8086 - Pentesting InfluxDB
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3850298721-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fs712eRnz5qRNRafWqq3N%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5a848438&sv=1)
Koristite Trickest za lako kreiranje i automatizaciju radnih tokova pokretanih najnaprednijim alatima zajednice. Pribavite pristup danas:
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Osnovne informacije
InfluxDB je open-source baza podataka vremenskih serija (TSDB) koju je razvila InfluxData. TSDB-ovi su optimizovani za skladištenje i pružanje podataka vremenskih serija, koji se sastoje od parova vremenskih oznaka i vrednosti. U poređenju sa bazama podataka opšte namene, TSDB-ovi pružaju značajna poboljšanja u prostorima za skladištenje i performansama za skupove podataka vremenskih serija. Koriste specijalizovane algoritme kompresije i mogu biti konfigurisani da automatski uklanjaju stare podatke. Specijalizovani indeksi baza podataka takođe poboljšavaju performanse upita.
Podrazumevani port: 8086
Enumeration
Sa tačke gledišta pentestera, ovo je još jedna baza podataka koja može čuvati osetljive informacije, pa je zanimljivo znati kako izvući sve informacije.
Authentication
InfluxDB može zahtevati autentifikaciju ili ne
Ako dobijete grešku poput ove: ERR: unable to parse authentication credentials
, to znači da očekuje neka akreditivna sredstva.
Postojala je ranjivost u influxdb koja je omogućila zaobilaženje autentifikacije: CVE-2019-20933
Ručna enumeracija
Informacije iz ovog primera su preuzete ovde.
Prikaži baze podataka
Pronađene baze podataka su telegraf
i internal
(ovu ćete pronaći svuda)
Prikaži tabele/mere
The InfluxDB documentation objašnjava da se mere u InfluxDB mogu paralelno posmatrati sa SQL tabelama. Nomenklatura ovih mera je indikativna za njihov sadržaj, svaka sadrži podatke relevantne za određenu entitet.
Prikaži ključeve kolona/polja
Ključevi polja su kao kolone baze podataka
Dump Table
I konačno možete izvršiti dump tabele radeći nešto poput
U nekim testiranjima sa zaobilaženjem autentifikacije primećeno je da ime tabele treba da bude između dvostrukih navodnika kao: select * from "cpu"
Automatizovana Autentifikacija
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3850298721-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fs712eRnz5qRNRafWqq3N%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5a848438&sv=1)
Koristite Trickest da lako izgradite i automatizujete radne tokove pokretane najnaprednijim alatima zajednice. Dobijte pristup danas:
Last updated