跳转到帖子

游客您好，欢迎来到黑客世界论坛！您可以在这里进行注册。

赤队小组-代号1949（原CHT攻防小组）在这个瞬息万变的网络时代，我们保持初心，创造最好的社区来共同交流网络技术。您可以在论坛获取黑客攻防技巧与知识，您也可以加入我们的Telegram交流群 共同实时探讨交流。论坛禁止各种广告，请注册用户查看我们的使用与隐私策略，谢谢您的配合。小组成员可以获取论坛隐藏内容！

TheHackerWorld官方

Jenkins远程代码执行漏洞检查(CVE-2017-1000353）

HACK1949
HACK1949
在 WEB和服务器安全漏洞

精选回复

发布于

Jenkins的反序列化漏洞，攻击者使用该漏洞可以在被攻击服务器执行任意代码，漏洞利用不需要任何的权限

漏洞影响范围：

所有Jenkins主版本均受到影响(包括<=2.56版本)
所有Jenkins LTS 均受到影响( 包括<=2.46.1版本)

测试步骤：

1.下载生成反序列的payload:

https://github.com/nobleXu/jenkins

2.生成一个jenkins_poc1.ser反序列文件

java  -jar  jenkins_payload.jar  jenkins_poc1.ser  "ping www.baidu.com"

3.下载jenkins.py文件：

下载链接: https://pan.baidu.com/s/1misPilU 密码: 6qqh

4.编辑jenkins.py文件,修改url地址：

1049983-20170505152733195-1207624758.png

 

5.执行jenkins.py：

python3  exploit.py

1049983-20170505152831851-598502204.png

6.通过dnslog可以看到反序列请求日志记录：

1049983-20170505152949570-1607591620.png

 

 测试总结：

Jenkins运行环境是在linux下，win环境利用不成功

参考文献：

https://github.com/phith0n/vulhub/tree/master/jenkins/CVE-2017-1000353

https://blogs.securiteam.com/index.php/archives/3171

https://xianzhi.aliyun.com/forum/read/1567.html



创建帐户或登录后发表意见

转到主题列表

最近浏览 0

  • 没有会员查看此页面。