[Web.kr]Level 07

‘auth’ 버튼을 누르니 “Access_Denied!” 경고창이 뜬다.

소스코드를 살펴보자.

<!--
db에는 val=2가 존재하지 않습니다.

union을 이용하세요
-->
<?
$answer = "????";

$go=$_GET[val];

if(!$go) { echo("<meta http-equiv=refresh content=0;url=index.php?val=1>"); }

$ck=$go;

$ck=str_replace("*","",$ck);
$ck=str_replace("/","",$ck);

echo("<html><head><title>admin page</title></head><body bgcolor='black'><font size=2 color=gray><b><h3>Admin page</h3></b><p>");

if(eregi("--|2|50|\+|substring|from|infor|mation|lv|%20|=|!|<>|sysM|and|or|table|column",$ck)) exit("Access Denied!");

if(eregi(' ',$ck)) { echo('cannot use space'); exit(); }

$rand=rand(1,5);

if($rand==1)
{
    $result=@mysql_query("select lv from lv1 where lv=($go)") or die("nice try!");
}

if($rand==2)
{
    $result=@mysql_query("select lv from lv1 where lv=(($go))") or die("nice try!");
}

if($rand==3)
{
    $result=@mysql_query("select lv from lv1 where lv=((($go)))") or die("nice try!");
}

if($rand==4)
{
    $result=@mysql_query("select lv from lv1 where lv=(((($go))))") or die("nice try!");
}

if($rand==5)
{
    $result=@mysql_query("select lv from lv1 where lv=((((($go)))))") or die("nice try!");
}

$data=mysql_fetch_array($result);
if(!$data[0]) { echo("query error"); exit(); }
if($data[0]!=1 && $data[0]!=2) { exit(); }

if($data[0]==1)
{
    echo("<input type=button style=border:0;bgcolor='gray' value='auth' onclick=
        alert('Access_Denied!')><p>");
    echo("<!-- admin mode : val=2 -->");
}

if($data[0]==2)
{
    echo("<input type=button style=border:0;bgcolor='gray' value='auth' onclick=
        alert('Congratulation')><p>");
    @solve();
} 
?>

코드가 너무 길어서 차근차근 살펴보도록 하자.

<!--
db에는 val=2가 존재하지 않습니다.

union을 이용하세요
-->

힌트 부분이다. val=2가 존재하지 않는다고 한다. (없다고 하니 있는지 확인해야지 ㅋㅋ😏)

없는거 맞나 싶다. ㅋㅋㅋㅋ 다음 코드를 살펴보자.

$answer = "????";
$go=$_GET[val];

if(!$go) { echo("<meta http-equiv=refresh content=0;url=index.php?val=1>"); }

$ck=$go;

$ck=str_replace("*","",$ck);
$ck=str_replace("/","",$ck);

val의 값은 go에 저장되고 go의 값이 없으면 index.php?val=1 페이지를 불러온다.

go의 값이 있다면, ck에 go의 값을 저장한다.

그리고 나서 ck에서 ‘*’, ‘/’ 를 제거한다.

echo("<html><head><title>admin page</title></head><body bgcolor='black'><font size=2 color=gray><b><h3>Admin page</h3></b><p>");

if(eregi("--|2|50|\+|substring|from|infor|mation|lv|%20|=|!|<>|sysM|and|or|table|column",$ck)) exit("Access Denied!");

if(eregi(' ',$ck)) { echo('cannot use space'); exit(); }

그리고나서 페이지를 출력해주고, ck의 값에서 위 문자들을 필터링 한다.

필터링 되는 값중에서 ‘2’, ‘substring’, ‘%20’, ‘or’ 도 있다.

그리고 공백이 있으면 ‘cannot use space’ 라고 출력되고 필터링된다.

val=2의 값을 만들어야 될거 같은데, 숫자 2도 필터링 되어있다.

$rand=rand(1,5);

if($rand==1)
{
    $result=@mysql_query("select lv from lv1 where lv=($go)") or die("nice try!");
}

if($rand==2)
{
    $result=@mysql_query("select lv from lv1 where lv=(($go))") or die("nice try!");
}

if($rand==3)
{
    $result=@mysql_query("select lv from lv1 where lv=((($go)))") or die("nice try!");
}

if($rand==4)
{
    $result=@mysql_query("select lv from lv1 where lv=(((($go))))") or die("nice try!");
}

if($rand==5)
{
    $result=@mysql_query("select lv from lv1 where lv=((((($go)))))") or die("nice try!");
}

1~5의 램덤 수를 rand에 저장시킨다.

그리고 rand에 값에 따라 go를 감싸는 괄호의 갯수가 정해진다.

$data=mysql_fetch_array($result);
if(!$data[0]) { echo("query error"); exit(); }
if($data[0]!=1 && $data[0]!=2) { exit(); }

if($data[0]==1)
{
    echo("<input type=button style=border:0;bgcolor='gray' value='auth' onclick=
        alert('Access_Denied!')><p>");
    echo("<!-- admin mode : val=2 -->");
}

if($data[0]==2)
{
    echo("<input type=button style=border:0;bgcolor='gray' value='auth' onclick=
        alert('Congratulation')><p>");
    @solve();
} 