思细级恐啊，我们自己搭的 gitlab 的都被黑了！

[heipipi]

情况是这样的，我们公司一直用 gitlab ，搭建在阿里云服务器上，作为公司内部开发代码仓库。但是一直以来，阿里云的 WAF 时不时的报警提醒我们 gitlab 有安全漏洞，被扫描被攻击，但是我们一直也没当回事儿，觉得应该不至于出问题。

直到今天上午，我们发现在提交代码的时候冲突，就觉得奇怪，然后就上 gitlab 看了一眼，发现被人从 gitlab 的 web 端登录，并将恶意代码提交到了我们的仓库中。。。

顿时吓出一身冷汗啊！绝绝子！

上网搜了一下才知道，gitlab 因为名气太大，已经被黑客研究透了，所以其实很不安全。公司今天已经要求弃用了。

各位老哥，请问有没有能替代 gitlab 的项目，最好也是开源免费的，功能不用太多，够用就行，名气最好别太大。我们已经不敢再用 gitlab 了。

一堆人还跟我抗。我就想问一下：
1. 一款 web 应用，不能放在互联网，你们居然觉得理所应当？居然不觉得自相矛盾？
2. gitlab 放在公开 web 上被黑了，你们一股脑都说是我的网络环境问题，gitlab 就毫无问题？ gitlab 本身漏洞百出也是理所应当？
3. gitlab 官方也没说过必须放在内网才能用？你们在这自以为是什么东西？
4. 如果 gitlab 本身足够安全，放公网又如何？

5. 还有些人张口就说我没升级，请问您知道我用的版本？您是会算还是会猜？

你们针对内网说事儿的，真的是跪的太多，站不起来了吧？什么时候一款 web 应用，只能用内网物理隔离的办法才能安全使用，居然还被认为是理所应当？还认为这毫无问题？我也是见识了！

有些人完全避而不谈 gitlab 本身的安全漏洞，反而告诉我应该用最粗暴最简单的的内网物理隔离才能用使用。如果 web 应用程序都做成这样，那请问还要 web 安全何用？

[f165af34d4830eeb]

[eason1874]

@heipipi #156

把 GitLab 暴露到公网：需要实时关注操作系统和 GitLab 的漏洞并及时打补丁，被黑客抢先一步就会被黑。如果其他内部应用比如 BBS 、WIKI 也暴露到公网，那工作量成倍增长，风险也成倍增长

内网隔离通过 VPN 访问：只需要关注跳板机操作系统和 VPN 软件的漏洞，无论内部多少个 GitLab 、BBS 、WIKI 都不会增加额外的工作量和额外的风险，你也不需要跟黑客抢时间打补丁

而你们的做法是：暴露到公网但又不积极关注和修复漏洞，既要方便又要安全，哪有这种好事？

“5. 还有些人张口就说我没升级，请问您知道我用的版本？您是会算还是会猜？”

我可以 100%确定你没有及时升级，因为阿里云的漏洞提示是滞后的，你们收到阿里云这么多提示，就足以说明你们比阿里云还要慢

[WispZhan]

今日份的快乐 +1

[Lentin]

楼主不会是 PM 职位吧？是搞技术开发的吗？

[darknoll]

既然部署到公网了，为何不直接用 gitee?

[jessun1990]

这个世界上没有『绝对安全的系统』，因此，我还是赞成公司产品源代码采用内网部署。
最好还是物理上与公网隔离。

[YaakovZiv]

看了楼主的描述，感到有些疑惑，代码同步到 gitlab 所在服务器，并在该服务器发布服务，那得挺多安全手段才能处理。
如果是仅代码同步到 gitlab ，最省事就是阿里云的防火墙策略添加提交代码的机器的 IP ，代码提交结束就停用 IP 放行。

[BigDogWang]

楼主太可爱了，帖子里杠精太多了，楼主加油！🐶

[deplivesb]

有一说一就 「但是一直以来，阿里云的 WAF 时不时的报警提醒我们 gitlab 有安全漏洞，被扫描被攻击，但是我们一直也没当回事儿，觉得应该不至于出问题」 OP 还好意思 append 解释。也不知道 OP 自以为是是个什么东西呢

[deplivesb]

10 个小时前你说「 5. 还有些人张口就说我没升级，请问您知道我用的版本？您是会算还是会猜？」
你现在敢不敢截图看你现在 gitlab 版本和启动时长

[zhattty]

美国队长的盾牌在楼主的嘴面前也要甘拜下风

[wanguorui123]

幸存者偏差

[lupus721]

当能看到拦截信息的时候很可能已经晚了，因为真正厉害的攻击，防御是看不到的。

有漏洞立刻就打补丁，配置好各种防护策略，证书，acl 能上的都上了，也只能保证你被黑的可能降到最低，永无没有人能给你 100%的包票。

代码类的东西确实放在内网更安全一丢丢。

[GeruzoniAnsasu]

