NGA

WARGAME/LOS → (11)건

los.rubiya.kr/golem

PW에 or, and, substr(, = 등이 필터링이 되어있다. 그리고 쿼리의 결과값이 admin이여야 하고 admin의 PW도 일치 해야 한다. 먼저 PW쪽 파라미터를 통해서 쿼리 결과값의 ID값을 admin으로 만들어 출력하고 그 후에 Blind SQL Injection을 통해서 PW 까지 같이 뽑아오면 된다. ID값을 admin으로 만들어 보자. pw='||id like 'admin'# pw='||id in ('admin')# = like in 이 필터링 되었을 때 >,'21232f297a57a5a743894a0e4a801fc2'&&md5(id)= 1: query="pw=%27||id+like+'admin'%26%26ascii(mid(pw,{},..
WARGAME/LOS 2018. 12. 28. 14:08

los.rubiya.kr/skeleton

이번 문제는 PW만 입력이 가능하고 쿼리의 결과값을 출력해주지 않는다. 그리고 쿼리 결과값이 admin이면 문제가 해결된다. 딱히 필터가 없기에 기본적인 쿼리를 통해 문제가 해결된다. 풀이 pw='||id='admin'#pw=' union select 'admin'#..
WARGAME/LOS 2018. 12. 28. 13:19

los.rubiya.kr/vampire

이 문제는 쿼리의 결과가 "admin" 이여야 문제가 해결된다. SQL 쿼리를 봤을 때 id 값만 받음으로 ' id 값에 admin 이라는 값을 전달하거나 '(quote) 를 이용해 해결하면 되겠다. ' 라는 생각이 들게 될 것이다. 하지만 '(quote) 가 필터링이 되어 있고 GET 으로 받는 id 파라미터에 문자열을 소문자로 교체 그리고 "admin" 이라는 값이 존재하게 된다면 "admin" 이라는 문자열을 NULL 값으로 바꿔버리게 된다. 우리는 가장 마지막 필터인 "admin" 을 NULL 로 대체시키는 쪽을 봐야한다. 간단하게 예를 들자면 우리가 id 값에 "headminllo" 라는 값을 넣게 되면 필터링 된 후에 "hello" 라는 쿼리로 변해서 가게 될 것이다.이것을 이용해서 "admi..
WARGAME/LOS 2018. 12. 24. 01:28

los.rubiya.kr/troll

문제를 살펴보면 $_GET['id'] 에 ' 가 필터링이 되어있고 ereg 라는 함수로 admin 이라는 값이 들어오면 HeHe 라고 출력을 하고 종료가 된다. ereg 함수는 패턴이 일치하는지 찾아주는 함수인데 대문자 구분을 하지않는다. ereg 앞에 붙은 @는 "error 를 출력하지 않겠다." 라는 표시이다. 풀이 select id from prob_troll where id='Admin' 끄읐
WARGAME/LOS 2018. 11. 15. 01:30

los.rubiya.kr/orge

문제를 보아하니 pw 를 추출해야하는 Blind SQL Injection 문제이다. 여기서 특별히 보이는 것은 addslashes 라는 함수인데 이 함수는 ' " \ 등의 문자에 \ 를 붙여 escape 해주는 함수이다. 이렇게 되면 우리는 ' " \ 와 같은 문자에 \' \" \\ 처럼 escape 가 된다. 하지만 문제상에서 addslashes 함수는 처음 Hello 결과 id 를 뽑은 후에 사용이 되니 그냥 공격을 해도 상관이 없을거 같다. 나중에 addslashes 함수를 만났을 때 우회하는 방법이 있는데 문자셋이 멀티바이트여야 가능한 우회방법이다. ' " \ 를 쓰기 전에 %a1 ~ %fe 중에 문자를 하나 넣어주면 %a1\ 가 합쳐져 이상한 문자가 되고 ' " \ 는 그대로 나오게 된다. 아 ..
WARGAME/LOS 2018. 11. 15. 01:17

