В поисках утечек. Как хакеры ищут и угоняют чужие базы данных

Преж­де чем прис­тупать к ата­кам, пред­лагаю разоб­рать­ся, почему они вооб­ще воз­можны и почему жизнь по‑преж­нему ничему не учит адми­нов и про­чих при­час­тных к защите БД.

• По­рог вхож­дения в при­мене­ние сов­ремен­ных БД, как и в IT в целом, сни­жает­ся. Начина­юще­му эни­кей­щику все про­ще попасть на адми­нис­три­рова­ние сер­виса, тре­бующе­го тща­тель­ной и вни­матель­ной нас­трой­ки, да и эле­мен­тарных зна­ний о кон­крет­ном про­дук­те. К счастью таких «инже­неров», но к сожале­нию вла­дель­цев утек­ших дан­ных, мно­гие сетевые сер­висы (нап­ример, базы дан­ных) мож­но раз­вернуть «в один клик». При этом совер­шенно не тре­бует­ся понимать механизм работы и воз­можные угро­зы раз­верты­ваемым сер­висам. И хорошо, если све­жеус­танов­ленная база дан­ных нас­тра­ива­лась хотя бы по инс­трук­ции с пер­вой стра­ницы поис­ковика. А если нет?
• Час­тень­ко авто­риза­цию отклю­чают по сооб­ражени­ям «удобс­тва» работы с дан­ными. В ито­ге наружу тор­чит порт, а неред­ко и интерфейс СУБД, с которым мож­но делать что угод­но. При­ходи — бери что хочешь…
• На­чаль­ство тре­бует сде­лать все мак­сималь­но дешево, так как денег мало и тра­тить их на дос­той­ного спе­ца не хочет­ся. Вот и про­сят дизай­нера Вась­ку накатить и нас­тро­ить БД для ком­пании за чаш­ку кофе. Какая уж тут безопас­ность — хорошо, если хоть пароль пос­тавит.

Та­ким обра­зом, одной из основных при­чин утеч­ки дан­ных слу­жит кри­вору­кость адми­нис­тра­торов небезо­пас­ная кон­фигура­ция СУБД, оставлен­ная в резуль­тате нев­ниматель­нос­ти или же прос­то недос­татка зна­ний.

Самые интересные СУБД

СУБД — это сис­тема управле­ния базами дан­ных, которая обес­печива­ет механизм хра­нения и поис­ка этих самых дан­ных. В даль­нейшем я буду час­то исполь­зовать это сок­ращение.

CouchDB

CouchDB — это база дан­ных с откры­тым исходным кодом, раз­работан­ная прог­рам­мным фон­дом Apache. Клас­сичес­кая NoSQL-база. Написа­на на язы­ке Erlang.

Боль­ше все­го нас инте­ресу­ют спо­собы под­клю­чения:

• порт HTTP API (по умол­чанию — 5984);
• веб‑интерфейс Futon.

Дос­туп к БД реали­зован по про­токо­лу HTTP с исполь­зовани­ем JSON API, что поз­воля­ет обра­щать­ся к дан­ным в том чис­ле из выпол­няемых в бра­узе­ре веб‑при­ложе­ний. Име­ет свой собс­твен­ный гра­фичес­кий веб‑интерфейс (Futon).

Мы же вос­поль­зуем­ся обыч­ным curl. Вот, к при­меру, зап­рос при­ветс­твия:

От­вет рас­ска­жет нам о номере вер­сии, име­ни пос­тавщи­ка и вер­сии прог­рам­мно­го обес­печения:

Что­бы получить спи­сок всех БД на сер­вере, мож­но выпол­нить такой зап­рос:

В ответ мы уви­дим

Здесь _replicator и _users — это стан­дар­тные БД.

В ответ так­же мож­но получить такую ошиб­ку:

Сме­ло идем мимо, здесь ловить нечего. Уро­вень ано­ним­ного дос­тупа нас­тро­ен так, что мы не можем даже уви­деть спи­сок БД на сер­вере, не то что к ним под­клю­чить­ся. Но мож­но поп­робовать науда­чу подоб­рать пароль. Зап­рос на авто­риза­цию выг­лядит сле­дующим обра­зом:

Что­бы под­клю­чить­ся к гра­фичес­кому интерфей­су, нет необ­ходимос­ти ста­вить какое‑либо ПО, дос­таточ­но прос­то в бра­узе­ре перей­ти по такому адре­су:

Что­бы унес­ти дан­ные, мож­но вос­поль­зовать­ся сле­дующим зап­росом:

Ко­неч­но же, пот­ребу­ется под­нять сер­вер CouchDB на локаль­ной машине. Впро­чем, было бы стран­но, если бы его у тебя не было, раз уж ты соб­рался работать с этой базой.