Hackerlar için PostgreSQL

Herkese hayırlı geceler.(01:10) Hepimizin bildiği veritabanı sistemi olan PostreSql’den ve hackerların PostgreSql veritabanına saldırma yöntemlerinden bahsedecem. Öncelikle PostreSql’den bahsedelim.

PostgreSQL; sql standartlarına uygun, açık kaynak kodlu ve ücretsiz, ilişkisel bir veritabanı yönetim sistemidir. Hemen hemen bütün Unix türevi işletim sistemlerinde ve NT çekirdekli Windows sistemlerde çalışır.

Şimdi PostgreSql veritabanı default şifrelerinden bahsedelim. Default olarak kullanıcı adı ve şifre postgres olarak gelir ama bazen brute force(kaba kuvvet) saldırıları yapmanız gerekebilir. Aşağıda alternatif kullanıcı adı ve şifreler listesini görmektesiniz.

  • postgres : postgres
  • postgres : password
  • postgres : admin
  • admin : admin
  • admin : password

PostgreSql saldırıları içinde meşhur framework’umuz olan Metasploit’te modüller bulunmaktadır. Birkaçına örnek verecek olursak:

Veritabanı ve Kullanıcı Bilgilerini Bulmak için:

Aşağıdaki Metasploit modülü, kaba kuvvet saldırısı gerçekleştirerek kimlik bilgilerinin keşfedilmesine yardımcı olabilir:

Postgres_readfile Modülü:

Postgres_readfile modülü, geçerli kimlik bilgileri sağlandığında (örneğin bir PostgreSQL sunucu için hesap bilgileri tanımlandığında), sunucu da ki dosyaları okuma ve seçtiğiniz dosyaları okumamızı sağlar.

Modülü yapılandırmak için, PASSWORD ve RHOST değerlerini ayarlıyoruz , RFILE’yi okumak istediğimiz dosya olarak ayarlıyoruz ve modülün çalışmasına izin veriyoruz.

Postgres_sql Modulü

Postgres_sql modülü, geçerli kimlik bilgileriyle sağlandığında bir PostgreSQL sunucu için, sizin seçtiğiniz sorguları gerçekleştirerek istediğiniz bilgileri size getirir.

Veritabanı Erişimi

Linux dağıtımları , kullanıcı adı ve parola biliniyorsa, kullanıcının bir PostgreSQL veritabanı ile kimlik doğrulamasına izin veren psql yardımcı programını içerir.

Parola Hash’lerini Alma

Sistemde yetki seviyesine sahipseniz (yönetici) sunucuda ki diğer parolaları da aşağıda ki modülü kullanarak alabilirsiniz.

veya veritabanına manuel bağlanarakta alabilirsiniz.

Veritabanını İndirme (Dump)

Veritabanını indirmek istersek linux’ta aşağıdaki komutla indirebilirsiniz.

Veritabanını da dump ettiğimize göre anlatacak birşey kalmadı. Metasploit’te diğer modüllere göre ilerleryen günlerde güncellerim.  Eklemek istediğiniz bilgi olursa yorum yapabilirsiniz 🙂 Başka yazıda görüşmek üzere 🙂

Bunlara da bakmak isteyebilirsin ;)