Webhooks and insecure internal web services · Gitlab 中文文檔

# Webhooks and insecure internal web services > 原文：[https://docs.gitlab.com/ee/security/webhooks.html](https://docs.gitlab.com/ee/security/webhooks.html) * [Allowlist for local requests](#allowlist-for-local-requests) # Webhooks and insecure internal web services[](#webhooks-and-insecure-internal-web-services "Permalink") **注意：**在 GitLab.com 上[，](../user/gitlab_com/index.html#maximum-number-of-webhooks)每個項目的[最大](../user/gitlab_com/index.html#maximum-number-of-webhooks) Webhooks [數量](../user/gitlab_com/index.html#maximum-number-of-webhooks)是有限的. 如果您在 GitLab 服務器上或其本地網絡中運行了非 GitLab Web 服務，則可能容易受到 Webhooks 的利用. 使用[Webhooks](../user/project/integrations/webhooks.html) ，您以及您的項目維護者和所有者可以設置 URL，以便在項目中發生特定更改時觸發該 URL. 通常，這些請求將發送到專門為此目的設置的外部 Web 服務，該服務以某種適當的方式處理該請求及其附加數據. 但是，當 Webhook 設置的 URL 不是指向外部服務而是指向內部服務時，事情變得很麻煩，當觸發 Webhook 和發送 POST 請求時，這可能會做完全不希望的事情. Webhook 請求由 GitLab 服務器本身發出，并且每個鉤子使用一個（可選）秘密令牌進行授權（而不是用戶或特定于倉庫的令牌）. 結果，它們可能比托管 Webhook 的服務器（可能包括 GitLab 服務器或 API 本身，例如`http://localhost:123` ）上運行的所有對象具有更廣泛的訪問權限. 根據所調用的 Webhook，這也可能導致對該 Webhook 服務器的本地網絡（例如， `http://192.168.1.12:345` : `http://192.168.1.12:345` : `http://192.168.1.12:345` ）內的其他服務器的網絡訪問，即使這些服務受到其他保護并且無法從外界訪問. 如果 Web 服務不需要身份驗證，則可以通過使 GitLab 服務器向諸如`http://localhost:123/some-resource/delete`類的端點發出 POST 請求，來使用 Webhooks 觸發破壞性命令. 為了防止發生這種類型的攻擊，從 GitLab 10.6 開始，默認情況下將禁止對當前 GitLab 實例服務器地址和/或專用網絡中的所有 Webhook 請求. 這意味著，所有的請求作出`127.0.0.1` ， `::1`和`0.0.0.0` ，以及 IPv4 的`10.0.0.0/8` ， `172.16.0.0/12` ， `192.168.0.0/16`和 IPv6 站點本地（ `ffc0::/10` ）地址將不被允許. 通過在**管理區域>設置** （ `/admin/application_settings/network` ）內*"出站請求"*部分中啟用選項*"允許從 Web 掛鉤和服務到本地網絡的請求"，*可以覆蓋此行為： [![Outbound requests admin settings](https://img.kancloud.cn/b5/df/b5dfcc944a40c46b5b22d6e56c5f7b9d_744x148.png)](img/outbound_requests_section_v12_2.png) **注意：由于** *系統掛鉤*是由管理員設置的，因此默認情況下啟用它們來向本地網絡發出請求. 但是，可以通過禁用" **允許從系統掛鉤向本地網絡發送請求"**選項來關閉此功能. ## Allowlist for local requests[](#allowlist-for-local-requests "Permalink") [Introduced](https://gitlab.com/gitlab-org/gitlab-foss/-/issues/44496) in GitLab 12.2 通過將某些域和 IP 地址添加到允許*列表中，*即使不允許本地請求，也可以允許某些域和 IP 地址可供*系統掛鉤*和*Web* *掛鉤*訪問. 導航到**管理區域>設置>網絡** （ `/admin/application_settings/network` ）并展開**出站請求** ： [![Outbound local requests allowlist](https://img.kancloud.cn/37/e2/37e2462c80438bdf6e47732ac5e3d027_827x310.png)](img/allowlist_v13_0.png) 允許的條目可以用分號，逗號或空格（包括換行符）分隔，并且可以采用不同的格式，例如主機名，IP 地址和/或 IP 范圍. 支持 IPv6\. 包含 Unicode 字符的主機名應使用 IDNA 編碼. 允許列表最多可容納 1000 個條目. 每個條目最多可以包含 255 個字符. 您可以通過在允許列表條目中指定特定端口來允許它. 例如`127.0.0.1:8080`將僅允許連接到`127.0.0.1`上的端口 8080\. 如果未提及任何端口，則允許該 IP /域上的所有端口. IP 范圍將允許該范圍內所有 IP 上的所有端口. Example: ``` example.com;gitlab.example.com 127.0.0.1,1:0:0:0:0:0:0:1 127.0.0.0/8 1:0:0:0:0:0:0:0/124 [1:0:0:0:0:0:0:1]:8080 127.0.0.1:8080 example.com:8080 ``` **注意：**當前不支持通配符（ `*.example.com` ）.