6주차 1.SQL Injection2

 

요약 및 힌트

데이터의 조회 결과가 몇건이건 한건만 보여지기에 든 생각으로 데이터를 모두 가지고오더라도 php 소스에서 첫 데이터만 화면에 표시하는 듯 하다. 그렇기 때문에 limit을 사용하여 데이터의 결과 순서를 변경했다.

 

만약 데이터들이 몇만건씩 있다면 limit 부분을 python으로 전송하여 데이터를 조회하는것도 좋은 방법일 듯 하다

 

참고로 SQL Injection1의 풀이는 6주차 정리에 있다.

---

문제 풀이

 

 

normaltic을 넣었을 때랑 1=1을 넣엇을 때 값이 같다.

'한개만 입력을 넣으니 동작을 하지 않는다. 

아무런 데이터를 넣어도 1개의 row는 존재하며 normaltic을 입력시 info에 데이터가 출력된다

 

예상되는 Back-End의 로직은 2가지

1. 테이블에서 id로 info만 조회하고 level, rank Point는 모두 화면에서 마스킹 고정

즉 테이블은 4개의 정보를 가지고 있는 것 처럼보이지만 실제로는 info 하나의 컬럼만 조회하고 있는 듯?

 

2. select '입력받은 id값', '****', '****', (select info from table where id = '입력받은 id값') from dual

 

1번 케이스가 더 의심간다...

일단 order by로 선행 select의 컬럼이 몇개 존재하는지 확인하보자

normaltic' order by 1 #

 

order by 7에서 데이터 조회가 안되므로 선행 컬럼은 총 6개

 

이제 어느 컬럼이 화면에 표기되는지 union으로 잡아보자

 

normaltic' union select 1,2,3,4,5,6 from dual #

 

어라 union을 해도 아래 데이터가 붙어나오진 않는다....

 

db에서 가지고 온 데이터를 화면에서 뿌릴때 인덱스(배열의 인덱스) 0번만 가져오는거 같다... 그렇다면  없는 데이터를 union으로 넘긴다면 내가 넘긴 데이터를 조회 할 수 있을 것이다.

빙고 배열의 가장 처음데이터가 내가 넣은 데이터다.

info는 6번째 컬럼에 있다는 걸 알았다.

 

이제 DB, Table, COLUMN을 찾아보자

123' union select 1,2,3,4,5,database() from dual #

 

 

이제 테이블 찾기가 노가다일것 같다.... limit 1,1 , limit 2,1 이런식으로 찾아도 되고...

생각해보니 테이블생성일시에 대한 컬럼이 있을 것 같다.

 

create_time이 있다.

기본 mysql테이블보다 늦게 생성되었을 태니 역순 정렬하면 될듯 하다

union과 order by를 같이 쓰려면 서브쿼리로 써야한다.... 서브쿼리는 쓸 수 없으니 count로 총 테이블의 개수를 찾고 limit으로 거꾸로 찾아가보자

 

123' union select 1,2,3,4,5, count(TABLE_NAME) from information_schema.TABLES  #

총 64개의 테이블이 있다.

limit 60, 1부터 늘려가보자

 

123' union select 1,2,3,4,5, TABLE_NAME from information_schema.TABLES  limit 60, 1#

유효해보이는 테이블을 찾았다. 컬럼명들을 찾아보자

 

 123' union select 1,2,3,4,5, COLUMN_NAME from information_schema.COLUMNS where TABLE_SCHEMA = 'sqli_5'and TABLE_NAME = 'flag_honey' #

 

flag_honey 테이블에서 flag 컬럼을 가져오자

 

 

이 테이블이 아닌가보다 count결과 1개의 데이터만 존재하기 때문이다.

 

다른 테이블을 찾아보니 secret이라는 이름의 테이블이 존재한다. 컬럼을 찾아보자

여기도 플래그라는 컬럼이 존재한다.

 

 

총 데이터가 몇개 존재할까?

2개

그렇다면 2번째 데이터에는 정답이 있지 않을까?

 

 

빙고!

 

---