CVE-2025-45346 – Bacula-Web 基于时间的SQL注入（PostgreSQL版本提取）

📝 概述

漏洞名称：Bacula-Web 基于时间的盲SQL注入
产品：Bacula-Web
受影响版本：已确认支持 PostgreSQL 后端的版本
CVE ID：CVE-2025-45346
严重程度：高
攻击向量：远程
影响：任意SQL执行、信息泄露

🧨 描述

此概念验证（PoC）展示了 Bacula-Web 中 jobfiles 端点的一个 基于时间的盲SQL注入 漏洞。
远程攻击者可利用此缺陷，通过 pg_sleep() 函数触发延迟，从而从底层 PostgreSQL 数据库中提取信息（包括数据库版本）。

🚀 功能

• 通过时间延迟测试确认 SQL 注入的存在
• 自动逐字符提取 PostgreSQL 版本
• 使用 URL 编码的载荷以实现精准注入
• 在版本提取期间打印实时进度

📌 用法

⚙️ 环境要求

• Python 3.x
• requests 库（pip install requests）

🔧 配置

编辑脚本并设置：

base_url = "http://baculaweb.domain/jobfiles/29/1/"
cookies = {"Bacula-Web": "REPLACEME"}

替换：

• base_url 为你的 Bacula-Web 目标 URL
• REPLACEME 为你的有效 Bacula-Web 会话 Cookie

🏃 运行脚本

python3 extract_pgsql_version.py

🧾 利用流程

1. 发送一个包含 pg_sleep(2) 的良性 SQL 载荷以验证注入存在。
2. 若服务器响应耗时约2秒，脚本将开始提取版本。
3. 使用 SUBSTRING() 循环遍历 PostgreSQL 版本字符串的位置，并逐个字符比较。
4. 基于延迟的检测确定正确字符。

🔐 影响

• 向远程攻击者暴露敏感数据库信息
• 可能被用于链式开展进一步的基于 SQL 的利用
• 破坏用户对备份作业可视性 Web 界面的信任

🛡️ 缓解措施

• 对 jobfiles 路由应用输入验证
• 在后端逻辑中使用参数化查询
• 将 Bacula-Web 升级到最新的已修补版本（可用时）

👨‍💻 发现者

安全研究员 – Kevin Suckiel -- 0xsu3ks
CVE-2025-45346 的 PoC 通过负责任披露渠道公开。

⚠️ 法律声明

本工具仅供授权的测试与研究目的使用。
作者不对任何未经授权使用或滥用此 PoC 的行为负责。