[Dreamhack] simple_sqli

https://dreamhack.io/wargame/challenges/24

문제 화면

문제 개요

• 공격 유형: SQL Injection (로그인 기반)
• 목적: 로그인 서비스에서 취약점을 통해 FLAG 획득

문제 풀이

문제 제공 화면

로그인 화면

랜덤 값 테스트 시 wrong 반환

로그인을 우회하거나, admin 계정 비밀번호를 무력화하는 인젝션으로 FLAG 값을 추출해야 함

DATABASE = "database.db"
if os.path.exists(DATABASE) == False:
    db = sqlite3.connect(DATABASE)
    db.execute('create table users(userid char(100), userpassword char(100));')
    db.execute(f'insert into users(userid, userpassword) values ("guest", "guest"), ("admin", "{binascii.hexlify(os.urandom(16)).decode("utf8")}");')
    db.commit()
    db.close()

DB 부분 코드에 guest/guest 계정과 admin/??? 계정이 있으므로 sqli 취약점을 통해 admin으로 로그인에 성공해야 함

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
    else:
        userid = request.form.get('userid')
        userpassword = request.form.get('userpassword')
        res = query_db(f'select * from users where userid="{userid}" and userpassword="{userpassword}"')
        if res:
            userid = res[0]
            if userid == 'admin':
                return f'hello {userid} flag is {FLAG}'
            return f'<script>alert("hello {userid}");history.go(-1);</script>'
        return '<script>alert("wrong");history.go(-1);</script>'

app.run(host='0.0.0.0', port=8000)

POST 요청 시 user 테이블에 입력한 userid와 userpassword가 일치하는 데이터를 조회함

→ pw 검증 부분을 주석처리하여 무력화 시키면 됨

• 페이로드

Username: admin' -- 
Password: (빈 칸)

→ username = 'admin' -- ' → SQL에서 --부터 무시되어 로그인 우회 가능

Login 시 flag 값 확인 가능