[LOS] ORC 풀이(4)

Lord of Sql injection에서 " orc " 레벨의 경우 전 단계에서 진행했던 방식들과는 다르게 진행해야 됩니다. 

 

우선 pw=' {$_GET[pw]}'"; 을 보다시피 쿼리문을 삽입할 변수의 종류는 한 개이며 id='admin'이라고 선언이 되어있는 상태입니다.

 

if(($result ['pw']) && ($result['pw'] == $_GET ['pw'])) solve("orc"); 

해당 문제를 해결하려면 소스에서 확인되는 것처럼 $_GET 방식으로 념겨 받은 pw 값과 admin의 실제 pw 값과 동일해야 문제 해결이 가능할 것으로 보입니다.

$_GET [pw] = addslashes($_GET [pw]);

또한  "addlslashes" 함수에 의해 싱글 쿼터에 대한 조치를 해둔 것 같은데 일단 진행하면서 확인해보도록 하겠습니다.

 

쿼리문이 실행되는 매개변수 "pw"에 참과 거짓 값을 구분하는 문구를 삽입해본 결과 참으로 입력 시 " Hello admin "이라는 문구를 출력해주고 거짓 값을 일력 할 경우 아무런 반응이 없는 것을 확인할 수 있습니다.

 

이것을 토대로 BSQLI(Blind Sql Injection) 기법을 사용하여 admin의 패스워드가 어떤 문자열을 사용하는지 참, 거짓으로 유추해볼 수 있습니다.

 

우선 패스워드의 길이를 유추하기 위해 "length"를 이용해 볼 수 있습니다. pw영역에 "%"를 사용한 것은 어차피 admin 계정만 존재하기 때문입니다.  그리고 ">1#"의 의미는 출력된 패스워드의 길이가 1보다 크면 "참" 아니면 "거짓" 형태로 #을 사용해 이후의 구문은 모두 주석처리하도록 했습니다.

 

패스워드는 1보다 크기 때문에 결과적으로 참 값인 "Hello admin" 이 출력됩니다.

 

>1# ~ >7# 까지는 모두 "Hello admin" 이 출력되었지만 >8# 의 차례에서는 출력되지 않는 것으로 보아 패스워드는 "8자리" 인 것으로 유추할 수 있습니다.

 

패스워드 자리수를 파악했으니 이제 8자리 중 1자리씩 어떤 문자, 숫자, 특수문자를 사용하는지 확인하기 위해 프록시 도구인 " burp suite " 도구를 통해 무작위로 대입해보겠습니다.

 

문자열을 하나씩 유추하기 위한 적당한 쿼리문을 삽입하고 프록시로 잡은 모습입니다. URL 인코딩이 같이 되어 있기 때문에 직관적으로 보이진 않지만 사용된 함수를 확인해볼 필요는 있습니다.

 

우선 "substr" 함수를 사용해서 pw에 담긴 패스워드를 1 글자씩 가져오고 --> ascii 값으로 변경해서 패스워드를 추측할 것입니다.

 

substr 과 ascii 코드

" substr(pw,1,1) " 는 pw라는 문자열에서 1번째 자리에서 1글자 가져오라는 의미 이며

ascii(substr(pw,1,1)=ascii코드 " 즉 "substr" 함수를 이용해서 "pw"의 원하는 위치에 값을 "ascii()" 아스키로 변환하고 하나씩 증가시키고 마지막 "=ascii코드"와 비교해가면서 첫 번째 패스워드 값이 ascii 코드로 이거니??라는 쿼리문을 반복적으로 삽입해서 참, 거짓 값으로 유추할 수 있게 됩니다.

 

" 버프 " 의 cluster bomb을 활용해서 (pw, 타깃(1),1)=타깃(2)%23  " 타깃(1,2) " 부분에 한 자리씩 대입해가면서 확인해볼 것입니다.

 

타깃(1) 에는 몇 번째 문자열을 검사할 것인지 확인하는 영역입니다. 우리는 위에서 패스워드가 8자리인 것을 알아냈으니 1자리 ~ 8자리씩 1개씩 증가하면서 확인해야 됩니다.

 

타깃(2) 에는 타깃(1)에서 지정한 문자열의 ascii 값이 동일한지 확인하기 위한 영역입니다. 우선 1~8 자리 패스워드중 " 숫자 " 가 존재하는 부분을 알아내기 위해 48 ~ 57까지 1자리씩 증가시켜 확인해야 됩니다.

 

* 48 ~57 은 ascii 코드로 " 0 ~ 9  " 까지의 숫자를 의미

ASCII 정리

32 ~ 47 : 특수문자 (space, !, ", #, $, %, & 등)
58 ~ 64 : 특수문자 (:, ;, <, =, >, ?, @)
123 ~ 126 : 특수문자 ({, |, }, ~)
48 ~ 57 : 숫자 (0 ~ 9)
65 ~ 90 : 영어(대문자) (A ~ Z)
97 ~ 122  : 영어(소문자) (a ~ z)

 

"payload1" 에는 패스워드의 자리수를 하나씩 증가시킨 것이며 "payload2" 영역은 성공적으로 도출된 패스워드(ascii코드) 넘버라고 보시면 됩니다.

 

1 ~ 8 자리 패스워드 중 4번째 자리를 제외하고는 모두 숫자 형태의 패스워드를 사용 중인 것으로 확인됩니다. 
4번째 자리는 숫자가 아닌 거 같으니 문자(소, 대) 나 특수문자를 대입해서 확인해볼 필요가 있습니다.

 

타깃(1)의 셋팅은 동일하게 둬도 되고 4라고만 지정해줘서 확인하셔도 상관없습니다.

 

우선 타깃(2) 부분에 영문(소문자) 를 사용 중인지 확인하기 위해 ascii 코드로 " 97 ~ 122 " 로 변경해서 공격해보면 
성공적으로 4번째 문자열이 영문(소문자) 를 사용 중인 것으로 확인되었습니다.

이제 패스워드를 모두 알아냈으니 $_GET() 방식으로 도출된 패스워드만 입력해주면 성공하게 됩니다.

 

소스에서 $_GET [pw] = addslashes($_GET [pw]); 확인해보면 "addlslashes" 함수에 의해 싱글 쿼터가 차단되고 있었는데

문제를 해결하는 것에 있어서는 막힘이 존재하지 않습니다.

 

addslashes 함수

특수문자가 DB 내에서 문자로 인식되도록 해주는 것으로 이것이 설정 안 되어 있을 시 특수문자로 인해 에러가 발생할 수 있어서 설정해두는 것이기 때문에 우리가 BSQLI 기법의 참, 거짓 을 통해 패스워드를 유추하는 것에 있어서는 상관없습니다.