5984,6984 - Pentesting CouchDB
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
CouchDB is 'n veelsydige en kragtige dokument-georiënteerde databasis wat data organiseer met 'n sleutel-waarde kaart struktuur binne elke dokument. Velde binne die dokument kan voorgestel word as sleutel/waarde pare, lyste, of kaarte, wat buigsaamheid in data stoor en onttrekking bied.
Elke dokument wat in CouchDB gestoor word, word 'n unieke identifiseerder (_id) op dokumentvlak toegeken. Boonop word elke wysiging wat gemaak en in die databasis gestoor word, 'n hervisienommer (_rev) toegeken. Hierdie revisienommer maak doeltreffende opsporing en bestuur van veranderinge moontlik, wat maklike onttrekking en sinchronisasie van data binne die databasis fasiliteer.
Standaard poort: 5984(http), 6984(https)
Dit stuur 'n GET-versoek na die geïnstalleerde CouchDB-instantie. Die antwoord behoort soos een van die volgende te lyk:
Let daarop dat as jy toegang tot die wortel van couchdb verkry en jy 'n 401 Unauthorized ontvang met iets soos: {"error":"unauthorized","reason":"Authentication required."} jy nie in staat sal wees om die banner of enige ander eindpunt te bekom nie.
Hierdie is die eindpunte waar jy toegang kan verkry met 'n GET versoek en 'n paar interessante inligting kan onttrek. Jy kan meer eindpunte en meer gedetailleerde beskrywings in die couchdb dokumentasie vind.
/_active_tasks Lys van lopende take, insluitend die taak tipe, naam, status en proses ID.
/_all_dbs Retourneer 'n lys van al die databasisse in die CouchDB instansie.
/_cluster_setup Retourneer die status van die node of kluster, volgens die kluster opstelling wizard.
/_db_updates Retourneer 'n lys van al die databasis gebeurtenisse in die CouchDB instansie. Die bestaan van die _global_changes databasis is vereis om hierdie eindpunt te gebruik.
/_membership Vertoon die nodes wat deel is van die kluster as cluster_nodes. Die veld all_nodes vertoon al die nodes waarvan hierdie node weet, insluitend diegene wat deel is van die kluster.
/_scheduler/jobs Lys van replikaasietake. Elke taak beskrywing sal bron en teiken inligting insluit, replikaasie id, 'n geskiedenis van onlangse gebeurtenisse, en 'n paar ander dinge.
/_scheduler/docs Lys van replikaasie dokument state. Sluit inligting in oor al die dokumente, selfs in completed en failed state. Vir elke dokument keer dit die dokument ID, die databasis, die replikaasie ID, bron en teiken, en ander inligting terug.
/_scheduler/docs/{replicator_db}
/_scheduler/docs/{replicator_db}/{docid}
/_node/{node-name} Die /_node/{node-name} eindpunt kan gebruik word om die Erlang node naam van die bediener wat die versoek verwerk te bevestig. Dit is die nuttigste wanneer jy toegang tot /_node/_local verkry om hierdie inligting te verkry.
/_node/{node-name}/_stats Die _stats hulpbron retourneer 'n JSON objek wat die statistieke vir die lopende bediener bevat. Die letterlike string _local dien as 'n alias vir die plaaslike node naam, so vir al die stats URL's, kan {node-name} vervang word met _local, om met die plaaslike node se statistieke te kommunikeer.
/_node/{node-name}/_system Die _system hulpbron retourneer 'n JSON objek wat verskeie stelselniveau statistieke vir die lopende bediener bevat. Jy kan ___local as {node-name} gebruik om huidige node inligting te verkry.
/_node/{node-name}/_restart
/_up Bevestig dat die bediener op, lopende, en gereed is om op versoeke te reageer. As maintenance_mode true of nolb is, sal die eindpunt 'n 404 antwoord teruggee.
/_uuids Versoek een of meer Universally Unique Identifiers (UUIDs) van die CouchDB instansie.
/_reshard Retourneer 'n telling van voltooide, mislukte, lopende, gestopte, en totale take saam met die toestand van herskakeling op die kluster.
Meer interessante inligting kan onttrek word soos hier verduidelik: https://lzone.de/cheat-sheet/CouchDB
As die versoek antwoord gee met 'n 401 nie-geautoriseer nie, dan het jy geldige akrediteer nodig om toegang tot die databasis te verkry:
Om geldige Kredensiale te vind, kan jy probeer om die diens te bruteforce.
Dit is 'n voorbeeld van 'n couchdb antwoord wanneer jy genoeg voorregte het om databasisse te lys (Dit is net 'n lys van db's):
Jy kan 'n paar databasisinligting verkry (soos die aantal lêers en groottes) deur toegang te verkry tot die databasenaam:
Lys elke inskrywing binne 'n databasis
Lees die inhoud van 'n dokument binne 'n databasis:
As gevolg van die verskille tussen Erlang en JavaScript JSON parsers, kan jy 'n admin gebruiker skep met die geloofsbriewe hacktricks:hacktricks met die volgende versoek:
Meer inligting oor hierdie kwesbaarheid hier.
Voorbeeld van hier.
In die CouchDB dokumentasie, spesifiek in die afdeling wat cluster opstelling betref (skakel), word die gebruik van poorte deur CouchDB in 'n kluster modus bespreek. Daar word genoem dat, soos in die standalone modus, poort 5984 gebruik word. Boonop is poort 5986 vir node-lokale API's, en belangrik, Erlang vereis TCP poort 4369 vir die Erlang Port Mapper Daemon (EPMD), wat node kommunikasie binne 'n Erlang kluster fasiliteer. Hierdie opstelling vorm 'n netwerk waar elke node met elke ander node verbind is.
