[Webhacking.kr] Challenge 39
문제에 접속하니 입력란과 소스코드를 보는 페이지가 있다.
일단 아무거나 입력해보자.
제출 버튼을 누르면
??
아무런 반응이 없다.
그러면 다음으로 소스코드를 한번 보자
필요한 부분만 가져와서 한줄씩 분석해보자.
$db = dbconnect();
if($_POST['id']){
$_POST['id'] = str_replace("\\","",$_POST['id']);
$_POST['id'] = str_replace("'","''",$_POST['id']);
$_POST['id'] = substr($_POST['id'],0,15);
$result = mysqli_fetch_array(mysqli_query($db,"select 1 from member where length(id)<14 and id='{$_POST['id']}"));
if($result[0] == 1){
solve(39);
}
}
소스코드 분석
$db = dbconnect();
- db 연결
if($_POST['id']){
$_POST['id'] = str_replace("\\","",$_POST['id']);
$_POST['id'] = str_replace("'","''",$_POST['id']);
$_POST['id'] = substr($_POST['id'],0,15);
- 만약 post로 받아온 id 값이 있으면
- 그 값 중 \\ 를 없애고 ' 를 ''(작은 따옴표 두개)로 바꾼다
- 또한 그 값을 0부터 15까지 문자열로 리턴한다.
$result = mysqli_fetch_array(mysqli_query($db,"select 1 from member where length(id)<14 and id='{$_POST['id']}"));
- $db를 mysql로 연결해 쿼리 구문을 실행(첫번째 열에 있는 테이블 중 member 테이블을 검색, 단 id 길이가 14 이하고 id 가 post로 나온 id 이면 출력)
mysqli_query(연결객체,쿼리)
- result set을 배열.
mysqli_fetch_array(result set) 예시
DB------------------------------------------------------------- *
| id | title | description | ~~~ |
| 30 | Hi | My_name_is | ~~~ |
| 31 | ~~ | ~~~ | ~~~ |
| ~~ | ~~ | ~~~ | ~~~ |
*-----------------------------------------------------------------DB
mysqli_fetch_array(mysqli_query($db, "select * from topic where id = 30)) 을 실행한다면
==> Array( [0] => 30 [id] => 30 [1] => Hi [title] => Hi [2] => 1 [description] => My_name_is [3] => ~~~)
// ㄴ자릿수 ㄴ콜롬명
가 나옴을 알 수 있다.
if($result[0] == 1){
solve(39);
}
}
- 만약 result[0] 이 1이면 문제 해결
이제 소스코드 분석은 끝났다.
한번 해결해보자.
아마 post 값은 위에서 입력하는 값이 출력되는것 같다.
그리고 특수한 문자를 바꾸는것으로 보아 sql injection을 방지하는것같다.
$result = mysqli_fetch_array(mysqli_query($db,"select 1 from member where length(id)<14 and id='{$_POST['id']}"));
그렇게 계속 코드를 보는 도중..
뭔가 이상함을 느꼈다.
먼저 분명히 15번째 까지 자른다고 했는데 코드를 보면 14 미만이라 적혀있고
id 뒷부분을 보면 작은따옴표 하나가 없다.
그러면 어떻게든 저 쿼리를 완성시키면 되는데
마지막에 '를 넣으면 분명히 ''로 바뀔것이다...
하지만 생각해보면 코드는 15번째까지 자르는데
''로 바뀌어도 상관이 없지 않을까 생각하였다.
12345678901234'' - 16번째로 가서 ' 잘림
그래서 admin '를 입력해보니
문제 해결 :)
+ 왜 답에 공백이 들어가는가?
문제를 보면 문자는 14줄 미만이라고 했는데
만약 adminadminadmi'을 입력하게되면 14줄이므로(' 제외) 참이 아니게된다
5 5 5
하지만 마지막 i를 공백으로 입력한다면
sql에서는 'admin' = 'admin ' 이라고 인식하기때문에
참이 된다!
사실 고백하자면 이번 문제가 너무 안풀려 정답을 보게되었다..
정답을 보니 내가 정말 쓸데없이 고민한것을 알 수 있었다.
실제로 위에 저 조건만 만족하면 답이 나오지만
sql injection 공격을 시도해보면서 시간만 날렸다..
다음 문제는 직접 풀릴때까지 풀어보겠다..
"내일을 실현하는 데 유일한 한계는 오늘의 의심이다." - 루즈벨트