'webhacking.kr 35번 old' 태그의 글 목록

열세 번째 글. 내 핸드폰 번호를 입력해봤더니 정상적으로 'Done'이라고 출력이 되었다. 바로 소스코드를 확인해보겠다. 먼저 phone과 id를 GET방식으로 입력을 받는다. phone을 입력받을 때 *, /, select, -, # 을 필터링한다. id는 5글자로 제한이 되어있으며 id를 입력받을 때 'admin'은 필터링이 된다. insert into chall35(id, ip, phone) values('{$_GET['id']}','{$_SERVER['REMOTE_ADDR']}',{$_GET['phone']}) 위 쿼리를 통해서 내가 입력창에 폰번호를 입력하면 guest와 내 ip주소와 같이 들어가게 된다. select ip from chall35 where id='admin' and ip='{$..