HACME CASINOのSQLインジェクションでandy_acesでログインする理由について

Question

状況

HACME CASINOを利用して、SQLインジェクションを実践しています。

知りたいこと

ユーザー入力欄に') OR 1=1 と入力しました。
このときログインするユーザーがandy_acesなのですが、なぜandy_acesでログインするのか分かりません
ユーザー入力欄に入力する内容によって別ユーザーでログインできるのでしょうか。

Comments

[ockeghem]

当該のログイン処理のソースコードを引用にて追記してください。

[ockeghem]

HACME CASINOはどこからダウンロードしましたか?

Answer 1

Hacme Casio Use Guidによると以下のSQL文が実行されるとあります。

SELECT * FROM users WHERE (username='') OR 1=1—AND password='')

が、これはおそらく間違いですね。元のSQL文にはシングルクォートが4つあり、外部から一つ追加しているので、結果は以下になるはずです。（入力は「') OR 1=1--」ですよね）

SELECT * FROM users WHERE (username='') OR 1=1—'AND password='')

いずれにせよ、--以下はコメントとして無視されるので、これは usernameが空文字列（長さ0の文字列）であるか、1=1である行がマッチするという意味になります。
1=1 はすべての行で成立するので、SELECTはすべての行が返りますが、たまたま先頭にあったユーザがandy_acesだったということですね。

ユーザー入力欄に入力する内容によって別ユーザーでログインできるのでしょうか。

はい、できます。ockeghemでログインしたい場合は以下のようなSQL文を生成すればよいわけですが、

SELECT * FROM users WHERE (username='ockeghem') —' AND password='')

そのためには、ockeghem') —と入力すればよいことになります。中で使っているSQL文によってうまくいかないかもしれませんが、その場合は試行錯誤的に ) 等を加減するか、ソースコードを見て調査することになります。

Comments

[SZR0601]

こちら確認できておらず、諸々ご質問頂いていた内容に返答できずに申し訳ございません。
そのような状態で、ここまで完璧な調査・回答いただき、大変ありがたいです！

ベストアンサーとさせていただきます！