情况是这样的，我们公司一直用 gitlab ，搭建在阿里云服务器上，作为公司内部开发代码仓库。但是一直以来，阿里云的 WAF 时不时的报警提醒我们 gitlab 有安全漏洞，被扫描被攻击，但是我们一直也没当回事儿，觉得应该不至于出问题。
直到今天上午，我们发现在提交代码的时候冲突，就觉得奇怪，然后就上 gitlab 看了一眼，发现被人从 gitlab 的 web 端登录，并将恶意代码提交到了我们的仓库中。。。
顿时吓出一身冷汗啊！绝绝子！
上网搜了一下才知道，gitlab 因为名气太大，已经被黑客研究透了，所以其实很不安全。公司今天已经要求弃用了。
各位老哥，请问有没有能替代 gitlab 的项目，最好也是开源免费的，功能不用太多，够用就行，名气最好别太大。我们已经不敢再用 gitlab 了。
 |
f165af34d4830eebFeb 25, 2022
201
 |
 |
202
@heipipi #156
把 GitLab 暴露到公网：需要实时关注操作系统和 GitLab 的漏洞并及时打补丁，被黑客抢先一步就会被黑。如果其他内部应用比如 BBS 、WIKI 也暴露到公网，那工作量成倍增长，风险也成倍增长 内网隔离通过 VPN 访问：只需要关注跳板机操作系统和 VPN 软件的漏洞，无论内部多少个 GitLab 、BBS 、WIKI 都不会增加额外的工作量和额外的风险，你也不需要跟黑客抢时间打补丁 而你们的做法是：暴露到公网但又不积极关注和修复漏洞，既要方便又要安全，哪有这种好事？ “5. 还有些人张口就说我没升级，请问您知道我用的版本？您是会算还是会猜？” 我可以 100%确定你没有及时升级，因为阿里云的漏洞提示是滞后的，你们收到阿里云这么多提示，就足以说明你们比阿里云还要慢 |
 |
WispZhanFeb 25, 2022 via Android
203
今日份的快乐 +1
|
 |
LentinFeb 25, 2022 via iPhone
204
楼主不会是 PM 职位吧？是搞技术开发的吗？
|
 |
darknollFeb 25, 2022
205
既然部署到公网了，为何不直接用 gitee?
|
 |
jessun1990Feb 25, 2022
206
这个世界上没有『绝对安全的系统』，因此，我还是赞成公司产品源代码采用内网部署。
最好还是物理上与公网隔离。 |
 |
YaakovZivFeb 25, 2022
207
看了楼主的描述，感到有些疑惑，代码同步到 gitlab 所在服务器，并在该服务器发布服务，那得挺多安全手段才能处理。
如果是仅代码同步到 gitlab ，最省事就是阿里云的防火墙策略添加提交代码的机器的 IP ，代码提交结束就停用 IP 放行。 |
 |
208
楼主太可爱了，帖子里杠精太多了，楼主加油！🐶
|
 |
deplivesbFeb 25, 2022
209
有一说一就 「但是一直以来，阿里云的 WAF 时不时的报警提醒我们 gitlab 有安全漏洞，被扫描被攻击，但是我们一直也没当回事儿，觉得应该不至于出问题」 OP 还好意思 append 解释。也不知道 OP 自以为是是个什么东西呢
|
|
deplivesbFeb 25, 2022
210
10 个小时前你说「 5. 还有些人张口就说我没升级，请问您知道我用的版本？您是会算还是会猜？」
你现在敢不敢截图看你现在 gitlab 版本和启动时长 |
 |
zhatttyFeb 25, 2022
211
美国队长的盾牌在楼主的嘴面前也要甘拜下风
|
 |
wanguorui123Feb 25, 2022
212
幸存者偏差
|
 |
lupus721Feb 25, 2022
213
当能看到拦截信息的时候很可能已经晚了，因为真正厉害的攻击，防御是看不到的。
有漏洞立刻就打补丁，配置好各种防护策略，证书，acl 能上的都上了，也只能保证你被黑的可能降到最低，永无没有人能给你 100%的包票。 代码类的东西确实放在内网更安全一丢丢。 |
 |
GeruzoniAnsasuFeb 25, 2022
214
看到 OP append 的这些言论
我一下就想到了「我穿得少就活该被强奸？」 有些人吧，你让他「注意安全，晚上别单独出门」 他给你来一句「明明是社会有问题凭什么要我自己注意」 此处应有《啊对对对》： https://www.bilibili.com/video/BV1f44y1v77g |
 |
215
用记事本吧，git 配不上你们
|
 |
isekiFeb 26, 2022
216
Gitlab 有说过这个软件零运维部署是可以的吗
|
 |
ZRSFeb 26, 2022 via iPhone
217
嘴比那啥硬
|
 |
trn4Feb 26, 2022
218
@ryh #196 C 版本的 Hello world 要经过 gcc/clang 编译，链接 glibc （ linux ）和 call syscall ，一样会引入漏洞。
|
 |
Y29tL2gwd2FyFeb 26, 2022 via Android
219
现在没脑子的人也能做工程师了？
什么时候这个行业变成这样了？ |
