#blind-sqli

union/select/from/and/or/admin/공백/*// 를 부분 문자열로 막는 블랙리스트 WAF 앞에서, MySQL의 ||/&&와 공백 없는 # 주석으로 문법 자체를 바꿔 우회한 기록이다. 화면엔 uid 컬럼만 반사되는 구조라 admin의 비밀번호(FLAG)는 boolean-blind로 한 글자씩 꺼내야 했다.

uid 파라미터가 SQL에 그대로 삽입되는 boolean blind SQLi를 자동화하다가, 한글이 섞인 플래그 때문에 ASCII() 이진탐색이 끝없이 참으로 나오는 현상에 부딪혔다. MySQL의 ASCII()와 ORD()가 멀티바이트 문자를 다루는 방식 차이를 파고들어 우회한 과정을 정리한다.

union·select·from·and·or·admin·공백까지 막힌 WAF 환경에서 `||` `&&` `idx=` `ascii()` `substr()` 조합으로 admin 행을 매칭하고, ASCII 이진 탐색으로 44자리 플래그를 추출한 풀이입니다. `ord()`가 `or` 부분문자열 때문에 차단되는 함정이 핵심.

/search 엔드포인트의 SQL 문자열 직접 결합 취약점을 이용해 블라인드 boolean 방식으로 admin 비밀번호를 한 글자씩 추출하고, /admin에서 최종 플래그를 획득한 전 과정을 정리합니다.