Gh Actions - Context Script Injections

हैकट्रिक्स का समर्थन करें और लाभ प्राप्त करें!

• यदि आप अपनी कंपनी को हैकट्रिक्स में विज्ञापित करना चाहते हैं या यदि आप PEASS के नवीनतम संस्करण देखना चाहते हैं या HackTricks को PDF में डाउनलोड करना चाहते हैं तो सदस्यता योजनाएं देखें!

• आधिकारिक PEASS और HackTricks स्वैग प्राप्त करें

• The PEASS Family का खोज करें, हमारा एकल NFTs संग्रह

• 💬 Discord समूह या टेलीग्राम समूह में शामिल हों या मुझे ट्विटर 🐦 @carlospolopm का** अनुसरण करें।**

• अपने हैकिंग ट्रिक्स साझा करें, PRs सबमिट करके HackTricks और HackTricks Cloud github repos में।

मूलभूत जानकारी

ध्यान दें कि कुछ github contexts हैं जिनके मान उपयोगकर्ता द्वारा नियंत्रित होते हैं जो PR बनाने वाले उपयोगकर्ता द्वारा निर्मित होते हैं। यदि github action उस डेटा का उपयोग करके कुछ भी निष्पादित करता है, तो इससे अनियंत्रित कोड निष्पादन हो सकता है। इन contexts का आमतौर पर अंत होता है body, default_branch, email, head_ref, label, message, name, page_name,ref, और title। उदाहरण के लिए (इस लेख से सूची):

• github.event.comment.body

• github.event.issue.body

• github.event.issue.title

• github.head_ref

• github.pull_request.*

• github.*.*.authors.name

• github.*.*.authors.email

ध्यान दें कि यहां कुछ कम अवश्यक स्रोत हैं जो संभावित अविश्वसनीय इनपुट के हो सकते हैं, जैसे शाखा नाम और ईमेल पता, जो अपनी परमित सामग्री के संबंध में काफी लचीले हो सकते हैं। उदाहरण के लिए, zzz";echo${IFS}"hello";# एक मान्य शाखा नाम होगा और यह एक लक्षित रिपॉजिटरी के लिए एक संभावित हमला वेक्टर होगा।

स्क्रिप्ट इंजेक्शन हमले का उदाहरण

स्क्रिप्ट इंजेक्शन हमला सीधे रूप से एक वर्कफ़्लो के इनलाइन स्क्रिप्ट में हो सकता है। निम्नलिखित उदाहरण में, एक एक्शन एक पुल अनुरोध के शीर्षक की वैधता की जांच करने के लिए एक अभिव्यक्ति का उपयोग करता है, लेकिन स्क्रिप्ट इंजेक्शन का भी खतरा होता है:

- name: Check PR title
run: |
title="${{ github.event.pull_request.title }}"
if [[ $title =~ ^octocat ]]; then
echo "PR title starts with 'octocat'"
exit 0
else
echo "PR title did not start with 'octocat'"
exit 1
fi

शेल स्क्रिप्ट चलाने से पहले, ${{ }} के भीतरी अभिव्यक्तियों को मूल्यांकन किया जाता है और फिर परिणामस्वरूप मानों से प्रतिस्थापित किया जाता है, जिससे यह शेल कमांड इंजेक्शन के प्रति संवेदनशील हो सकता है।

इस वर्कफ़्लो में कमांड इंजेक्शन को इंजेक्ट करने के लिए, हमलावर एक पुल अनुरोध बना सकता है जिसका शीर्षक होगा a"; ls $GITHUB_WORKSPACE"

इस उदाहरण में, " वर्ण title="${{ github.event.pull_request.title }}" विधान को बाधित करने के लिए उपयोग किया जाता है, जिससे रनर पर ls कमांड को निष्पादित किया जा सकता है।

हैकट्रिक्स का समर्थन करें और लाभ प्राप्त करें!

• यदि आप अपनी कंपनी को हैकट्रिक्स में विज्ञापित करना चाहते हैं या यदि आप PEASS के नवीनतम संस्करण देखना चाहते हैं या HackTricks को PDF में डाउनलोड करना चाहते हैं तो सदस्यता योजनाएं देखें!

• आधिकारिक PEASS और HackTricks स्वैग प्राप्त करें

• The PEASS Family का खोज करें, हमारा विशेष NFTs संग्रह

• 💬 Discord समूह या टेलीग्राम समूह में शामिल हों या मुझे ट्विटर 🐦 @carlospolopm पर फ़ॉलो** करें।

• अपने हैकिंग ट्रिक्स साझा करें, PRs को HackTricks और HackTricks Cloud github repos में सबमिट करके।