[Web] Baby Sign

CTF/SWING CTF 2022

[Web] Baby Sign

coderrim 2022. 12. 4. 04:56

sql injection 문제라고 한다.

일단 다운받은 파일들을 살펴보자.

오. 저기 flag.php 가 있는데 저거부터 열어보도록 하자.

<?php
    define('IS_INCLUDED', true);
    include($_SERVER["DOCUMENT_ROOT"].'/include/config.php');

    if (!is_signin()) {
        redirect('/index.php', 'Sign in first');
        die();
    }

    if ($_SESSION['is_admin']) {
        echo "SWING{--censored--}";
    } else {
        redirect('/index.php', 'You are not an admin');
    }
?>

flag를 얻으려면 admin...이 되어야 하는데.

저 아래에 있는 sign in, out, up은 아래 페이지와 관련 있는 것 같고.

로그인이나 회원가입을 통해서 admin 권한을 획득하라 이건가.

우선 하나씩 코드를 살펴보자.

signin.php

<?php
    define('IS_INCLUDED', true);
    include($_SERVER["DOCUMENT_ROOT"].'/include/config.php');

    if (is_signin()) {
        redirect('/index.php', 'You are already signed in :)');
        die();
    }

    if ($_SERVER['REQUEST_METHOD'] === 'POST' && $_POST) {
        $id = $_POST['id'];
        $pw = $_POST['pw'];

        if (!$id || !$pw) {
            redirect(null, 'Not enough params :(');
            die();
        }

        if (!check($id)) {
            die('No hack :(');
        }
        $pw = sha256($pw);

        $query = "SELECT * FROM users WHERE id='$id' AND pw='$pw';";
        $res = mysqli_query($conn, $query);
        $res = mysqli_fetch_array($res, MYSQLI_ASSOC);
        if (!$res) {
            redirect(null, 'Signin fail :(');
            die();
        }

        $_SESSION['id'] = $res['id'];
        $_SESSION['is_admin'] = $res['is_admin'];
        redirect('/index.php', null);
        die();
    }
?>

<html>
    <head>
        <link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.2/css/bootstrap.min.css">
        <title>Sign</title>
    </head>
    <body>
        <?php
            include($_SERVER["DOCUMENT_ROOT"].'/include/navbar.php');
        ?>
        <div class="container">
            <div class="col-md-6 col-sm-12">
                <div class="login-form">
                <form method="post">
                    <div class="form-group">
                        <label>ID</label>
                        <input type="text" class="form-control" placeholder="ID" name="id">
                    </div>
                    <div class="form-group">
                        <label>Password</label>
                        <input type="password" class="form-control" placeholder="Password" name="pw">
                    </div>
                    <button type="submit" class="btn btn-black">Sign in</button>
                </form>
                </div>
            </div>
        </div> 
    </body>
</html>

24번 줄 $query = "SELECT * FROM users WHERE id='$id' AND pw='$pw';"; 에서

사용자가 전송한 POST 값을 쿼리문에서 id와 pw로 그대로 들어가기 때문에

sql 쿼리문을 취약한 패턴으로 사용하고 있다.

이렇게 되면 뒤에 원하는 조건문을 추가하는 등 sql 공격이 가능해진다.

그래서 그 바로 위에서 check 함수를 통해 id 값이 해킹당하진 않았는지 검증하고 있는 것이다.

저 check 함수는 include 폴더에 util.php 에 정의되어 있다.

' " \ 그리고 공백을 필터링한다는걸 알 수 있다.

<?php
    if(!defined('IS_INCLUDED')) {
        die('Not allowed :(');
    }

    if(!$conn) {
        die('DB Connection Error :(');
    }

    function redirect($loc, $alert) {
        $script = '<script>';
        if ($alert !== null) {
            $script .= "alert('$alert');";
        }
        if ($loc === null) {
            $script .= "history.go(-1);";
        } else {
            $script .= "location.href='$loc';";
        }
        $script .= "</script>";

        die($script);
    }

    function check($data) {
        $filters = array("'", '"', "\\", " ");
        foreach ($filters as $filter) {
            if (strpos($data, $filter)) {
                return false;
            }
        }
        return true;
    }

    function is_signin() {
        return isset($_SESSION['id']);
    }

    function sha256($data) {
        $salt = "--censored--";
        return hash('sha256', $data.$salt);
    }
?>

그런데 check 함수 안에 strpos 함수가 보인다.

저건 힌트로 나왔던 그 함수다.

PHP: strpos - Manual

[PHP] strpos() 문자열 함수 : 네이버 블로그 (naver.com)

그래 이 함수.

strpos(string $haystack, string $needle, int $offset = 0): int|false