chall59 values('{$_POST['id']}',{$_POST['phone']},'guest')");

 

그리고 phone 은 "" 로 감싸져있지 않으니, 정수형임을 알 수 있다.

그래서 join 에 test , 1 을 하고 같은 정보로 로그인을 하니, 아래와 같이 떳다.

 

 

역시 guest 를 기본으로 설정해준다.

 

이걸 SQL Ingection 을 이용해서 풀어야 한다.

그러니, id 에는 아무 값을 넣어주고, 뒤에 guest 는 SQL 의 한 줄 라인 주석을 이용한다.

SQL 에서 한 줄 라인 주석은 '--' 을 사용한다.

즉, --'guest' 라고 한다면 -- 뒤의 내용은 주석 처리 된다는 것이다.

 

그래서, 'test', 1, 1-- 를 넣어준다면 vl 을 1 로 해석할 것이다.

 

id 에 myPhone', 1, 1-- 을 넣는다해도 id 는 그 자체를 인식하기 때문에 실패한다.

그렇다면 phone 정보에 넣어야 하는데,

나는 id 에 myPhone 을, phone 에는 1, 1)-- 을 넣어주었다.

 

주의할 점은, 주석 뒤에 공백을 넣어주어야지 주석 처리가 성공적으로 되고, (-- )

) 으로 쿼리를 닫아야지 정상적인 쿼리가 넘어갈 것이다.

 

즉, 아래와 같이 해석되도록 만든 것이다.

insert into chall59 values('myPhone', 1, 1)-- ,'guest')

이제 lv 가 1 로 해석되게끔 만드는 데 성공했다.

 

다음 단계로는 lv 가 admin 으로 해석하게 만들어야 하는데, 

phone 에 대한 필터링이 몇 가지 있다.

if(strlen($_POST['phone'])>=20) exit("Access Denied");
    if(preg_match("/admin/i",$_POST['id'])) exit("Access Denied");
    if(preg_match("/admin|0x|#|hex|char|ascii|ord|select/i",$_POST['phone'])) exit("Access Denied");

 

"Access Denied" 가 뜨는 경우

1. phone 이 20자가 넘어가는 경우

2. id 에 admin 이 포함되어 있는 경우

3. phone 에 admin/0x/#/hex/char/ascii/ord/select 가 포함되어 있는 경우

 

근본적으로 admin 을 바로 입력하지 못하니, SQL 내장 함수를 사용해야 한다.

SQL injection 에서 자주 사용하는 SQL 내장 함수는 bin, hex 인데 이것들을 막아뒀으니,

위에 필터링에 걸리지 않는 함수를 찾아야 한다.

 

또한 20자 제한이 있으니 replace 와 같은건 사용하기 힘들고, 쭉 살펴보다 보니 적당한 함수를 발견했다.

(참조 - featur.tistory.com/136)

 

REVERSE(str) : str 의 순서를 거꾸로 만들어 반환해준다.

ex. REVERSE("hack") 은 "kcah" 을 반환

 

따라서, REVERSE("nimda") 을 넣어주면, 내가 원하는 것을 얻을 수 있을 것이다.

 

라고 생각했는데, 1,REVERSE("nimda"))-- 을 입력해주면 20자가 넘어가서 Access Denied 가 뜬다 ㅎㅎ

 

줄일 수 있는 부분은 nimda 인데,, id 를 nimda 로 넣고 안에 id 를 주는 방법이 있겠다.

 

따라서, 다음과 같이 입력하는 것이다.

 

id: nimda / phone: 1, REVERSE(id))--  

 

결과는 성공 !