[Lord Of SQL injection] orc → wolfman

id가 admin이라고 처음부터 되어있다. 문제는 pw인데 우선 addslashes가 무슨 함수인지 알아보자

http://www.w3schools.com/php/func_string_addslashes.asp 여기에서 예제를 돌려보면 이 함수가 하는 일을 쉽게 파악할 수 있는데 ‘, “, \, NULL로 문자열을 구분하는 DB 시스템에서 하나의 문자열 안에 따옴표가 들어가면 오류가 발생할 수 있기 때문에 이를 막아주기 위해 백슬래쉬를 추가시킨다.(http://zzaps.tistory.com/45)

여기서 Hello admin을 띄워주는 부분은 addslashes 전이다.

이렇게 pw값이 TRUE인 상황에서는 Hello admin이 뜨고

pw값이 FALSE인 상황에서는 Hello admin이 뜨지 않는다.

이처럼 참과 거짓의 각각 다른 결과를 통해 공격하는 것을 Blind SQL injection이라고 한다. 

우선 pw의 길이를 알아보자

pw의 길이는 5이상 10이하라는 것을 알 수 있다.

5부터 넣다보면 8에서 Hello admin이 나온다.

그리고 이제 substr을 이용해 pw가 무엇인지 알아내는데 생각한 쿼리문이 제대로 잘 돌아가는지 확인하기 위해 앞의 한글자만 노가다로 알아내자

다행이 0부터 넣은 지 얼마 안돼서 2에서 Hello admin이 출력되었다.

파이썬으로 짜서 효율적으로 구하자

(코드 참고:http://bluehatsecurity.tistory.com/201)

처음에는 쿠키값으로 로그인을 유지시켜줘야 하는지 모르고 그냥 url을 이용해서 코드를 짜서 아무것도 출력이 되지 않았었다ㅠㅠ그리고 원래 <h2>Hello admin</h2>찾는 부분을

if res.find(“<h2>Hello admin</h2>”):이라 했는데 아무 값도 출력이 안되었다. 찾아보니 find함수의 리턴값을 고려하지 않아서 제대로 돌아가지 않았다. 아무것도 못찾으면 –1을 리턴하는데 이를 이용해 –1이 아니면 문자를 출력하도록 하였다. 그리고 제일 많이 삽질한 부분이 response에 url+“?pw=~”부분을 잘못적어 2시간을 헤맸다-,-

원래는 url+“pw=~substr(pw,length,1)=char(pw)%23”이라고 했는데 코드를 돌리면 계속 아무것도 실행이 되지 않았다. 생각해보니 length와 pw는 내가 만든 변수인데...string으로 이어 붙여야하는 걸 놓쳤다ㅠ_ㅠ

여기서 D는 소문자!