[webhacking.kr] Level26 (old)

 

메인화면입니다.

​

소스보기입니다.

id라는 파라미터 값이 "admin"이면 "no"를 출력하고 종료되네요 ~

아닐 경우 파라미터 값을 decode해서 "admin"이면 해결되는 것 같습니다.

​

"admin"을 인코딩해서 파라미터로 전달해주면 될 것 같습니다.

url인코딩 표를 참고해서 "admin"을 인코딩하면 "%61%64%6d%69%6e"입니다.

이제 대입해보겠습니다.

음???

왜 그럴까 싶어서 인터넷을 찾아보니 ~

브라우저에서 한번 디코딩 된 결과를 PHP로 전달 된다고 합니다.

그래서 "id = %61%64%6d%69%6e" -> "id = admin" -> "$_GET['id'] = admin" -> "no!"출력

요래 되었네요 ~

그럼 브라우저에서 디코딩 한번 진행되니 인코딩을 두번해서 대입하면 되겠습니다.

​

​

["admin" 문자열 인코딩]

1회 : %61%64%6d%69%6e

2회 : %2561%2564%256d%2569%256e

​

[최종 URL]

"https://webhacking.kr/challenge/web-11/?id=%2561%2564%256d%2569%256e"

​

그대로 대입해보면!

​

챌린지 26 성공!