'n Belangrike sekuriteitsadvies word beklemtoon rakende poort 4369. As hierdie poort oor die Internet of enige onbetroubare netwerk toeganklik gemaak word, hang die stelsel se sekuriteit sterk af van 'n unieke identifiseerder bekend as die "koekie." Hierdie koekie dien as 'n beskerming. Byvoorbeeld, in 'n gegewe proseslys, kan die koekie met die naam "monster" waargeneem word, wat sy operasionele rol in die stelsel se sekuriteitsraamwerk aandui.
Vir diegene wat belangstel om te verstaan hoe hierdie "cookie" vir Remote Code Execution (RCE) binne die konteks van Erlang-stelsels uitgebuit kan word, is daar 'n toegewyde afdeling beskikbaar vir verdere lees. Dit beskryf die metodologieë om Erlang-cookies op ongeoorloofde maniere te benut om beheer oor stelsels te verkry. U kan die gedetailleerde gids oor die misbruik van Erlang-cookies vir RCE hier verken.
Voorbeeld van hier.
'n Onlangs bekendgemaakte kwesbaarheid, CVE-2018-8007, wat Apache CouchDB raak, is ondersoek, wat onthul dat uitbuiting skrywe-toestemmings tot die local.ini-lêer vereis. Alhoewel dit nie direk van toepassing is op die aanvanklike teikenstelsel nie weens sekuriteitsbeperkings, is daar wysigings aangebring om skrywe-toegang tot die local.ini-lêer vir verkenningsdoeleindes te verleen. Gedetailleerde stappe en kodevoorbeelde word hieronder verskaf, wat die proses demonstreer.
Eerstens, die omgewing word voorberei deur te verseker dat die local.ini-lêer skryfbaar is, wat geverifieer word deur die toestemmings te lys:
Om die kwesbaarheid te benut, word 'n curl-opdrag uitgevoer, wat die cors/origins konfigurasie in local.ini teiken. Dit voeg 'n nuwe oorsprong saam met addisionele opdragte onder die [os_daemons] afdeling in, met die doel om arbitrêre kode uit te voer:
Subsequent verification shows the injected configuration in local.ini, contrasting it with a backup to highlight the changes:
Aanvanklik bestaan die verwagte lêer (/tmp/0xdf) nie, wat aandui dat die ingespuitde opdrag nog nie uitgevoer is nie. Verdere ondersoek toon dat prosesse wat verband hou met CouchDB aan die gang is, insluitend een wat moontlik die ingespuitde opdrag kan uitvoer:
Deur die geïdentifiseerde CouchDB-proses te beëindig en die stelsel toe te laat om dit outomaties te herbegin, word die uitvoering van die ingespotte opdrag geaktiveer, bevestig deur die bestaan van die voorheen ontbrekende lêer:
Hierdie verkenning bevestig die lewensvatbaarheid van CVE-2018-8007 uitbuiting onder spesifieke toestande, veral die vereiste vir skryfbare toegang tot die local.ini-lêer. Die verskafde kodevoorbeelde en prosedurele stappe bied 'n duidelike gids om die uitbuiting in 'n beheerde omgewing te herhaal.
Vir meer besonderhede oor CVE-2018-8007, verwys na die advies deur mdsec: CVE-2018-8007.
Voorbeeld van hier.
'n Kwetsbaarheid bekend as CVE-2017-12636 is verken, wat kode-uitvoering via die CouchDB-proses moontlik maak, alhoewel spesifieke konfigurasies die uitbuiting daarvan kan voorkom. Ten spyte van talle Bewys van Konsep (POC) verwysings wat aanlyn beskikbaar is, is aanpassings nodig om die kwesbaarheid op CouchDB weergawe 2 uit te buit, wat verskil van die algemeen geteikende weergawe 1.x. Die aanvanklike stappe behels die verifikasie van die CouchDB weergawe en die bevestiging van die afwesigheid van die verwagte navraagbedienerspad:
Om CouchDB weergawe 2.0 te akkommodeer, word 'n nuwe pad gebruik:
Pogings om 'n nuwe vrae-bediener by te voeg en aan te roep, is gekonfronteer met toestemming-verwante foute, soos aangedui deur die volgende uitvoer:
Verder ondersoek het toestemmingkwessies met die local.ini-lêer aan die lig gebring, wat nie skryfbaar was nie. Deur die lêer se toestemmings met root of homer-toegang te wysig, het dit moontlik geword om voort te gaan:
Subsequent pogings om die navraagbediener by te voeg, was suksesvol, soos aangetoon deur die gebrek aan foutboodskappe in die antwoord. Die suksesvolle wysiging van die local.ini-lêer is bevestig deur lêervergelyking:
Die proses het voortgegaan met die skep van 'n databasis en 'n dokument, gevolg deur 'n poging om kode uit te voer via 'n pasgemaakte weergawe wat aan die nuut bygevoegde navraagbediener gekoppel is:
A opsomming met 'n alternatiewe payload bied verdere insigte in die ontginning van CVE-2017-12636 onder spesifieke omstandighede. Nuttige hulpbronne vir die ontginning van hierdie kwesbaarheid sluit in:
port:5984 couchdb
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
