Audit CouchDB: 简单、清晰的CouchDB安全评估

Audit CouchDB是一个简单的工具，传递着强大的信息。给定一个Apache CouchDB URL，它会告诉你你想知道的所有关于其安全性的信息。

目标

Audit CouchDB将执行以下操作：

1. 了解关于该CouchDB的一切可能事实，例如：

• 服务器配置是什么？
• 存在哪些用户账户？
• 存在哪些用户角色？
• 存在哪些数据库？
• 在每个数据库中，安全设置是什么？
• 在每个设计文档中，验证函数是什么？

2. 根据这些事实，相互对比，并在发现安全隐患时发出警告，例如：

• 你显然没有费心去点击Futon数据库页面中的"安全"链接
• 已发布的CVE警告适用于你的CouchDB版本
• 某个设计文档缺少validate_doc_update函数
• 关于每个数据库有多少管理员、普通用户和匿名用户可以访问的有用摘要

使用方法

目前，Audit CouchDB是一个通过NPM分发的Node应用程序。通过npm全局安装它。

npm install -g audit_couchdb

接下来，将你的CouchDB URL作为参数运行该工具。你应该以管理员用户身份连接，这样Audit CouchDB可以获取所有可能的信息（例如配置）。

audit_couchdb https://admin:secret@localhost:5984

该工具将输出它知道的关于你CouchDB安全性的所有信息。

要查看audit_couchdb是如何工作的，将其日志级别设置为debug。它会在获取关于你CouchDB的事实的同时，显示它发出的每个查询。

audit_couchdb --level=debug https://admin:secret@localhost:5984

从浏览器运行

Audit CouchDB作为一个库实现，依赖于后端的request库，以及前端显示输出（简单的控制台文本输出，或者如果安装了log4j则使用log4j）。

我最近在浏览器中重新实现了request，作为jQuery Request。因此我很兴奋地看到Audit CouchDB在浏览器中运行，不过我还没有开始这项工作。