카테고리 없음

simple_sqli

2021. 8. 1. 19:23

이번에는 이름부터 간단한 simple sql injection 문제이다. 바로 코드로 넘어가보자.

자세히 보아야 할 부분만 가져왔다. 로그인에 성공한 이후 userid가 admin이면 flag를 출력한다. admin이 아닌 계정으로 로그인하면 간단한 인사만을 alert한다.

다른 필터링이 없다.

바로 SQL Injection을 진행하면 될 것 같다.

필터링이 없는 victim에 SQL Injection 공격의 정답은 해가 무수히 많은 고차방정식과 같다.

sql문에서 where 뒷부분만을 'True'로 만들어주기만 하면 된다.

하지만 password 영역에 or 연산을 삽입(userid=admin, password=1" or "1"="1)시키는 것은, 왜인지는 모르겠지만, hello guest 라고 alert 되며 flag가 뜨지 않는다. 어쨋든 userid 단에 or 연산을 삽입시키면 된다.

또한 userid 단에
admin" --
같이 따옴표로 문자열을 탈출하고, '--'로 뒷문장인 password의 논리를 무력화시키는 방법도 있다.

(논리연산에서 and가 or 보다 연산 우선 순위에 있다)

It tastes like honey, flag.

Lucvs
Lucvs
Department of Computer Science and Engineering, 21th, Sungkyunkwan University
Lucvs
Lucvs
Lucvs
전체
오늘
어제
  • 분류 전체보기
    • Lucvs
      • 훈련소 일기
      • 寿司
      • 영국 여행기
    • Pwnable
      • Techniques
      • FTZ
      • LOB
      • HackCTF
      • Dreamhack
      • pwnable.kr
      • CTF
    • Web Hacking
      • Techniques
      • Webhacking.kr
      • HackCTF
      • Dreamhack
      • LOS
    • Reversing
      • Dreamhack
    • Cryptography
      • Modern Cryptography
      • Algorithm
      • Differential Attack (차분 공격)
      • Linear Attack (선형 공격)
    • Forensic
      • Dreamhack
    • Programming
      • C
      • Python
      • Java
    • Deep Learning
    • Network
    • Project
    • Hardware
      • Raspberry Pi
      • Arduino

블로그 메뉴

  • 홈
  • 태그
  • 방명록

공지사항

인기 글

태그

  • SQL INJECTION
  • 드림핵
  • dreamhack
  • blind sql injection
  • 차분 공격
  • Los
  • 차분 분석
  • 훈련소 일기
  • lord of sql injection
  • 공군
  • Error-Based SQL Injection
  • 기본군사훈련단
  • 잉글랜드
  • rev-basic
  • 공군 훈련소
  • Differential Attack
  • 일기
  • 군대 일기
  • 기훈단
  • 효전화
  • Lord of SQL Injeciton
  • J
  • 런던
  • 훈련소
  • 영국
  • 군대
  • 여행기
  • dreamhack.io
  • Web Hacking
  • 웹해킹

최근 댓글

최근 글

hELLO · Designed By 정상우.
Lucvs
simple_sqli
상단으로

티스토리툴바

개인정보

  • 티스토리 홈
  • 포럼
  • 로그인

단축키

내 블로그

내 블로그 - 관리자 홈 전환
Q
Q
새 글 쓰기
W
W

블로그 게시글

글 수정 (권한 있는 경우)
E
E
댓글 영역으로 이동
C
C

모든 영역

이 페이지의 URL 복사
S
S
맨 위로 이동
T
T
티스토리 홈 이동
H
H
단축키 안내
Shift + /
⇧ + /

* 단축키는 한글/영문 대소문자로 이용 가능하며, 티스토리 기본 도메인에서만 동작합니다.