5984,6984 - Pentesting CouchDB
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
CouchDB é um banco de dados orientado a documentos versátil e poderoso que organiza dados usando uma estrutura de mapa chave-valor dentro de cada documento. Os campos dentro do documento podem ser representados como pares chave/valor, listas ou mapas, proporcionando flexibilidade no armazenamento e recuperação de dados.
Cada documento armazenado no CouchDB é atribuído a um identificador único (_id) no nível do documento. Além disso, cada modificação feita e salva no banco de dados é atribuída a um número de revisão (_rev). Esse número de revisão permite um rastreamento e gerenciamento eficientes de mudanças, facilitando a recuperação e sincronização de dados dentro do banco de dados.
Porta padrão: 5984(http), 6984(https)
Isso emite uma solicitação GET para a instância do CouchDB instalada. A resposta deve parecer algo como uma das seguintes:
Note que se ao acessar a raiz do couchdb você receber um 401 Unauthorized com algo como: {"error":"unauthorized","reason":"Authentication required."} você não poderá acessar o banner ou qualquer outro endpoint.
Estes são os endpoints onde você pode acessar com uma GET request e extrair algumas informações interessantes. Você pode encontrar mais endpoints e descrições mais detalhadas na documentação do couchdb.
/_active_tasks Lista de tarefas em execução, incluindo o tipo de tarefa, nome, status e ID do processo.
/_all_dbs Retorna uma lista de todos os bancos de dados na instância CouchDB.
/_cluster_setup Retorna o status do nó ou cluster, conforme o assistente de configuração do cluster.
/_db_updates Retorna uma lista de todos os eventos de banco de dados na instância CouchDB. A existência do banco de dados _global_changes é necessária para usar este endpoint.
/_membership Exibe os nós que fazem parte do cluster como cluster_nodes. O campo all_nodes exibe todos os nós que este nó conhece, incluindo os que fazem parte do cluster.
/_scheduler/jobs Lista de trabalhos de replicação. Cada descrição de trabalho incluirá informações de origem e destino, ID de replicação, um histórico de eventos recentes e algumas outras coisas.
/_scheduler/docs Lista de estados de documentos de replicação. Inclui informações sobre todos os documentos, mesmo nos estados completed e failed. Para cada documento, retorna o ID do documento, o banco de dados, o ID de replicação, origem e destino, e outras informações.
/_scheduler/docs/{replicator_db}
/_scheduler/docs/{replicator_db}/{docid}
/_node/{node-name} O endpoint /_node/{node-name} pode ser usado para confirmar o nome do nó Erlang do servidor que processa a solicitação. Isso é mais útil ao acessar /_node/_local para recuperar essa informação.
/_node/{node-name}/_stats O recurso _stats retorna um objeto JSON contendo as estatísticas do servidor em execução. A string literal _local serve como um alias para o nome do nó local, então para todas as URLs de stats, {node-name} pode ser substituído por _local, para interagir com as estatísticas do nó local.
/_node/{node-name}/_system O recurso _system retorna um objeto JSON contendo várias estatísticas de nível de sistema para o servidor em execução_._ Você pode usar ___local como {node-name} para obter informações do nó atual.
/_node/{node-name}/_restart
/_up Confirma que o servidor está ativo, em execução e pronto para responder a solicitações. Se maintenance_mode for true ou nolb, o endpoint retornará uma resposta 404.
/_uuids Solicita um ou mais Identificadores Únicos Universais (UUIDs) da instância CouchDB.
/_reshard Retorna uma contagem de trabalhos concluídos, falhados, em execução, parados e totais, juntamente com o estado de redistribuição no cluster.
Mais informações interessantes podem ser extraídas conforme explicado aqui: https://lzone.de/cheat-sheet/CouchDB
Se essa solicitação responder com um 401 não autorizado, então você precisa de algumas credenciais válidas para acessar o banco de dados:
Para encontrar Credenciais válidas, você poderia tentar fazer brute force no serviço.
Este é um exemplo de uma resposta do couchdb quando você tem privilegios suficientes para listar bancos de dados (É apenas uma lista de dbs):
Você pode obter algumas informações do banco de dados (como número de arquivos e tamanhos) acessando o nome do banco de dados:
Liste cada entrada dentro de um banco de dados
Leia o conteúdo de um documento dentro de um banco de dados:
Graças às diferenças entre os analisadores JSON do Erlang e do JavaScript, você poderia criar um usuário administrador com as credenciais hacktricks:hacktricks com a seguinte solicitação:
Mais informações sobre esta vulnerabilidade aqui.
Exemplo daqui.
