PosgreSQL 数据库越权手法简要介绍

绿盟科技研究通讯

发布于 2023-09-21 18:30:26

2700

发布于 2023-09-21 18:30:26

文章被收录于专栏：绿盟科技研究通讯绿盟科技研究通讯

一. PosgreSQL概述

PostgreSQL[1]是一种流行的开源关系型数据库管理系统。它提供了标准的SQL语言接口用于操作数据库。本文旨在简要介绍在该数据库下的一些特性及其相关越权手法，并展示函数、权限和扩展三个方面的示例。

PostgreSQL由共享内存、一系列后台进程和数据文件组成[2]。

其中共享内存是服务器为数据库缓存和事务日志预留的内存缓存空间；

进程一般分为主后台驻留进程（Postmaster Process）、后台进程（Background Process）、后端进程（Backend Process）和客户端进程（Client Process），主后台进程是PostgreSQL启动时执行的初始化进程，负责数据库init操作，并且是所有进程的父进程，后台进程处理一些数据库的维护工作，例如日志记录、脏内存写入等，后端进程负责返回一些运行时的内存结构，例如work_mem、temp_buffers等，客户端进程则对应每一个连接的用户；

数据库文件可分成数据库、表空间和表，在执行initdb() 后会创建template0，template1和postgres数据库，template0和template1数据库是创建用户数据库时使用的模版数据库，包含系统元数据表，initdb () 完成后，template0和template1数据库中的表是一样的，但是template1 数据库可以根据用户需要创建对象，用户数据库是通过克隆template1数据库来创建的，表空间分为pg_default和pg_global，建表时如果没有指定特定的表空间，表默认被存在pg_default表空间中，用于管理整个数据库集群的表默认被存储在pg_global 表空间中，每个表有三个数据文件：一个文件用于存储数据，文件名是表 OID，一个文件用于管理表的空闲空间，文件名是OID_fsm，一个文件用于管理表的块是否可见，文件名是OID_vm，索引没有OID_vm文件，只有OID 和OID_fsm 两个文件。

二. 前置知识

2.1

函数

PostgreSQL为内建的数据类型提供了大量的函数和操作符且基本位于系统schema pg_catalog下，数据库建立之初就存在，例如version() 函数返回数据库编译版本信息。这些函数或以C语言或以SQL形式被定义声明，其中函数所有者为数据库初始化的超级用户，默认普通用户对大部分系统函数具备执行权限，除涉及到宿主系统操作函数，例如pg_read_file可以读取系统文件，一般被限定为超级用户可用。需要注意的是定义函数时的SECURITY DEFINER将会使函数执行时以函数拥有者身份执行。

2.2

权限

PostgreSQL的权限控制围绕角色（Role）展开，可分为LOGIN：允许登录、SUPERUSER：拥有超级用户权限、CREATEDB：允许创建database、CREATEROLE：允许创建角色、REPLICATION：允许备份、INHERIT：是否继承权限，允许通过GRANT将其它角色赋予该角色、PASSWORD：指定密码。除此之外数据库建立之初已初始化的一些角色具备不同权限，如图1所示，若用户被赋予了pg_read_server_files权限，则可以读取宿主机文件。随后是对各类数据库对象操作的权限，一般由角色、授权目标、权限三部分组成，所有的权限枚举如图2所示，例如grant usage on schema pg_catalog to xxx。

图1 PostgreSQL数据库初始角色

图2 PostgreSQL数据库权限

2.3

扩展

PostgreSQL数据库能够通过动态载入把用户编写的代码结合到它自身中。用户能够指定一个实现了一个新类型或函数的对象代码文件（例如一个共享库），PostgreSQL将按照要求载入它。Extension一般由描述文件.control、执行文件.sql和相应的库.so或.dll组成，创建extension时会调用执行文件执行相应的SQL语句。一般而言，扩展的执行文件都是安全的，但引入三方扩展可能会带来越权风险。

三. 提权示例

PostgreSQL提权的基本思想在于尝试让超级用户执行特定的代码[3]。本文基于上述前置知识将从函数、权限、扩展三个方面各假定一种场景，描述从这三种情况下进行用户提权的手法。图3和图6描述了将test用户提权成为超级用户的权限表变化。