看到 OP append 的这些言论
我一下就想到了「我穿得少就活该被强奸？」

有些人吧，你让他「注意安全，晚上别单独出门」
他给你来一句「明明是社会有问题凭什么要我自己注意」


此处应有《啊对对对》： https://www.bilibili.com/video/BV1f44y1v77g

[calmzhu]

用记事本吧，git 配不上你们

[iseki]

Gitlab 有说过这个软件零运维部署是可以的吗

[ZRS]

嘴比那啥硬

[xiadong1994]

@ryh #196 C 版本的 Hello world 要经过 gcc/clang 编译，链接 glibc （ linux ）和 call syscall ，一样会引入漏洞。

[Y29tL2gwd2Fy]

现在没脑子的人也能做工程师了？
什么时候这个行业变成这样了？

[Perry]

楼主不仅仅对网络安全了解甚少，还非常喜欢推卸责任。自己用开源产品被黑了，就一定只能怪开源产品安全没做好。

[vanton]

看说话的语气，毫无逻辑的叙事风格，完全没有一点自省的态度，看来 OP 不是搞技术的。
至少是不适合搞技术的。

发现问题，解决问题，然后规避问题才是正确的做法。
自己的问题还到处怼人，你当你是小仙女么？

[luhe]

叹为观止

[python35]

1.不想自己运维的话 不是应该买现成的服务吗 例如 Github 企业版
2.白嫖还嫌弃人家开源的产品不完美 这个不是要饭的还嫌饭馊了么

[dcsuibian]

都这么久了，能不能把公司说一下啊，好让我绕着走

[lunny]

建议用 Gitea

[Kinnice]

把重要的服务暴露到公网，又不注重该软件的安全动态(waf 都主动告警了，都不带修复的)，运维也没有。
今天是 gitlab 名气太大被黑客研究透了，不安全
明天就是 gitxxx 名气太小，几年没更新，漏洞满天飞，随便就被入侵了。

[Kinnice]

有些人张口就说我没升级，请问您知道我用的版本？您是会算还是会猜？

如果你是最新版本，且按照正确的步骤进行配置，那大概率是个 0day ，这个漏洞的价值可能够买辆车了。

[dominickkorey]

我一直以为在这个行业里不管干什么都需要过硬的本领和技术才能走得更远，每天都在因为技术学的不精不全难过，每天都在补课，结果看到这个 OP 我才发现原来技术和知识都不重要，只要有嘴，嘴硬就行[doge]

[Xhack]

可惜了没有删除帖子的功能，OP 找地缝都找不到，哈哈

[ManjusakaL]

> 最好也是开源免费的，功能不用太多

建议离职换行业，开源的也会有一堆漏洞。要是遇到 Log4J 这样的，怕是你们要把人作者给扬了

[muzuiget]

楼主就是来装找认同， 你们竟然不捧场。

[Chieh]

手贱点进来血压又高了

[kkbblzq]

要开源，要免费，要安全，不能有漏洞，我被黑的一定是开源项目的问题，都是它垃圾才害我被黑的。手动狗头。

[ewBuyVmLZMZE]

几乎所有的开源软件的 License 里面，都是有免责声明的，换言之，你用它遇到的问题，怪不到它头上。

[ilolita]

搞笑的楼主

[tutugreen]

这种是不是钓鱼的？

[xiaopigfly]

1. 但凡有点常识都知道这种代码仓库最好部署在内网
2. 放在公网也不禁止自助注册
3. 阿里云都提示你有漏洞 你 tm 也不看 活该了
4. 说你没有升级版本也确实，我敢百分百肯定你使用的是有 RCE 的版本漏洞
5. 每款产品都会有人研究和出现漏洞 哪怕你今天换了 gitlab 另一款产品也照样有风险

[rejectall]

看完了总结一下，建议转行+1

[N1ckl32]

是个“抗”精，已确认。

[gzxworknb]

人傻不能怪社会..

[allengu2pgyer]

@heipipi 建议题主尝试使用我司已开源的私有化部署 git 仓库——codefever ，官网： https://codefever.pgyer.com ，项目地址： https://github.com/PGYER/codefever 。
gitlab 确实被很多黑客研究和攻击，更小众的 git 代码仓库确实能减少和黑客的正面相遇。

[Gathaly]

dmz 要设置好

[ericgui]

[WAF 时不时的报警提醒我们 gitlab 有安全漏洞，被扫描被攻击，但是我们一直也没当回事儿]

[CSGO]

所以是怎么被黑的？密码泄露？

[superwater]

@xiaopigfly 这才是正道..

[abctensor]

程序有漏洞是必然：(
所以你司是因为哪个漏洞栽的？是不是每一次都会有漏洞，概念神没有弱神啊😹

[snuglove]

gitea