티스토리

SSo
검색하기

블로그 홈

SSo

aceatom.tistory.com/m

Best Of the Best 8기

구독자
1
방명록 방문하기
공지 test 모두보기

주요 글 목록

  • Lord of SQLinjection evil_wizard 문제가 깨져서 못푼다고 한다.이것도 얼떨결에 클리어 공감수 0 댓글수 0 2017. 8. 8.
  • Lord of SQLinjection hel_fire 문제가 깨져서 못푼다고 한다.얼떨결에 클리어 공감수 0 댓글수 0 2017. 8. 8.
  • Lord of SQLinjection dark_eyes php 코드를 보면 이전 문제와 비슷하지만 다른점은 에러가 나오면 화면에 아무것도 표시하지 않는다. 이번에는 화면에 아무것도 표시되지 않는 부분을 이용해 error based sql injection을 하면 된다. 조건을 줘서 blind sqlinjection을 하려고 했으나 if가 필터에 걸려있다.. 처음엔 여기를 보고 coalesce를 이용해 풀려고 했으나 복잡하여 다른 방법을 생각하다가 mysql에서 a or b에서 a가 참이면 뒤의 b가 참이 아니여도 참이 된다는 것일 이용해 b 부분에 subquery를 이용해 에러메시지가 나오도록 하면 풀 수 있다는 것을 알았다. 먼저 pw 길이를 구하는 쿼리다. ?pw=' or id='admin' and (length(pw)=8 or (select id uni.. 공감수 0 댓글수 0 2017. 8. 8.
  • Lord of SQLinjection iron_golem php 코드를 보면 sleep과 benchmark외엔 싱글쿼터나 기본적인 문자열를 막지는 않는다.근데 조금 다른점은 이전에는 쿼리를 성공적으로 수행하면 Hello admin 형식으로 id를 출력해준다. 하지만 이 문제는 id를 출력해주지 않는 대신 에러가 터지면 mysql_error를 출력해준다. error based sql injection 문제다. 그래서 싱글쿼터를 입력해서 쿼리 에러를 내보면 에러 메시지가 나온다. order by 1을 했을때는 정상적으로 출력되지만 order by 2를 하면 칼럼 수가 틀렸다는 에러가 나온다. 이제 blind sql injection을 하면 된다. if 문에서 조건이 틀렸을때 에러 메시지가 출력되도록 하면 된다.칼럼 수가 1개라는 사실을 알았으니 에러메시지는 두개의.. 공감수 0 댓글수 0 2017. 8. 6.
  • Lord of SQLinjection dragon 문제를 보면 guest 뒤에 주석으로 막혀있어서 pw파라미터에 값을 입력해도 주석으로 처리되어 아무런 의미가 없다.php코드를 보면 필터로 중요한 문자열이 걸러지지는 않는다.처음에 고민을 하다가 %0a로 뉴라인을 만들어 주석을 탈출하면되겠다는 생각이 들었다. 처음엔 그냥 %0a 후 or id='admin'#을 입력했으나 Hello guest가 출력되었다. 그래서 로컬 DB에서 비슷하게 환경을 구성했다. id가 guest 또는 admin일때 출력하는것이기 때문에 guest와 admin이 둘다 출력되면서 guest가 admin보다 위에 저장되어 있어서 guest가 출력된것이다. 그래서 guest가 거짓이 되도록 뒤에 and 연산자를 이용해 false를 리턴하게 한 후 or로 id='admin' 을 붙이니 a.. 공감수 0 댓글수 0 2017. 8. 5.
  • Lord of SQLinjection nightmare 이 문제는 pw 파라미터만 입력을 받는다.pw에 값을 입력하면 ('')에 싸여 쿼리가 완성된다. php코드에서 필터링이 되는 문자를 살펴보면 이전까지 잘 사용하던 #, -- 이 막혀있다.주석이 두개나 막혀있고, pw에 6글자 보다 많이 입력할 수가 없다.문제를 풀기 위해 알아야 할 포인트는 mysql에서 문자열을 0과 비교하면 true가 반환된다. 이를 이용하여 문제를 풀면 된다.그리고 #, --이 막혀있지만 주석을 ;%00으로 우회할 수있다. 비교하는 값의 맨 앞에 문자가 오면 0과 비교했을때 true가 리턴된다.하지만 비교하는 값의 맨 앞에 숫자가 오면 0과 비교했을때 false를 리턴한다. 공감수 0 댓글수 0 2017. 8. 5.
  • Lord of SQLinjection succubus php 코드를 보면 싱글 쿼터가 필터에 막혀있다.그래서 싱글 쿼터를 우회하는 방법에 대해 검색을 많이 해봤지만.. 역시나 magic_ quote_gpc 나 addslashes외에는 나오지가 않았다.분명 무슨 방법이 있을거라고 고민하던 중 DB에 싱글쿼터가 들어간 값을 싱글쿼터로 싸인 쿼리에서 뽑을때 그냥 싱글쿼터를 입력하면 에러가 터진다.따라서 싱글쿼터로 싸인 쿼리에서 싱글쿼터를 포함한 값을 뽑을때는 \' 를 써줘야 싱글쿼터가 문자로 인식된다. 이 방법을 이용하면 이 문제가 풀린다.id 파라미터에 \를 넣고 pw에서 True값을 만들면 문제가 풀린다. 공감수 0 댓글수 0 2017. 8. 4.
