8086 - Pentesting InfluxDB
Verwenden Sie Trickest, um mühelos Workflows zu erstellen und zu automatisieren, die von den fortschrittlichsten Community-Tools der Welt unterstützt werden. Heute Zugriff erhalten:
Grundlegende Informationen
InfluxDB ist eine Open-Source-Zeitreihendatenbank (TSDB), die von InfluxData entwickelt wurde. TSDBs sind optimiert für die Speicherung und Bereitstellung von Zeitreihendaten, die aus Zeitstempel-Wert-Paaren bestehen. Im Vergleich zu Datenbanken für allgemeine Zwecke bieten TSDBs erhebliche Verbesserungen bei Speicherplatz und Leistung für Zeitreihendatensätze. Sie verwenden spezialisierte Komprimierungsalgorithmen und können so konfiguriert werden, dass alte Daten automatisch entfernt werden. Spezialisierte Datenbankindizes verbessern auch die Abfrageleistung.
Standardport: 8086
Enumeration
Von einem Pentester aus gesehen handelt es sich um eine weitere Datenbank, die sensible Informationen speichern könnte. Daher ist es interessant zu wissen, wie alle Informationen abgerufen werden können.
Authentifizierung
InfluxDB könnte eine Authentifizierung erfordern oder auch nicht.
Wenn Sie einen Fehler wie diesen erhalten: ERR: unable to parse authentication credentials
, bedeutet dies, dass es einige Anmeldeinformationen erwartet.
Es gab eine Schwachstelle in InfluxDB, die es ermöglichte, die Authentifizierung zu umgehen: CVE-2019-20933
Manuelle Aufzählung
Die Informationen dieses Beispiels stammen von hier.
Datenbanken anzeigen
Die gefundenen Datenbanken sind telegraf
und internal
(diese findet man überall)
Zeige Tabellen/Messungen
Die InfluxDB-Dokumentation erklärt, dass Messungen in InfluxDB mit SQL-Tabellen verglichen werden können. Die Benennung dieser Messungen gibt Aufschluss über ihren jeweiligen Inhalt, wobei jede Daten enthält, die für eine bestimmte Entität relevant sind.
Zeige Spalten/Feldschlüssel
Die Feldschlüssel sind wie die Spalten der Datenbank
Tabelle ausgeben
Und schließlich können Sie die Tabelle ausgeben, indem Sie etwas Ähnliches tun:
Bei einigen Tests mit der Authentifizierungsumgehung wurde festgestellt, dass der Tabellenname in doppelte Anführungszeichen gesetzt werden musste, z. B.: select * from "cpu"
Automatisierte Authentifizierung
Verwenden Sie Trickest, um mühelos Workflows zu erstellen und zu automatisieren, die von den weltweit fortschrittlichsten Community-Tools unterstützt werden. Heute Zugriff erhalten:
Last updated