تدقيق CouchDB: التقييم البسيط والواضح لأمان CouchDB

Audit CouchDB هي أداة بسيطة برسالة قوية. عند إعطائها رابط Apache CouchDB، ستخبرك بكل ما تريد معرفته عن أمانه.

الهدف

ستقوم Audit CouchDB بالإجراءات التالية:

1. تعلم كل معلومة ممكنة عن couch، على سبيل المثال:

• ما هو تكوين الخادم؟
• ما هي حسابات المستخدمين الموجودة؟
• ما هي أدوار المستخدمين الموجودة؟
• ما هي قواعد البيانات الموجودة؟
• في كل قاعدة بيانات، ما هو إعداد الأمان؟
• في كل مستند تصميم، ما هي وظائف التحقق؟

2. بالنظر إلى الحقائق، قارنها مع بعضها البعض وحذر إذا كانت تشير إلى مشكلة أمنية، على سبيل المثال:

• من الواضح أنك لم تكلف نفسك عناء النقر على رابط "الأمان" في صفحة قاعدة البيانات في Futon
• تنطبق تنبيهات CVE المنشورة على إصدار CouchDB لديك
• يفتقر مستند التصميم إلى دالة validate_doc_update
• ملخصات مفيدة عن عدد المسؤولين والمستخدمين العاديين والمستخدمين المجهولين الذين يمكنهم الوصول إلى كل قاعدة بيانات

الاستخدام

حاليًا، Audit CouchDB هو تطبيق Node يتم توزيعه عبر NPM. قم بتثبيته (على مستوى النظام) عبر npm.

npm install -g audit_couchdb

بعد ذلك، قم بتشغيل الأداة مع رابط CouchDB الخاص بك كمعامل. يجب أن تتصل كمستخدم مسؤول، حتى يتمكن Audit CouchDB من جلب جميع المعلومات الممكنة (مثل التكوين).

audit_couchdb https://admin:secret@localhost:5984

ستقوم الأداة بإخراج كل ما تعرفه عن أمان couch الخاص بك.

لمعرفة كيفية عمل audit_couchdb، قم بتعيين مستوى السجل إلى debug. سيظهر لك كل استعلام تقوم به أثناء تعلمها الحقائق حول couch الخاص بك.

audit_couchdb --level=debug https://admin:secret@localhost:5984

التشغيل من المتصفح

تم تنفيذ Audit CouchDB كمكتبة، تعتمد على مكتبة request في الخلفية، وواجهة أمامية لعرض المخرجات (إخراج نصي بسيط في وحدة التحكم، أو log4j إذا كان مثبتًا).

لقد قمت مؤخرًا بإعادة تنفيذ request في المتصفح باسم jQuery Request. لذلك أنا متحمس لرؤية Audit CouchDB يعمل على المتصفح، لكنني لم أبدأ هذا العمل بعد.