webhacking 55번

포스팅에 앞서 내용이 틀릴 수도 있으며, 해당 부분 지적은 감사히 받겠습니다.

55번 문제이다.

초록색 유령이 있다.

마우스를 움직이면 따라온다.

하지만 우린 초록이랑 놀아줄 시간이 없다.

rank를 한번 눌러보자.

rand, id, score순으로 출력되어있는 페이지가 나온다.

맨 밑에 이런 쿼리가 보인다.

데이터 삽입 쿼리인데 마지막 칼럼에 flag값이 들어가 있다.

하지만 웹페이지에서는 해당 부분은 표시가 되어있지 않는 듯하다.

점수 중 하나를 눌러보니 get파라미터로 score을 받는다는 사실을 알 수 있었다.

해당 부분에 취약점이 있는지 살펴보자.

if구문이 삽입되며 참 거짓에 의한 출력이 다르다.

blind sql injection을 사용할 수 있다.

우리는 flag가 삽입된 마지막 칼럼명을 알아내야 한다.

스키마 데이터에 접근하려 시도했지만 select가 필터링당했다.

하지만 방법이 또 있다.

입력값에 따라 출력되는 value가 있다.

따라서 procedure analyse()와 limit을 통해 원하는 칼럼명을 알아낼 수 있다.

procedure analyse()가 제대로 작동한다.

이제 limit을 통해 원하는 값을 찾아보자.

칼럼명을 추출했다.

이제 flag값을 추출해보자.

테스트 결과 ascii와 substr 문자열이 필터링당했다.

문제를 푸는 데는 지장 없다.

ascii -> ord로 우회한다.

substr()-> right(left(column_name,1),1)로 우회한다.

작동한다.

이제 인젝터를 만들어보자.

만들기 전 flag의 길이를 먼저 알아보자.

막일했다.

다시 인젝터를 만들어보자.

검증해보자.

문제 해결

시행착오

1. procedure analyse() 함수는 limit을 사용해 여러 개의 칼럼명을 알아낼 수 있다.// 다만 select 구문에서 조회된 칼럼까지만 불러옴.