<Lord of SQL Injection> zombie

zombie

GET 방식으로 전달받은 pw에서 rollup, join, ace, @를 필터링한다.

 

?pw=' or 1=1%23을 입력하면

쿼리가 참임에도 불구하고 아무것도 출력되지 않는다.

이를 통해 prob_zombie 테이블이 비어있음을 짐작할 수 있다.

그런데 전달받은 pw와 쿼리의 결과로 나온 pw의 값과 타입이 모두 같아야 문제가 풀린다.

 

앞서 풀었던 'ouroboros'문제와 같음을 알 수 있다.

하지만 'ouroboros'문제에서는 'replace'를 사용하여 quine query를 통해 문제를 해결할 수 있었지만,

이 문제에서는 'ace'를 필터링하기 때문에 'replace'를 사용할 수 없다.

 

이 문제의 경우 메타데이터를 활용하여 풀 수 있다.

MySQL은 메타데이터들을 종류별로 묶어 테이블을 만들고, 테이블을 모아 데이터베이스를 만들다.

이 데이터베이스가 information_schema이다.

 

information_schema 데이터베이스에는 processlist 테이블이 존재한다.

processlist 테이블에는 User, Host, db, Command, Time, State, Info, ID 컬럼이 존재한다.

 

이 processlist 테이블의 Info 컬럼에는 현재 특정 사용자가 실행 중인 쿼리가 저장되어있다.

이를 활용하여 사용자 명을 확인해야 하는데, MySQL에서는 user()를 통해 사용자명을 찾을 수 있다.

따라서, ?pw=' union select user()%23을 입력하면

사용자명이 zombie임을 알 수 있다.

 

앞서 얘기한 Info 컬럼에는 사용자가 실행 중인 쿼리가 저장되어있다.

이를 이용해 

?pw=' union select info from information_schema.processlist where user='zombie'%23를 입력하면

"select pw from prob_zombie where pw=''

union select info from information_schema.processlist where user='zombie'%23"를 출력한다.

 

즉, 입력된 query 그대로 출력하는 것을 확인할 수 있다.

그럼 GET 방식으로 전달 되는 pw는 "' union ..."으로 시작하기 때문에 substr로 필요한 부분만 잘라 출력하면 된다.

 

?pw=' union select substr(info, 38, 92) from information_schema.processlist where user='zombie'%23를 입력하면

GET으로 전달한 pw와 출력하는 pw의 값과 타입이 모두 같아 문제를 해결할 수 있다.