los.rubiya.kr/darkelf

query 의 결과가 admin 이면 문제가 해결된다. $_GET['pw'] 에 필터로 or 과 and 가 필터링 되어있다. 이 문제 역시 or 과 and 를 안쓰고 풀이가 가능하지만 or 과 and 가 필요할 때를 위해서 알아보자. or => || and => && 풀이 select id from prob_darkelf where id='guest' and pw=''||id='admin'%23 select id from prob_darkelf where id='guest' and pw='' union select 'admin'%23 끝
WARGAME/LOS 2018. 11. 15. 00:46

los.rubiya.kr/wolfman

query 의 결과가 admin 이기만 하면 된다. $_GET['pw'] 에 whitespace 를 필터링 했지만 굳이 없어도 문제는 풀 수 있다. 하지만 필요할 경우를 대비해 알아보자 ^^ whitespace( ) 우회 방법 Line Feed %0a Carrage Return %0d Comment /**/ => 1/**/and/**/1 parentheses () (1)and(1) plus character + 사실상 whitespace 랑 똑같이 취급됨. Tab %09 풀이 select id from prob_wolfman where id='guest' and pw=''||id='admin'%23 select id from prob_wolfman where id='guest' and pw=''/**/o..
WARGAME/LOS 2018. 11. 15. 00:34

los.rubiya.kr/orc

이번 문제는 $_GET['pw'] 와 query 결과 pw 가 동일하면 문제가 해결된다. 즉 DB 안에 admin 의 pw 를 추출해야한다. 딱히 필터링이 없으니 바로 풀어보겠다. 우리가 이 문제에서 사용할 기법은 Blind SQL Injection 이다. 간단히 말하면 참과 거짓에 대한 응답을 통해 DB 에서 데이터를 추출해내는 기법이다. 참과 거짓 1=1 -> True 0=1 -> False 만약 pw 가 123 일 때 pw = 123 -> True pw = 12 -> False 이제 Blind SQL Injection 을 할 때 사용되는 함수를 사용해 보자면 // 길이 알아낼 때. length(pw) > 0 -> True// pw 의 길이가 0 보다 클 때. // 문자 추출 mid(pw,1,1) =..
WARGAME/LOS 2018. 11. 15. 00:12

los.rubiya.kr/goblin

이번 문제는 $_GET[no] 에 ', ", ` 등이 필터가 되어 있지만 쿼리를 보면 no 는 닫혀있지 않다. 그래서 쿼리 결과값이 admin 이 나오도록 만들면 해결할 수 있다. no 가 1 일 때에 결과값은 guest 이 나온다. 우리는 admin 이라는 값을 뽑아야 하고 DB 에 id 값들이 몇개가 있을지 모르므로 그냥 id='admin' 을 만들어 줄건데, $_GET[no] 를 통해서 id='admin' 이라는 값을 만들수 없음으로 admin 이라는 값을 Hex 값으로 넣어주거나 char 이라는 함수 안에 10진수로 변환해 넣어주면 MYSQL 에서는 문자열로 변환해주게 된다. where id='guest' and no=0 || id=0x61646d696e // 0x61646d696e -> admi..
WARGAME/LOS 2018. 11. 11. 02:40

los.rubiya.kr/cobolt

소스 코드를 살펴보면 $_GET[id], $_GET[pw] 에 딱히 필터링이 되어있지 않고 쿼리의 결과값이 admin 일때 문제가 해결이 된다. pw 를 입력하는 곳에는 md5 함수가 있긴 하지만 SQL Injection 을 하는데엔 지장이 없다. $_GET[id] -> Red$_GET[pw] -> Blue where id=''||1#' and pw=md5('') where id=''' and pw=md5('')||1#') 등 다양하게 공격이 가능하다. 끝!
WARGAME/LOS 2018. 11. 11. 02:02
◀ 1 2 ▶

티스토리툴바