#!/usr/bin/python3
from flask import Flask, request, render_template, g
import sqlite3
import os
import binascii
app = Flask(__name__)
app.secret_key = os.urandom(32)
try:
FLAG = open('./flag.txt', 'r').read()
except:
FLAG = '[**FLAG**]'
DATABASE = "database.db"
if os.path.exists(DATABASE) == False:
db = sqlite3.connect(DATABASE)
db.execute('create table users(userid char(100), userpassword char(100), userlevel integer);')
db.execute(f'insert into users(userid, userpassword, userlevel) values ("guest", "guest", 0), ("admin", "{binascii.hexlify(os.urandom(16)).decode("utf8")}", 0);')
db.commit()
db.close()
def get_db():
db = getattr(g, '_database', None)
if db is None:
db = g._database = sqlite3.connect(DATABASE)
db.row_factory = sqlite3.Row
return db
def query_db(query, one=True):
cur = get_db().execute(query)
rv = cur.fetchall()
cur.close()
return (rv[0] if rv else None) if one else rv
@app.teardown_appcontext
def close_connection(exception):
db = getattr(g, '_database', None)
if db is not None:
db.close()
@app.route('/')
def index():
return render_template('index.html')
@app.route('/login', methods=['GET', 'POST'])
def login():
if request.method == 'GET':
return render_template('login.html')
else:
userlevel = request.form.get('userlevel')
res = query_db(f"select * from users where userlevel='{userlevel}'")
if res:
userid = res[0]
userlevel = res[2]
print(userid, userlevel)
if userid == 'admin' and userlevel == 0:
return f'hello {userid} flag is {FLAG}'
return f'<script>alert("hello {userid}");history.go(-1);</script>'
return '<script>alert("wrong");history.go(-1);</script>'
app.run(host='0.0.0.0', port=8000)
전체 코드이다.
/login에서 문제를 푸는 거 같다.
@app.route('/login', methods=['GET', 'POST'])
def login():
if request.method == 'GET':
return render_template('login.html')
else:
userlevel = request.form.get('userlevel')
res = query_db(f"select * from users where userlevel='{userlevel}'")
if res:
userid = res[0]
userlevel = res[2]
print(userid, userlevel)
if userid == 'admin' and userlevel == 0:
return f'hello {userid} flag is {FLAG}'
return f'<script>alert("hello {userid}");history.go(-1);</script>'
return '<script>alert("wrong");history.go(-1);</script>'
query_db로 로그인을 시도하는데 if를 보면 userid 가 'admin'이고 userlevel 이 0 이면 admin이라고 한다.
admin 하고 다른 유저를 가르는건 'userid' 인듯하다.
시도해 보자.
일단 sql injection 없이 0만 대입해 보자.
guest 가 출력된다.
그럼 sql injection 해보자.
res = query_db(f"select * from users where userlevel='{userlevel}'")
일단 login에서 userlevel를 삽입하고 sql 명령어를 호출하는데 '{userlevel}'이 부분이 키워드이다.
admin에 대한 조건은 userid 가 'admin'이고 userlevel 은 0 인 것
userid 만 추가해 줘도 된다.
그러면 어떻게 추가해야 하나
res = query_db(f"select * from users where userlevel='0' AND userid='admin' --")
이런 식으로 추가해 준다면 admin에 대한 조건이 충족되면서...
flag를 준다.
'DreamHack > WEB' 카테고리의 다른 글
error based sql injection (0) | 2024.10.18 |
---|---|
php-1 (1) | 2024.10.16 |
XSS Filtering Bypass (0) | 2024.10.16 |
proxy-1 (0) | 2024.10.16 |
web-misconf-1 (1) | 2024.10.10 |