1. 树叶云首页
  2. 技术资讯

当git遇上ssh——CVE-2017-1000117漏洞浅析

运维••技术资讯

Git是一个开源的分布式版本控制系统，主要用于项目管理。

而SSH是一种应用层的安全通信协议，最常用的就是为通信双方在在不安全网络上提供安全的远程登录。

当他们二者相遇会发生什么有趣的事呢?这里以CVE-2017-1000117漏洞为例，简要剖析该漏洞的成因及防护方法。

漏洞相关信息：

版本控制软件爆出远程命令执行漏洞 涉及Git、SVN、Mercurial、CVS版本控制

简述：几个流行的版本控制系统受到可能严重的远程命令执行漏洞的影响。受影响产品的开发人员本周发布了更新补丁来修补安全漏洞。该缺陷影响版本控制软件, 如 Git (CVE-2017-1000117)、Apache Subversion (CVE-2017-9800)、Mercurial (CVE-2017-1000116) 和 CVS。由于CVS 系统上次更新已经是9年前的事情了, 因此没有为它分配 CVE 标识符。

背景知识

ssh客户端登录时，有一个ProxyCommand选项，该选项的指定链接服务器时执行的命令。

  1. ProxyCommand 
  2.  
  3.    Specifies the command to use to connect to the server.  The 
  4.  
  5.    command string extends to the end of the line, and is executed 
  6.  
  7.    with the user’s shell.  In the command string, any occurrence 
  8.  
  9.    of ‘%h’ will be substituted by the host name to connect,‘%p’ 
  10.  
  11.    by the port, and ‘%r’ by the remote user name. 

该选项常用的场景是通过代理服务器与目标机器相连，因此被称作ProxyCommand，如下图。

本地的机器(Local)无法直接与目标机器(Target)相连，必须通过一个代理机器(Proxy)才能和目标机器建立连接。此场景多见于企业或有较强访问控制的需求的地方。

因此在这种情况下，ssh客户端可以采用ProxyCommand选项，通过下面命令最终和目标机器建立连接。

  1. ssh -o ProxyCommand=’ssh user@proxy nc %h 22′ user@Target 

加上ProxyCommand选项后。ssh客户端会先用当前用户的shell执行ProxyCommand中的内容。

例如下面的命令，在Linux桌面环境中执行，就会弹出gedit文本编辑器。

  1. ssh -oProxyCommand=gedit user@Target 

即便最后的user@hostname不合法，也不会影响ProxyCommand中先执行的命令，照样可以弹出gedit。

好了介绍完了ProxyCommand，可以理解为这个选项如处理不当，是可以进行命令注入的!

CVE-2017-1000117漏洞

CVE-2017-1000117这个漏洞就是没有正确处理ssh链接的请求，导致受害人通过Git版本控制系统，访问恶意链接时，存在安全隐患，一旦黑客攻击成功，可在受害人机器上执行任意命令。

git clone是Git版本控制系统中常用的将远程仓库克隆到本地的命令。当使用git clone访问下面的恶意ssh链接时，会在本地执行命令，弹出gedit。

  1. git clone ssh://-oProxyCommand=”gedit /tmp/xxx” 

下面我们来详细看一看其中的过程，当git遇上ssh后，最终是如何触发这个漏洞执行的。

 

