8086 - Pentesting InfluxDB

Reading time: 4 minutes

Informations de base

InfluxDB est une base de données de séries temporelles (TSDB) open-source développée par InfluxData. Les TSDB sont optimisées pour stocker et servir des données de séries temporelles, qui se composent de paires timestamp-valeur. Par rapport aux bases de données à usage général, les TSDB offrent des améliorations significatives en espace de stockage et en performance pour les ensembles de données de séries temporelles. Elles utilisent des algorithmes de compression spécialisés et peuvent être configurées pour supprimer automatiquement les anciennes données. Des indices de base de données spécialisés améliorent également la performance des requêtes.

Port par défaut : 8086

PORT     STATE SERVICE VERSION
8086/tcp open  http    InfluxDB http admin 1.7.5

Énumération

Du point de vue d'un pentester, c'est une autre base de données qui pourrait stocker des informations sensibles, donc il est intéressant de savoir comment extraire toutes les informations.

Authentification

InfluxDB peut nécessiter une authentification ou non.

# Try unauthenticated
influx -host 'host name' -port 'port #'
> use _internal

Si vous obtenez une erreur comme celle-ci : ERR: unable to parse authentication credentials, cela signifie qu'il s'attend à des identifiants.

influx –username influx –password influx_pass

Il y avait une vulnérabilité InfluxDB qui permettait de contourner l'authentification : CVE-2019-20933

Énumération manuelle

Les informations de cet exemple ont été prises ici.

Afficher les bases de données

Les bases de données trouvées sont telegraf et internal (vous trouverez celle-ci partout)

> show databases
name: databases
name
----
telegraf
_internal

Afficher les tables/mesures

La documentation InfluxDB explique que les mesures dans InfluxDB peuvent être parallèles aux tables SQL. La nomenclature de ces mesures est indicative de leur contenu respectif, chacune contenant des données pertinentes à une entité particulière.

> show measurements
name: measurements
name
----
cpu
disk
diskio
kernel
mem
processes
swap
system

Afficher les clés de colonnes/champs

Les clés de champ sont comme les colonnes de la base de données

> show field keys
name: cpu
fieldKey         fieldType
--------         ---------
usage_guest      float
usage_guest_nice float
usage_idle       float
usage_iowait     float

name: disk
fieldKey     fieldType
--------     ---------
free         integer
inodes_free  integer
inodes_total integer
inodes_used  integer

[ ... more keys ...]

Dump Table

Et enfin, vous pouvez dumper la table en faisant quelque chose comme

select * from cpu
name: cpu
time                cpu       host   usage_guest usage_guest_nice usage_idle        usage_iowait        usage_irq usage_nice usage_softirq        usage_steal usage_system        usage_user
----                ---       ----   ----------- ---------------- ----------        ------------        --------- ---------- -------------        ----------- ------------        ----------
1497018760000000000 cpu-total ubuntu 0           0                99.297893681046   0                   0         0          0                    0           0.35105315947842414 0.35105315947842414
1497018760000000000 cpu1      ubuntu 0           0                99.69909729188728 0                   0         0          0                    0           0.20060180541622202 0.10030090270811101

Authentification Automatisée

msf6 > use auxiliary/scanner/http/influxdb_enum