Na documentação do CouchDB, especificamente na seção sobre configuração de cluster (link), discute-se o uso de portas pelo CouchDB em modo de cluster. É mencionado que, assim como no modo autônomo, a porta 5984 é utilizada. Além disso, a porta 5986 é para APIs locais do nó e, o mais importante, o Erlang requer a porta TCP 4369 para o Daemon do Mapeador de Portas Erlang (EPMD), facilitando a comunicação entre nós dentro de um cluster Erlang. Essa configuração forma uma rede onde cada nó está interligado a todos os outros nós.
Um aviso de segurança crucial é destacado em relação à porta 4369. Se esta porta for tornada acessível pela Internet ou por qualquer rede não confiável, a segurança do sistema depende fortemente de um identificador único conhecido como "cookie." Este cookie atua como uma salvaguarda. Por exemplo, em uma lista de processos dada, o cookie nomeado "monster" pode ser observado, indicando seu papel operacional na estrutura de segurança do sistema.
Para aqueles interessados em entender como esse "cookie" pode ser explorado para Execução Remota de Código (RCE) no contexto de sistemas Erlang, uma seção dedicada está disponível para leitura adicional. Ela detalha as metodologias para aproveitar cookies Erlang de maneiras não autorizadas para obter controle sobre os sistemas. Você pode explorar o guia detalhado sobre o abuso de cookies Erlang para RCE aqui.
Exemplo daqui.
Uma vulnerabilidade recentemente divulgada, CVE-2018-8007, que afeta o Apache CouchDB, foi explorada, revelando que a exploração requer permissões de escrita no arquivo local.ini. Embora não seja diretamente aplicável ao sistema alvo inicial devido a restrições de segurança, modificações foram feitas para conceder acesso de escrita ao arquivo local.ini para fins de exploração. Passos detalhados e exemplos de código são fornecidos abaixo, demonstrando o processo.
Primeiro, o ambiente é preparado garantindo que o arquivo local.ini seja gravável, verificado listando as permissões:
Para explorar a vulnerabilidade, um comando curl é executado, direcionando a configuração cors/origins em local.ini. Isso injeta uma nova origem juntamente com comandos adicionais na seção [os_daemons], com o objetivo de executar código arbitrário:
A verificação subsequente mostra a configuração injetada em local.ini, contrastando-a com um backup para destacar as mudanças:
Inicialmente, o arquivo esperado (/tmp/0xdf) não existe, indicando que o comando injetado ainda não foi executado. Investigações adicionais revelam que processos relacionados ao CouchDB estão em execução, incluindo um que pode potencialmente executar o comando injetado:
Ao encerrar o processo CouchDB identificado e permitir que o sistema o reinicie automaticamente, a execução do comando injetado é acionada, confirmada pela existência do arquivo anteriormente ausente:
Esta exploração confirma a viabilidade da exploração do CVE-2018-8007 sob condições específicas, notavelmente a exigência de acesso gravável ao arquivo local.ini. Os exemplos de código fornecidos e os passos procedimentais oferecem um guia claro para replicar a exploração em um ambiente controlado.
Para mais detalhes sobre o CVE-2018-8007, consulte o aviso da mdsec: CVE-2018-8007.
Exemplo daqui.
Uma vulnerabilidade conhecida como CVE-2017-12636 foi explorada, que permite a execução de código via o processo CouchDB, embora configurações específicas possam impedir sua exploração. Apesar de numerosas referências de Prova de Conceito (POC) disponíveis online, ajustes são necessários para explorar a vulnerabilidade na versão 2 do CouchDB, diferindo da versão 1.x, comumente visada. Os passos iniciais envolvem verificar a versão do CouchDB e confirmar a ausência do caminho esperado dos servidores de consulta:
Para acomodar a versão 2.0 do CouchDB, um novo caminho é utilizado:
As tentativas de adicionar e invocar um novo servidor de consulta foram encontradas com erros relacionados a permissões, conforme indicado pela seguinte saída:
Uma investigação mais aprofundada revelou problemas de permissão com o arquivo local.ini, que não era gravável. Ao modificar as permissões do arquivo com acesso root ou homer, tornou-se possível prosseguir:
As tentativas subsequentes de adicionar o servidor de consulta foram bem-sucedidas, como demonstrado pela ausência de mensagens de erro na resposta. A modificação bem-sucedida do arquivo local.ini foi confirmada por meio da comparação de arquivos:
O processo continuou com a criação de um banco de dados e um documento, seguido por uma tentativa de executar código através de um mapeamento de visualização personalizado para o novo servidor de consulta adicionado:
Um resumo com uma carga útil alternativa fornece mais informações sobre a exploração da CVE-2017-12636 sob condições específicas. Recursos úteis para explorar essa vulnerabilidade incluem:
port:5984 couchdb
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