git客户端在执行上面的命令后，通过一系列的参数解析后，进入git_connect函数，向git的服务端建立连接。

  1. struct child_process *git_connect(int fd[2], const char *url, 
  2. const char *prog, int flags) 
  3.  
  4. { 
  5.  
  6. char *hostandport, *path; 
  7.  
  8. struct child_process *conn = &no_fork; 
  9.  
  10. enum protocol protocol; 
  11.  
  12. struct strbuf cmd = STRBUF_INIT; 
  13.  
  14.   
  15.  
  16. /* Without this we cannot rely on waitpid() to tell 
  17.  
  18. * what happened to our children. 
  19.  
  20. */ 
  21.  
  22. signal(SIGCHLD, SIG_DFL); 
  23.  
  24.   
  25.  
  26. protocol = parse_connect_url(url, &hostandport, &path); 
  27.  
  28. if ((flags & CONNECT_DIAG_URL) && (protocol != PROTO_SSH)) { 
  29.  
  30. printf(“Diag: url=%s\n”, url ? url : “NULL”); 
  31.  
  32. printf(“Diag: protocol=%s\n”, prot_name(protocol)); 
  33.  
  34. printf(“Diag: hostandport=%s\n”, hostandport ? hostandport : “NULL”); 
  35.  
  36. printf(“Diag: path=%s\n”, path ? path : “NULL”); 
  37.  
  38. conn = NULL; 
  39.  
  40. } else if (protocol == PROTO_GIT) { 
  41.  
  42. ….. 
  43.  
  44. } else { 
  45.  
  46. conn = xmalloc(sizeof(*conn)); 
  47.  
  48. child_process_init(conn); 
  49.  
  50.   
  51.  
  52. strbuf_addstr(&cmd, prog); 
  53.  
  54. strbuf_addch(&cmd, ‘ ‘); 
  55.  
  56. sq_quote_buf(&cmd, path); 
  57.  
  58.   
  59.  
  60. /* remove repo-local variables from the environment */ 
  61.  
  62. conn->env = local_repo_env; 
  63.  
  64. conn->use_shell = 1; 
  65.  
  66. conn->in = conn->out = -1; 
  67.  
  68. if (protocol == PROTO_SSH) { 
  69.  
  70. const char *ssh; 
  71.  
  72. int putty = 0, tortoiseplink = 0; 
  73.  
  74. char *ssh_host = hostandport; 
  75.  
  76. const char *port = NULL; 
  77.  
  78. transport_check_allowed(“ssh”); 
  79.  
  80. get_host_and_port(&ssh_host, &port); 
  81.  
  82.   
  83.  
  84. if (!port) 
  85.  
  86. port = get_port(ssh_host); 
  87.  
  88.   
  89.  
  90. ssh = getenv(“GIT_SSH_COMMAND”); 
  91.  
  92. if (!ssh) { 
  93.  
  94. const char *base; 
  95.  
  96. char *ssh_dup; 
  97.  
  98. /* 
  99.  
  100. * GIT_SSH is the no-shell version of 
  101.  
  102. * GIT_SSH_COMMAND (and must remain so for 
  103.  
  104. * historical compatibility). 
  105.  
  106. */ 
  107.  
  108. conn->use_shell = 0; 
  109.  
  110.   
  111.  
  112. ssh = getenv(“GIT_SSH”); 
  113.  
  114. if (!ssh) 
  115.  
  116. ssh = “ssh”; 
  117.  
  118.   
  119.  
  120. ssh_dup = xstrdup(ssh); 
  121.  
  122. base = basename(ssh_dup); 
  123.  
  124.   
  125.  
  126. free(ssh_dup); 
  127.  
  128. } 
  129.  
  130.   
  131.  
  132. argv_array_push(&conn->args, ssh); 
  133.  
  134.   
  135.  
  136. if (port) { 
  137.  
  138. /* P is for PuTTY, p is for OpenSSH */ 
  139.  
  140. argv_array_push(&conn->args, putty ? “-P” : “-p”); 
  141.  
  142. argv_array_push(&conn->args, port); 
  143.  
  144. } 
  145.  
  146. argv_array_push(&conn->args, ssh_host); 
  147.  
  148. } else { 
  149.  
  150. transport_check_allowed(“file”); 
  151.  
  152. } 
  153.  
  154. argv_array_push(&conn->args, cmd.buf); 
  155.  
  156.   
  157.  
  158. if (start_command(conn)) 
  159.  
  160. die(“unable to fork”); 
  161.  
  162.   
  163.  
  164. ….. 
  165.  
  166. } 
  167.  
  168.   
  169.  
  170. } 

git_connect函数的第二个参数url，即为传入的ssh链接，在此例中为 “ssh://-oProxyCommand=gedit /tmp/xxx”。

在git_connect函数中通过parse_connect_url函数将待连接的url解析出来，返回url的主机名、相对路径及url采用的协议。

 

https://github.com/git/git/blob/master/connect.c#L620

  1. /* 
  2.  
  3. * Extract protocol and relevant parts from the specified connection URL. 
  4.  
  5. * The caller must free() the returned strings. 
  6.  
  7. */ 
  8.  
  9. static enum protocol parse_connect_url(const char *url_orig, char **ret_host,  char **ret_path) 

对于正常的ssh链接，如 ssh://[email protected]/path/to/repo.git/，经parse_connect_url解析后，其返回的ret_host和ret_path的值应该为 [email protected] 和 /path/to/repo.git/ 。

但由于没有对ssh做正确过滤及识别，对于恶意的ssh链接，返回的ret_host和ret_path的值则是 -oProxyCommand=gedit 和 /tmp/xxx ，误将 -oProxyCommand=gedit 作为了主机名ret_host。

