Jenkins

Jenkins简介

Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，它能把软件开发过程形成工作流。默认情况下Jenkins面板中用户可以选择执行脚本界面来操作一些系统层命令，攻击者可通过未授权访问漏洞或者暴力破解用户密码等进入后台管理服务，通过脚本执行界面从而获取服务器权限。

Jenkins未授权访问

部署Jenkins 1.62版本，将全局授权策略打开，目前新版本的Jenkins已默认需要用户登录，但老版的中默认配置是“任意用户可以做任何事”，存在未授权访问的问题。

漏洞复现

访问页面

直接通过url访问

http：ip/manage进入管理页面

访问管理页面

进入脚本命令行

后缀输入script进入脚本命令行

执行java命令

回显当前目录下文件信息，漏洞属于未授权访问，同时属于命令执行漏洞。

运行结果

漏洞利用

利用脚本命令行可以写入文件，写入一句话木马。

Jenkins未授权访问修复方法

1、升级版本

2、禁止吧Jenkins直接暴露在公网

3、恢复安全设置，禁止任何用户可以做任何事，设置强口令密码

Jenkins未授权访问相关推荐

jenkins未授权访问漏洞记录（端口:7001,80,8080,50000）
一.漏洞描述未授权访问管理控制台,可以通过脚本命令行执行系统命令.通过该漏洞,可以后台管理服务,通过脚本命令行功能执行系统命令,如反弹shell,wget写webshell文件. 二.漏洞环境搭建 ...
二十八种未授权访问漏洞合集（暂时最全）
目录 0x01 未授权漏洞预览 0x02 Active MQ 未授权访问 0x03 Atlassian Crowd 未授权访问 0x04 CouchDB 未授权访问 0x05 Docker 未授权访问 ...
常见未授权访问漏洞详解
参考文章1:二十八种未授权访问漏洞合集(CSDN) 参考文章2:28种未授权访问漏洞(知乎) 参考文章3:未授权访问漏洞总结(freebuf) 参考文章4:常见未授权访问漏洞总结(先知社区) 文章目录 ...
【应急类漏洞】————1、未授权访问漏洞总结
前言 2018年5月,比特币勒索病毒 WannaCry 席卷全球,国内众多机构部门计算机系统瘫痪.根据之前应急响应的案例分析,以及一些安全报告统计,目前大部分的勒索病毒均利用未授权访问等通用漏洞进行植 ...
常用的30+种未授权访问漏洞汇总
未授权访问漏洞汇总预览 1 .FTP 未授权访问(21) 2 .LDAP 未授权访问(389) 3 .Rsync 未授权访问(873) 4 .ZooKeeper 未授权访问(2181) 5 .Dock ...
未授权访问漏洞-Redis未授权访问漏洞
文章目录未授权概述常见未授权访问漏洞 Redis未授权访问 Redis简介应用场景 Redis 架构漏洞发现端口端口探测 Redis常用命令 Redis历史漏洞 Redis未授权访问 Re ...
漏洞检测与防御：Redis未授权访问漏洞复现
漏洞检测与防御:Redis未授权访问漏洞复现 1. 未授权访问漏洞未授权访问漏洞可以理解为安全配置.权限认证.授权页面存在缺陷,导致其他用户可以直接访问,从而引发权限可被操作,数据库.网站目录等敏感 ...
常用的端口及未授权访问漏洞
一.介绍用于快速定位端口,查找开放端口脆弱点,有利于外网渗透 1.1 具体端口端口号使用弱点 21 telnet 22 SSH 28退格漏洞.OpenSSL漏洞 25 SMTP协议 53 ...
redis 未授权访问利用两种方式
1.未授权访问漏洞 Redis在默认情况下,会绑定在0.0.0.0:6379,如果没有采用限制IP访问,就会将Redis服务暴露在公网上,并且在没有设置密码认证的情况下,会导致任意用户未授权访问Red ...

Jenkins未授权访问

Jenkins

Jenkins简介

Jenkins未授权访问

漏洞复现

访问页面

访问管理页面

进入脚本命令行

执行java命令

运行结果

漏洞利用

Jenkins未授权访问修复方法

Jenkins未授权访问相关推荐

最新文章

热门文章