5984,6984 - Pentesting CouchDB
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
CouchDB è un database orientato ai documenti versatile e potente che organizza i dati utilizzando una struttura a mappa chiave-valore all'interno di ogni documento. I campi all'interno del documento possono essere rappresentati come coppie chiave/valore, liste o mappe, fornendo flessibilità nello stoccaggio e nel recupero dei dati.
Ogni documento memorizzato in CouchDB è assegnato a un identificatore unico (_id) a livello di documento. Inoltre, ogni modifica apportata e salvata nel database è assegnata a un numero di revisione (_rev). Questo numero di revisione consente un tracciamento e una gestione efficienti delle modifiche, facilitando il recupero e la sincronizzazione dei dati all'interno del database.
Porta predefinita: 5984(http), 6984(https)
Questo emette una richiesta GET all'istanza CouchDB installata. La risposta dovrebbe apparire simile a una delle seguenti:
Nota che se accedendo alla radice di couchdb ricevi un 401 Unauthorized con qualcosa del tipo: {"error":"unauthorized","reason":"Authentication required."} non sarai in grado di accedere al banner o a qualsiasi altro endpoint.
Questi sono gli endpoint a cui puoi accedere con una GET richiesta ed estrarre alcune informazioni interessanti. Puoi trovare ulteriori endpoint e descrizioni più dettagliate nella documentazione di couchdb.
/_active_tasks Elenco dei task in esecuzione, inclusi il tipo di task, nome, stato e ID del processo.
/_all_dbs Restituisce un elenco di tutti i database nell'istanza CouchDB.
**/_cluster_setup**Restituisce lo stato del nodo o del cluster, secondo la procedura guidata di configurazione del cluster.
/_db_updates Restituisce un elenco di tutti gli eventi del database nell'istanza CouchDB. L'esistenza del database _global_changes è necessaria per utilizzare questo endpoint.
/_membership Mostra i nodi che fanno parte del cluster come cluster_nodes. Il campo all_nodes mostra tutti i nodi di cui questo nodo è a conoscenza, inclusi quelli che fanno parte del cluster.
/_scheduler/jobs Elenco dei lavori di replicazione. Ogni descrizione del lavoro includerà informazioni su sorgente e destinazione, ID di replicazione, una cronologia degli eventi recenti e alcune altre informazioni.
/_scheduler/docs Elenco degli stati dei documenti di replicazione. Include informazioni su tutti i documenti, anche in stati completati e falliti. Per ogni documento restituisce l'ID del documento, il database, l'ID di replicazione, sorgente e destinazione, e altre informazioni.
/_scheduler/docs/{replicator_db}
/_scheduler/docs/{replicator_db}/{docid}
/_node/{node-name} L'endpoint /_node/{node-name} può essere utilizzato per confermare il nome del nodo Erlang del server che elabora la richiesta. Questo è particolarmente utile quando si accede a /_node/_local per recuperare queste informazioni.
/_node/{node-name}/_stats La risorsa _stats restituisce un oggetto JSON contenente le statistiche per il server in esecuzione. La stringa letterale _local funge da alias per il nome del nodo locale, quindi per tutti gli URL delle statistiche, {node-name} può essere sostituito con _local, per interagire con le statistiche del nodo locale.
/_node/{node-name}/_system La risorsa _system restituisce un oggetto JSON contenente varie statistiche a livello di sistema per il server in esecuzione_._ Puoi usare ___local come {node-name} per ottenere informazioni sul nodo corrente.
/_node/{node-name}/_restart
/_up Conferma che il server è attivo, in esecuzione e pronto a rispondere alle richieste. Se maintenance_mode è true o nolb, l'endpoint restituirà una risposta 404.
**/_uuids**Richiede uno o più Identificatori Universali Unici (UUID) dall'istanza CouchDB.
**/_reshard**Restituisce un conteggio dei lavori completati, falliti, in esecuzione, fermati e totali insieme allo stato di resharing sul cluster.
Ulteriori informazioni interessanti possono essere estratte come spiegato qui: https://lzone.de/cheat-sheet/CouchDB
Se quella richiesta risponde con un 401 non autorizzato, allora hai bisogno di alcune credenziali valide per accedere al database:
Per trovare credenziali valide, potresti provare a forzare il servizio.
Questo è un esempio di una risposta di couchdb quando hai sufficienti privilegi per elencare i database (È solo un elenco di db):
Puoi ottenere alcune informazioni sul database (come il numero di file e le dimensioni) accedendo al nome del database:
Elenca ogni voce all'interno di un database
Leggi il contenuto di un documento all'interno di un database:
Grazie alle differenze tra i parser JSON di Erlang e JavaScript, potresti creare un utente admin con le credenziali hacktricks:hacktricks con la seguente richiesta:
Ulteriori informazioni su questa vulnerabilità qui.
Esempio da qui.
