搜索

[11279] 2017-04-26_PostgreSQL管理工具pgAdmin4中XSS漏洞的发现和利用

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2017-04-26_PostgreSQL管理工具pgAdmin4中XSS漏洞的发现和利用 P o s t g r e S Q L 管 理 工 具 p g A d m i n   4 中 X S S 漏 洞 的 发 现 和 利 用 鸢 尾   F r e e B u f   2 0 1 7 - 0 4 - 2 6 本 文 我 将 给 大 家 讲 述 我 是 如 何 发 现 及 利 用 p g A d m i n 4 桌 面 客 户 端 中 的 X S S 漏 洞 。 在 看 完 本 文 之 后 ， 请 尽 快 升 级 到 1 . 4 版 本 。 前 言 由 于 我 一 只 手 误 触 到 新 M a c B o o k P r o 上 那 大 得 离 谱 的 触 摸 板 ， p g A d m i n   4 页 面 不 断 放 大 缩 小 。 这 让 我 开 始 思 索 p g A d m i n   4 是 否 为 W e b 应 用 。 如 果 这 是 一 个 W e b 应 用 ( 当 时 的 我 并 没 有 那 么 肯 定 ) ， 我 们 是 否 可 以 尝 试 进 行 攻 击 呢 ？ 我 第 一 件 事 做 的 就 是 进 行 简 单 的 i n s e r t 以 及 s e l e c t 操 作 。 出 乎 预 料 的 是 ， 竟 然 能 够 完 成 操 作 ！
这 也 意 味 着 p g A d m i n   4 用 户 可 以 查 看 不 可 信 数 据 ( 主 要 是 来 自 W e b 应 用 的 任 意 数 据 ) ， 也 即 存 在 注 入 攻 击 漏 洞 。 接 下 来 得 找 一 个 方 法 在 获 得 的 上 下 文 中 完 成 一 些 有 趣 的 事 情 。 我 们 必 须 要 注 意 到 2 件 事 ， 一 是 环 境 对 我 们 的 限 制 ， 二 是 在 正 常 环 境 下 应 用 程 序 是 如 何 执 行 各 种 操 作 的 ( 即 它 是 如 何 进 行 查 询 操 作 的 ) 。 第 一 次 失 败 我 有 尝 试 使 用 B e E F 中 强 大 的 h o o k 脚 本 ， 但 是 它 未 能 返 回 连 接 。 我 这 个 人 很 不 耐 烦 ， 果 断 放 弃 了 这 个 相 对 来 说 十 分 快 速 的 方 法 ， 转 而 使 用 更 简 单 可 靠 的 ( 但 是 比 较 慢 ) 的 a l e r t 对 该 A p p 进 行 黑 盒 测 试 。 尽 管 我 有 其 源 代 码 ， 但 我 想 真 正 理 解 代 码 执 行 时 的 环 境 约 束 。 对 环 境 观 察 了 一 段 时 间 之 后 发 现 ， 如 果 可 以 找 到 任 意 一 个 全 局 变 量 或 者 属 于 窗 口 的 对 象 ， 或 许 对 于 我 们 想 像 用 户 般 执 行 操 作 会 有 帮 助 。 然 而 一 无 所 获 ， 大 约 1 5 分 钟 后 我 就 放 弃 了 。 构 造 一 个 查 询 语 句 构 造 一 个 查 询 语 句 得 知 该 应 用 程 序 可 以 进 行 查 询 操 作 ， 我 仅 仅 只 需 要 弄 清 楚 它 是 如 何 实 现 的 就 可 以 了 。 我 弹 出 w i n d o w . l o c a t i o n 获 取 到 监 听 服 务 的 端 口 ， 之 后 使 用 t c p d u m p 进 行 抓 包 。
将 本 机 通 信 流 量 记 录 下 之 后 我 执 行 了 如 下 查 询 ： t c p d u m p   - v v n n i   l o 0   - w   p g a d m i n . p c a p   p o r t   5 3 1 0 8 这 使 得 我 获 得 由 l o c a l h o s t : 5 3 1 0 8 发 起 的 各 种 各 样 的 A P I 调 用 。 通 过 数 据 包 抓 取 获 得 的 细 节 这 里 就 不 在 过 多 阐 述 。 对 于 查 询 操 作 ， 我 将 其 缩 小 为 4 个 步 骤 来 执 行 ： 第 二 次 失 败 我 认 为 对 本 地 服 务 执 行 C S R F 攻 击 或 许 有 的 玩 ， 但 事 实 证 明 p g A d m i n 每 次 启 动 端 口 都 会 改 变 ， 此 外 还 会 请 求 一 个 t o k e n 令 牌 进 行 设 置 ， 就 目 前 来 看 我 们 没 得 玩 啊 。 E x p l o i t 以 下 为 可 用 的 e x p l o i t 以 及 进 行 查 询 之 后 将 结 果 发 送 到 r e q u e s t b . i n 的 演 示 视 频 。 h t t p s : / / y o u t u . b e / 3 D w p z 5 I Y s C g
代 码 执 行
做 人 如 果 没 有 梦 想 就 跟 咸 鱼 有 什 么 分 别 ！ 各 位 看 客 都 看 到 这 里 了 ， 我 们 就 来 搞 搞 R C E 如 何 ？ 如 果 连 接 到 数 据 库 的 用 户 有 些 权 限 ， 执 行 以 下 3 个 请 求 将 会 帮 助 你 获 得 一 个 非 常 不 错 的 s h e l l ： 1 、 使 用 P y t h o n 语 言 c r e a t e   l a n g u a g e   p l p y t h o n u 2 、 创 建 一 个 调 用 函 数 ， 你 也 可 以 将 其 放 进 上 面 的 P o C 中 ： 3 、 执 行 函 数 s e l e c t   p w n ( ) 时 间 线 0 3 - 1 6 - 2 0 1 7   –   发 现 问 题 0 3 - 1 7 - 2 0 1 7   –   构 造 e x p l o i t 0 3 - 1 7 - 2 0 1 7   –   向 s e c u r i t y @ p o s t g r e s q l . o r g 进 行 报 告 0 3 - 2 0 - 2 0 1 7   –   D a v e   P a g e 确 认 漏 洞 0 3 - 3 1 - 2 0 1 7   –   约 一 周 后 更 新 版 本 0 4 - 1 0 - 2 0 1 7   –   公 布 补 丁 * 参 考 来 源 ： l i f t s e c u r i t y ， F B 小 编   鸢 尾   编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理