تدقيق CouchDB: تقييم أمني بسيط وواضح لـ CouchDB

أداة تدقيق CouchDB هي أداة بسيطة تحمل رسالة قوية. عند إعطائها رابط Apache CouchDB، ستخبرك بكل ما تود معرفته عن أمانه.

الهدف

ستقوم أداة تدقيق CouchDB بالإجراءات التالية:

1. التعرف على كل معلومة ممكنة عن الخادم، على سبيل المثال:

• ما هي إعدادات الخادم؟
• ما هي حسابات المستخدمين الموجودة؟
• ما هي أدوار المستخدمين الموجودة؟
• ما هي قواعد البيانات الموجودة؟
• في كل قاعدة بيانات، ما هي إعدادات الأمان؟
• في كل مستند تصميم، ما هي دوال التحقق من الصحة؟

2. بناءً على هذه المعلومات، مقارنتها ببعضها البعض والتحذير إذا كانت تشير إلى مشكلة أمنية، على سبيل المثال:

• من الواضح أنك لم تكلف نفسك عناء النقر على رابط "الأمان" في صفحة قاعدة البيانات في Futon
• تنبيهات الثغرات الأمنية المنشورة (CVE) تنطبق على إصدار CouchDB الخاص بك
• مستند التصميم يفتقد دالة validate_doc_update
• ملخصات مفيدة حول عدد المسؤولين والمستخدمين العاديين والمستخدمين المجهولين الذين يمكنهم الوصول إلى كل قاعدة بيانات

الاستخدام

حاليًا، أداة تدقيق CouchDB هي تطبيق Node يتم توزيعه عبر NPM. قم بتثبيته (عالميًا) باستخدام npm.

npm install -g audit_couchdb

بعد ذلك، قم بتشغيل الأداة مع رابط CouchDB الخاص بك كوسيط. يُفضل الاتصال كمستخدم مسؤول، حتى تتمكن أداة تدقيق CouchDB من جلب جميع المعلومات الممكنة (مثل الإعدادات).

audit_couchdb https://admin:secret@localhost:5984

ستقوم الأداة بإخراج كل ما تعرفه عن أمان خادمك.

لمعرفة كيفية عمل audit_couchdb، قم بتعيين مستوى التسجيل إلى debug. ستعرض لك كل استعلام تقوم به أثناء تعلمها معلومات عن خادمك.

audit_couchdb --level=debug https://admin:secret@localhost:5984

التشغيل من المتصفح

تم تنفيذ أداة تدقيق CouchDB كمكتبة، تعتمد على مكتبة request من جانب الخلفية، وواجهة أمامية لعرض المخرجات (نص وحدة التحكم البسيط، أو log4j إذا كان مثبتًا).

لقد قمت مؤخرًا بإعادة تنفيذ request في المتصفح كـ jQuery Request. لذلك أنا متحمس لرؤية أداة تدقيق CouchDB تعمل على المتصفح، لكنني لم أبدأ هذا العمل بعد.