  • Lord of SQLinjection zombie_assassin 문제를 보면 id, pw 파라미터에 값을 넣어 쿼리를 완성하는 구조다.그리고 php 코드를 보면 필터에 몇가지가 막혀있고 싱글쿼터 또한 막혀있다.하지만 싱글쿼터 같은 경우는 ereg 함수를 사용해서 필터가 걸려있다.ereg함수에 취약점이 존재하기 때문에 이 부분을 이용해 문제를 풀 수 있다.php.net 레퍼런스를 통해 ereg 함수를 확인하면 preg_match함수로 대체 하라는 경고 문이 있다.이는 ereg함수가 취약점이 존재하니 새로운 함수를 사용하라는 의미다. 파라미터에 값을 입력할때 %00 널바이트를 삽입한 후 문자를 입력하면 ereg함수에 매치된 필터를 우회할 수 있다. ref. http://hackability.kr/entry/PHP-문자열-필터링-함수ereg-eregi-취약점을-이용한-우회 공감수 0 댓글수 0 2017. 8. 4.
  • Lord of SQLinjection assassin pw 파라미터로 들어간 값이 like 뒤에 들어가는 구조다.SQL 와일드 카드를 이용하여 문제를 풀 수 있을것 처럼 보인다.그래서 %를 pw파라미터에 넣어주면 Hello guest가 나온다. 그래서 처음엔 어떻게 admin을 출력할지 고민하다가admin과 guest의 pw가 다르게 되는 순간을 찾자고 생각했다.한글자씩 찾기 위해 blind sqlinjection을 하듯이 파이썬으로 모든 문자에 대해 인젝션을 하다보니 admin과 guest의 pw가 다른 부분이 나와서 문제를 풀었다. 공감수 0 댓글수 0 2017. 8. 4.
  • Lord of SQLinjection giant 문제를 보면 단순하게 1234를 select하는 쿼리지만 from과 테이블 명이 붙어있다.php 코드를 보면 shit파라미터로 입력한 값이 from과 테이블 명 사이에 들어가서 쿼리를 완성한다.저 부분을 띄어주면 문제는 간단하게 풀릴것으로 보인다.하지만 필터를 보면 %0a, %0d가 막혀있고 단순 공백도 막혀있다.그래서 구글을 통해 white space를 bypass 하는 키워드로 검색하니 %0b로 공백을 우회할 수 있다. 공감수 0 댓글수 0 2017. 8. 2.
  • Lord of SQLinjection bugbear php 코드를 보면 이전 문제들 보다 필터가 많이 걸려있다. 공백, =, like, 0x가 필터에 걸려있기 때문에 이들을 전부 우회했다. 우선 pw를 구하는 방법은 아래와 같다. ?pw=1&no=1||hex(id)%0anot%0ain%0a(6775657374)%26%26length(pw)in(8)공백은 %0a, like는 in구문을 사용하였고, 0x가 필터에 걸려있기 때문에 in 구문을 통해 guest를 hex로 변환하여 id가 admin인 칼럼만 추출하도록 했다. pw 길이를 구했으니 이제 blind sqlinjection으로 pw를 추출한다. import urllib, urllib2 url = "https://los.eagle-jump.org/bugbear_431917ddc1dec75b4d65a23b.. 공감수 0 댓글수 0 2017. 8. 2.
  • Lord of SQLinjection darkknight 문제를 보면 pw, no 파라미터가 있다. 힌트로 나온 php 코드를 보면 pw는 싱글쿼터에 싸여 있고 싱글쿼터는 필터링 처리가 되어있어 공격하기 어려워 보인다. 하지만 no는 쿼터로 싸여 있지 않다. 이 부분에서 공격이 가능하다. 먼저 pw의 길이를 구해야 한다. pw의 길이는 아래와 같이 구한다. ?pw=1&no=1 or id like 0x61646d696e and length(pw) like 8 id의 값을 admin을 하지 않은 이유는 no 파라미터를 통해 들어간 값은 싱글쿼터에 싸여있지 않고, admin은 문자열이기 때문에 mysql에서 문자열은 싱글쿼터에 싸여 있어야지 쿼리로 인식된다. 따라서 admin을 hex로 변환한 0x61646d696e를 사용했다. pw의 길이를 구했으니 pw의 값을 .. 공감수 0 댓글수 0 2017. 7. 30.
  • Lord of SQLinjection golem 인젝션을 통해 admin의 비밀번호를 알아내어 pw에 넣으면 풀리는 문제다. =이 필터에 걸려 있기 때문에 like를 사용하여 풀 수 있다. 먼저 비밀번호의 길이를 구해야 한다. 비밀번호의 길이는 아래와 같이 구했다. ?pw=1%27||ascii(id)-103%26%26length(pw)%20like%20%278 pw가 8자리라는 것을 알았다. 이젠 blind sql injection을 통해 비밀번호를 따면 된다. import urllib, urllib2 flag = "" for i in range(1,9): for j in range(33, 128): url = "http://los.eagle-jump.org/golem_39f3348098ccda1e71a4650f40caa037.php?" url += .. 공감수 0 댓글수 0 2017. 7. 30.
  • Lord of SQLinjection skeleton 문제에 제시된 쿼리를 보면 pw 다음에 and 1=0이 나온다. pw를 제대로 입력해도 false가 나오게 된다. 그래서 필터를 보기 위해 php 코드를 보면 싱글쿼터는 막히지 않았다. 그래서 그냥 간단하게 pw에 ' or id='admin#을 해주면 문제가 풀린다. 공감수 0 댓글수 0 2017. 7. 30.
