#auth-bypass

로그인 폼에 입력칸이 userlevel 하나뿐인데, 그 값이 따옴표째 쿼리에 박힌다. guest와 admin 둘 다 userlevel이 0이라 흔한 or 1=1은 첫 행 guest를 데려온다. userid를 직접 지정해 admin 행만 남긴 과정을 정리했다.

로그인 쿼리에 userid가 따옴표째 그대로 박힌다. admin 행만 정확히 반환시켜야 플래그가 나오는데, 흔한 ` or 1=1`은 첫 행 guest를 데려온다. 주석으로 패스워드 조건을 지워 admin 행만 집어낸 과정을 정리했다.

로그인 비교식 result.upw === req.body.upw 의 빈틈. uid에 CouchDB 특수 엔드포인트 _all_docs 를 넣으면 응답에 upw 필드가 없어 undefined가 되고, upw를 아예 보내지 않으면 undefined === undefined 로 비밀번호 없이 인증을 통과해 FLAG를 가져온다.