はまやんはまやんはまやん

hamayanhamayan's blog

タスク管理 [MaidakeCTF2020]

タスク管理
SQLi対策はバッチリです!
https://aokakes.work/MaidakeCTF2020/task/

タスク管理Webアプリが出てくる。
なんか色々機能があって、色々パラメターが送られる。

  • 追加 POST / task=タスク内容&add=
  • 検索 POST / target=検索内容&find=
  • 削除 POST / target=&delete=番号

なにをしてもダメだった。

公式Writeup

MaidakeCTF2020 writeupと感想とか - アオカケスの鳥かご

ふむ。4バイト文字ね。
MySQL で utf8 と utf8mb4 の混在で起きること - tmtms のメモ
これか。なるほど。業務で踏みそう。

さて…

4バイト文字を入力すると「?」になることは分かったが、実際に「?」で検索してみると出てこない。
「🍣」だと確かに出てくる。
4バイト文字が変換される?は普通の?ではないのか?
MySQL で utf8 と utf8mb4 の混在で起きること - tmtms のメモ
普通の?では無さそう。4バイト文字を化かした時に出てくるみたい。
🍣🍺💕は出てきたけど、🤷‍♀️は出てこなかった。
どういうルールなんだろう(prefix?)

寿司ビール問題

むっちゃググるとこういう話題が出てくる。有名問題なのか…
寿司ビール問題① 初心者→中級者へのSTEP20/25 - Qiita
🍣=🍺になるのね。ちょっと面白い。

発展だが、なかなか一筋縄ではいかないようだ…
MySQL 寿司ビール問題 - PukiWiki