 |
PerryFeb 26, 2022
220
楼主不仅仅对网络安全了解甚少，还非常喜欢推卸责任。自己用开源产品被黑了，就一定只能怪开源产品安全没做好。
|
 |
221
看说话的语气，毫无逻辑的叙事风格，完全没有一点自省的态度，看来 OP 不是搞技术的。
至少是不适合搞技术的。 发现问题，解决问题，然后规避问题才是正确的做法。 自己的问题还到处怼人，你当你是小仙女么？ |
 |
pikaconanFeb 26, 2022 via iPhone
222
叹为观止
|
 |
python35Feb 26, 2022
223
1.不想自己运维的话 不是应该买现成的服务吗 例如 Github 企业版
2.白嫖还嫌弃人家开源的产品不完美 这个不是要饭的还嫌饭馊了么 |
 |
dcsuibianFeb 26, 2022
224
都这么久了，能不能把公司说一下啊，好让我绕着走
|
 |
lunnyFeb 26, 2022
225
建议用 Gitea
|
 |
KinniceFeb 26, 2022 via Android
226
把重要的服务暴露到公网，又不注重该软件的安全动态(waf 都主动告警了，都不带修复的)，运维也没有。
今天是 gitlab 名气太大被黑客研究透了，不安全 明天就是 gitxxx 名气太小，几年没更新，漏洞满天飞，随便就被入侵了。 |
|
227
有些人张口就说我没升级，请问您知道我用的版本？您是会算还是会猜？
如果你是最新版本，且按照正确的步骤进行配置，那大概率是个 0day ，这个漏洞的价值可能够买辆车了。 |
 |
dominickkoreyFeb 26, 2022
228
我一直以为在这个行业里不管干什么都需要过硬的本领和技术才能走得更远，每天都在因为技术学的不精不全难过，每天都在补课，结果看到这个 OP 我才发现原来技术和知识都不重要，只要有嘴，嘴硬就行[doge]
|
 |
XhackFeb 26, 2022
229
可惜了没有删除帖子的功能，OP 找地缝都找不到，哈哈
|
 |
ManjusakaLFeb 26, 2022 via iPhone
230
> 最好也是开源免费的，功能不用太多
建议离职换行业，开源的也会有一堆漏洞。要是遇到 Log4J 这样的，怕是你们要把人作者给扬了 |
 |
muzuigetFeb 26, 2022
231
楼主就是来装找认同， 你们竟然不捧场。
|
 |
ChiehFeb 26, 2022
232
手贱点进来血压又高了
|
 |
kkbblzqFeb 26, 2022
233
要开源，要免费，要安全，不能有漏洞，我被黑的一定是开源项目的问题，都是它垃圾才害我被黑的。手动狗头。
|
 |
ewBuyVmLZMZEFeb 27, 2022
234
几乎所有的开源软件的 License 里面，都是有免责声明的，换言之，你用它遇到的问题，怪不到它头上。
|
 |
ilolitaFeb 27, 2022 via iPhone
235
搞笑的楼主
|
 |
tutugreenFeb 27, 2022
236
这种是不是钓鱼的？
|
 |
xiaopigflyFeb 28, 2022
237
1. 但凡有点常识都知道这种代码仓库最好部署在内网
2. 放在公网也不禁止自助注册 3. 阿里云都提示你有漏洞 你 tm 也不看 活该了 4. 说你没有升级版本也确实，我敢百分百肯定你使用的是有 RCE 的版本漏洞 5. 每款产品都会有人研究和出现漏洞 哪怕你今天换了 gitlab 另一款产品也照样有风险 |
 |
rejectallFeb 28, 2022
238
看完了总结一下，建议转行+1
|
 |
N1ckl32Mar 1, 2022
239
是个“抗”精，已确认。
|
 |
gzxworknbMar 2, 2022
240
人傻不能怪社会..
|
 |
allengu2pgyerMar 9, 2022
241
@heipipi 建议题主尝试使用我司已开源的私有化部署 git 仓库——codefever ，官网： https://codefever.pgyer.com ，项目地址： https://github.com/PGYER/codefever 。
gitlab 确实被很多黑客研究和攻击，更小众的 git 代码仓库确实能减少和黑客的正面相遇。 |
 |
GathalyJun 7, 2022
242
dmz 要设置好
|
 |
ericguiJun 16, 2022
243
[WAF 时不时的报警提醒我们 gitlab 有安全漏洞，被扫描被攻击，但是我们一直也没当回事儿]
|
 |
CSGOJul 12, 2022
244
所以是怎么被黑的？密码泄露？
|
 |
superwaterAug 2, 2022
245
@xiaopigfly 这才是正道..
|
 |
abctensorJul 28, 2023
246
程序有漏洞是必然：(
所以你司是因为哪个漏洞栽的？是不是每一次都会有漏洞，概念神没有弱神啊😹 |
 |
snugloveApr 16, 2024
247
gitea
|
1
Select Language