Audit CouchDB：简单、清晰的 CouchDB 安全评估

Audit CouchDB 是一个简单的工具，但传递着强大的信息。给定一个 Apache CouchDB URL，它会告诉你所有你一直想知道的关于其安全性的一切。

目标

Audit CouchDB 将执行以下操作：

1. 获取关于该 CouchDB 的每一个可能的事实，例如：

   • 服务器配置是什么？
   • 存在哪些用户账户？
   • 存在哪些用户角色？
   • 存在哪些数据库？
   • 在每个数据库中，安全设置是什么？
   • 在每个设计文档中，存在哪些验证函数？

2. 根据这些事实，相互比较，并在它们暗示安全问题时发出警告，例如：

   • 你显然没有在 Futon 的数据库页面中点击“安全”链接
   • 已发布的 CVE 警报适用于你的 CouchDB 版本
   • 某个设计文档缺少 validate_doc_update 函数
   • 关于每个数据库可以被多少管理员、普通用户和匿名用户访问的有用摘要

使用方法

目前，Audit CouchDB 是一个通过 NPM 分发的 Node 应用程序。通过 npm 全局安装它。

npm install -g audit_couchdb

然后，将你的 CouchDB URL 作为参数运行该工具。你应该以管理员用户身份连接，以便 Audit CouchDB 能够获取所有可能的信息（例如配置）。

audit_couchdb https://admin:secret@localhost:5984

该工具将输出它知道的关于你的 CouchDB 安全性的所有信息。

要查看 audit_couchdb 是如何工作的，将其日志级别设置为 debug。它将显示它在获取关于你 CouchDB 的事实时所进行的每一次查询。

audit_couchdb --level=debug https://admin:secret@localhost:5984

在浏览器中运行

Audit CouchDB 作为一个库实现，依赖于后端的 request 库，以及前端来显示输出（简单的控制台文本输出，或者如果安装了 log4j 则使用它）。

我最近在浏览器中重新实现了 request，即 jQuery Request。因此，我很期待看到 Audit CouchDB 在浏览器中运行，但我尚未开始这项工作。