3

你指着大佬一个个字母敲来复现？哈哈哈哈

5

1.不要开放外网
2.勤升级，他们团队一周一个补丁不是闹着玩的

6

@Rwing gitlab 的安全性这么感人的吗？安排升级操作了，但想知道怎么死也没办法？

7

既然没人用流水线，就把 runner 服务关掉吧，没那么多事

8

@jay4497 怎样关闭 runner 服务？目前只是各个项目里面关闭了流水线功能。

9

@jay4497 但我对这个命令是不是流水线作为入口，进行注入并执行的，也不太确定，找不到任何的蛛丝马迹。

10

13

14

@polaa 想知道怎样获取这些信息，以及如何更新小版本？网上看到更新的方法，都是备份，然后重装？

15

官网都有吧

16

看了下应该大概能给你复原出来攻击场景，首先你的 gitlab 应该是开放了注册或者有人有弱口令。之后攻击者创建或是修改了某个仓库，并在其中加入了.gitlab-ci.yml 。然后触发了 ci 操作。因为你 gitlab 和 gitlab runner 都在一个机器上部署。所以 runmer 是可以访问到本机的 pgsql 的。攻击者在 runner 的 ci 脚本里写了那句 sh -c xxxx 。在 4 楼的解码后也可以看到攻击者创建了一个名为 dexbcx 的管理员用户。后续的攻击动作因为没提供更多信息就不得而知了。
也有可能整个事情是个误报。你只是想创建一个名为 dexbcx 的管理员用户。结果 gitlab 对创建用户的底层实现是通过 sh -c 的形式运行命令(这条感觉不太可能)

17

个人觉得这是一个安全配置问题。并不算是有漏洞。安全缺陷和漏洞是两码事。不过还是建议你们内部自查一下弱口令这些。还有相应的权限管控。

18

@yw9381 没有开放注册。如果必须要通过上传或修改一个.gitlab-ci.yml 文件的话，是不是我能在每个项目中找回这个记录？

19

@polaa 在官网逛了很久，确实没找到，麻烦大佬贴一下路径，或者链接？

20

@yw9381 补充一下，我逐个项目看，找不到.gitlab-ci.yml 文件，以及在 /var/opt/gitlab/git-data/repositories 路径中，find ./ -name "*gitlab*"，找不到。

21

22

@polaa 怪不得我看 gitlab 的访问日志中，超多类似“{domain}/项目组名 /项目名字.git/info/refs?service=git-upload-pack”的路径访问，而且 IP 都是境外！
另外想问一下，我现在的 13.10.2，我是应该升级到 13.12.9，还是 14 的最新版本呢？

26

就创建了一个管理员级别的用户。然后估计可以为所欲为了。反正 git 的 repo 应该都被查看过了。
如果习惯好的话，只是代码泄露，应该还好。

27

暴露在公网的服务如果没有额外的保护措施就必须跟最新版本走，有任何安全更新必须立即更新，要不然就很容易被批量攻击拿下…

28

@zhighest 我简单解读一下，任意账号密码 get 请求一下{domain}/users/sign_in，获得一个 token，然后尝试拿 token 去尝试 post 请求这个地址正式登录，如果成功，就继续创建包含命令的图片，并尝试上传到{domain}/uploads/user 。如果是这样的话，我是否能在服务器里面的哪个地方找到上传的图呢？

29

@zhighest 另外，大佬贴的后面两张图是啥意思？大佬也遇到这个情况了？有个访问 IP 跟我这边的一模一样哦！~

31

gitlab 不同版本各种漏洞，技术支持力度不够的话，自建自管理风险真还挺高的。。。国内的话可以考虑下阿里腾讯的公有云服务，至少有人给兜底。