在后续处理中，git_connect得到本地ssh的路径，将上面获取的ssh host和path填充到struct child_process *conn中，再通过start_command调用本地ssh执行。

在start_command函数中，最终调用exec系列函数执行ssh，由于错误的把 -oProxyCommand=gedit 作为远程待连接的host，最终引发了命令执行。

但像上面ssh://-oProxyCommand=”gedit /tmp/xxx”的链接比较暴露，直接在链接中就出现命令。比较隐蔽的方法是，在正常仓库的目录下建立一个子模块submodule，而将恶意的ssh链接藏在.gitmodule文件中。

修复防护方法

看完上面漏洞发生的成因，其实可以发现这个过程就是git处理ssh这类智能协议的传输过程：ssh远程登录git服务器后，通过执行git-upload-pack处理下载的数据，这种处理方式较http哑协议传输更高效。

但是在这过程中，对一些恶意的ssh链接，没有正确识别，在解析时误将 -oProxyCommand 这类参数当做了远程主机名host，从而产生了漏洞。

在新版本中，我们看到增加了对host和path的识别过滤。

对包含疑似命令的host和path及时进行了阻止，阻断了漏洞的发生。

 

建议用户及时排查，更新系统存在漏洞的Git版本，在日常通过Git进行项目管理时，仔细检查项目中是否存在一些恶意ssh链接来预防安全问题。

原文链接：http://blog.nsfocus.net/git-ssh-cve-2017-1000117/

【本文是专栏作者“绿盟科技博客”的原创稿件，转载请通过联系原作者获取授权】

戳这里，看该作者更多好文

文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/132661.html<

赞 (0)
运维的头像运维
00
上一篇2025-02-27 03:09
下一篇 2025-02-27 03:11

相关推荐

  • 如何制作个人主题技术资讯

    个人主题怎么制作？

    制作个人主题是一个将个人风格、兴趣或专业领域转化为视觉化或结构化内容的过程，无论是用于个人博客、作品集、社交媒体账号还是品牌形象，核心都是围绕“个人特色”展开，以下从定位、内容规划、视觉设计、技术实现四个维度,详细拆解制作个人主题的完整流程，明确主题定位：找到个人特色的核心主题定位是所有工作的起点，需要先回答……

    运维的头像运维
    2025-11-20
    0
  • 如何管理社群营销技术资讯

    社群营销管理关键是什么？

    社群营销的核心在于通过建立有温度、有价值、有归属感的社群，实现用户留存、转化和品牌传播，其管理需贯穿“目标定位-内容运营-用户互动-数据驱动-风险控制”全流程,以下从五个维度展开详细说明：明确社群定位与目标社群管理的首要任务是精准定位，需明确社群的核心价值（如行业交流、产品使用指导、兴趣分享等）、目标用户画像……

    运维的头像运维
    2025-11-20
    0
  • 香港公司如何网站备案技术资讯

    香港公司网站备案需要什么材料？

    香港公司进行网站备案是一个涉及多部门协调、流程相对严谨的过程，尤其需兼顾中国内地与香港两地的监管要求，由于香港公司注册地与中国内地不同，其网站若主要服务内地用户或使用内地服务器，需根据服务器位置、网站内容性质等，选择对应的备案路径（如工信部ICP备案或公安备案），以下从备案主体资格、流程步骤、材料准备、注意事项……

    运维的头像运维
    2025-11-20
    0
  • 如何企业上云推广技术资讯

    如何企业上云推广

    企业上云已成为数字化转型的核心战略,但推广过程中需结合行业特性、企业痛点与市场需求，构建系统性、多维度的推广体系，以下从市场定位、策略设计、执行落地及效果优化四个维度，详细拆解企业上云推广的实践路径，精准定位：明确目标企业与核心价值企业上云并非“一刀切”的方案，需先锁定目标客户群体，提炼差异化价值主张，客户分层……

    运维的头像运维
    2025-11-20
    0
  • PS如何设计搜索框技术资讯

    PS设计搜索框的实用技巧有哪些？

    在PS中设计一个美观且功能性的搜索框需要结合创意构思、视觉设计和用户体验考量，以下从设计思路、制作步骤、细节优化及交互预览等方面详细说明，帮助打造符合需求的搜索框，设计前的规划明确使用场景：根据网站或APP的整体风格确定搜索框的调性，例如极简风适合细线条和纯色，科技感适合渐变和发光效果，电商类则可能需要突出搜索……

    运维的头像运维
    2025-11-20
    0

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注