Nella documentazione di CouchDB, specificamente nella sezione riguardante la configurazione del cluster (link), si discute dell'uso delle porte da parte di CouchDB in modalità cluster. Si menziona che, come nella modalità standalone, viene utilizzata la porta 5984. Inoltre, la porta 5986 è per le API locali del nodo e, cosa importante, Erlang richiede la porta TCP 4369 per il Daemon del Mappatore di Porte Erlang (EPMD), facilitando la comunicazione tra i nodi all'interno di un cluster Erlang. Questa configurazione forma una rete in cui ogni nodo è interconnesso con ogni altro nodo.
Un'importante avviso di sicurezza è evidenziato riguardo alla porta 4369. Se questa porta è resa accessibile su Internet o su qualsiasi rete non affidabile, la sicurezza del sistema si basa fortemente su un identificatore unico noto come "cookie." Questo cookie funge da salvaguardia. Ad esempio, in un dato elenco di processi, potrebbe essere osservato il cookie chiamato "monster", indicando il suo ruolo operativo nel framework di sicurezza del sistema.
Per coloro che sono interessati a comprendere come questo "cookie" possa essere sfruttato per l'Esecuzione Remota di Codice (RCE) nel contesto dei sistemi Erlang, è disponibile una sezione dedicata per ulteriori letture. Essa dettaglia le metodologie per sfruttare i cookie Erlang in modi non autorizzati per ottenere il controllo sui sistemi. Puoi esplorare la guida dettagliata sull'abuso dei cookie Erlang per RCE qui.
Esempio da qui.
Una vulnerabilità recentemente divulgata, CVE-2018-8007, che colpisce Apache CouchDB è stata esplorata, rivelando che lo sfruttamento richiede permessi di scrittura sul file local.ini. Sebbene non sia direttamente applicabile al sistema target iniziale a causa delle restrizioni di sicurezza, sono state apportate modifiche per concedere accesso in scrittura al file local.ini per scopi di esplorazione. Di seguito sono forniti passaggi dettagliati e esempi di codice che dimostrano il processo.
Innanzitutto, l'ambiente viene preparato assicurandosi che il file local.ini sia scrivibile, verificato elencando i permessi:
Per sfruttare la vulnerabilità, viene eseguito un comando curl, mirato alla configurazione cors/origins in local.ini. Questo inietta un nuovo origin insieme a comandi aggiuntivi sotto la sezione [os_daemons], con l'obiettivo di eseguire codice arbitrario:
La verifica successiva mostra la configurazione iniettata in local.ini, confrontandola con un backup per evidenziare le modifiche:
Inizialmente, il file previsto (/tmp/0xdf) non esiste, indicando che il comando iniettato non è stato ancora eseguito. Ulteriori indagini rivelano che i processi relativi a CouchDB sono in esecuzione, incluso uno che potrebbe potenzialmente eseguire il comando iniettato:
Terminando il processo CouchDB identificato e permettendo al sistema di riavviarlo automaticamente, viene attivata l'esecuzione del comando iniettato, confermata dall'esistenza del file precedentemente mancante:
Questa esplorazione conferma la fattibilità dello sfruttamento di CVE-2018-8007 in condizioni specifiche, in particolare il requisito di accesso in scrittura al file local.ini. Gli esempi di codice forniti e i passaggi procedurali offrono una guida chiara per replicare l'exploit in un ambiente controllato.
Per ulteriori dettagli su CVE-2018-8007, fare riferimento all'avviso di mdsec: CVE-2018-8007.
Esempio da qui.
È stata esplorata una vulnerabilità nota come CVE-2017-12636, che consente l'esecuzione di codice tramite il processo CouchDB, sebbene configurazioni specifiche possano impedire il suo sfruttamento. Nonostante numerosi riferimenti a Proof of Concept (POC) disponibili online, sono necessarie modifiche per sfruttare la vulnerabilità sulla versione 2 di CouchDB, diversa dalla versione 1.x comunemente presa di mira. I passaggi iniziali prevedono la verifica della versione di CouchDB e la conferma dell'assenza del percorso dei server di query previsto:
Per adattarsi alla versione 2.0 di CouchDB, viene utilizzato un nuovo percorso:
I tentativi di aggiungere e invocare un nuovo server di query sono stati accolti con errori relativi ai permessi, come indicato dal seguente output:
Ulteriore indagine ha rivelato problemi di autorizzazione con il file local.ini, che non era scrivibile. Modificando i permessi del file con accesso root o homer, è stato possibile procedere:
I tentativi successivi di aggiungere il server di query hanno avuto successo, come dimostrato dall'assenza di messaggi di errore nella risposta. La modifica riuscita del file local.ini è stata confermata attraverso il confronto dei file:
Il processo è continuato con la creazione di un database e di un documento, seguito da un tentativo di eseguire codice tramite una mappatura di vista personalizzata al nuovo server di query aggiunto:
A riassunto con un payload alternativo fornisce ulteriori informazioni su come sfruttare CVE-2017-12636 in condizioni specifiche. Risorse utili per sfruttare questa vulnerabilità includono:
port:5984 couchdb
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