  • Lord of SQLinjection vampire 전 문제와 유사하다. 하지만 이번엔 str_replace함수를 통해 admin을 없는 문자로 치환해주는 방법으로 admin에 필터를 걸었다.하지만 이것도 마찬가지로 대소문자를 구분하지 않기때문에 간단하게 대문자로 집어넣으면 injection이 된다. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinjection Troll 문제 필터를 보면 싱글쿼터를 preg_match로 막고 있고, admin이란 문자를 ereg함수를 통해 정규표현식으로 검사한다.이 문제는 왜 admin만 ereg함수를 통해 검사하는지 고민하다가 preg_match에서는 대소문자도 구분하도록 하였으나 ereg에선 대소문자를 구분하지 않는다 따라서 이 부분에서 취약점이 발생한다. mysql에선 대소문자를 구분하지 않으므로 admin에서 한글자만 대문자로 바꿔도 필터를 우회하여 injection을 할 수 있다. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinjection orge pw 길이 : %27||ascii(id)-103%26%26length(pw)=8%23tip : &는 get으로 보낼때 urlencoding을 하지 않으면 파라미터 연산자인줄 알고 &뒤에 온 값을 파라미터값으로 인식한다. import urllib, urllib2 url = "http://los.eagle-jump.org/orge_40d2b61f694f72448be9c97d1cea2480.php?pw=" result = "" for i in range(1, 9): for j in range(33,127): payload = "%27||ascii(id)-103%26%26if(ascii(substr(pw,{},1))={},1,1=2)%23".format(i, j) testurl = url + payload pr.. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinjection Darkelf 필터링을 보면 or과 and가 막혀있다. 하지만 전 문제와 마찬가지로 or, and 대신 | 와 &를 사용하면 가볍게 필터를 우회할 수 있다. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinejction wolfman 필터를 확인해보면공백이 필터에 걸렸다. 그래서 or을 | (파이프)로 처리하면 공백 없이 문제가 풀린다. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinjection orc pw 길이 찾기 : 123%27%20or%20ascii(id)-103%20and%20if(length(pw)=8,1,1=2)%23 플래그는 8자리이며 blind sqlinjection으로 풀었다. import urllib, urllib2 url = "http://los.eagle-jump.org/orc_47190a4d33f675a601f8def32df2583a.php?pw=" result = "" for i in range(1, 16): for j in range(33,127): payload = "123%27%20or%20ascii(id)-103%20and%20if(ascii(substr(pw,{},1))={},1,1=2)%23".format(i, j) testurl = url + payload pri.. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinjection goblin 이 문제는 no 파라미터에만 문자를 넣을 수 있다.preg_match를 보면 no에 대해서 싱글쿼터와 더블쿼더가 필터로 추가되었다. 따라서 쿼터는 사용이 불가능하다.no에 1을 넣고 리퀘스트를 보내면 Hello guest라는 리스폰스가 온다.따라서 no=2 or id='admin'을 보내면 참이 되어 문제가 풀릴것이다.하지만 쿼터가 막혀있으므로 id=admin을 다른방식으로 보내야한다.mysql에선 문자를 hex로 변환해 보내도 hex를 디코딩한 문자열로 인식해서 값을 보여준다.따라서 admin을 hex로 인코딩하여 보내면 문제가 풀리다. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinjection cobolt 첫번째 문제와 다른점은 pw부분에 값을 넣으면 md5로 인젝션을 해준다.먼저 생각해볼 수 있는것은 md5부분을 무시하는것이다. 첫번째 문제처럼 id부분에서 주석을 넣으면 풀릴것이다. 공감수 0 댓글수 0 2017. 7. 25.
  • Lord of SQLinjection Gremlin 문제는 id와 pw에 적절한 값을 넣어 인젝션을 하는것이다.preg_match로 GET으로 넘어온 파라미터 인자문자열을 검사한다.prob, _, ., ()만 검사하므로 주석은 먹힐것이다.따라서 주석을 preg_match로 검사하지 않기 때문에 주석(%23)을 사용하면 인젝션이 된다. 공감수 0 댓글수 0 2017. 7. 25.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.