jenkins java反序列化_Jenkins Java 反序列化远程执行代码漏洞(CVE-2017-1000353)

最新推荐文章于 2023-09-21 15:52:56 发布
最新推荐文章于 2023-09-21 15:52:56 发布
阅读量199 收藏
点赞数
文章标签： jenkins java反序列化
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_31308407/article/details/114138686
版权

Jenkins Java 反序列化远程执行代码漏洞(CVE-2017-1000353)

一、漏洞描述

该漏洞存在于使用HTTP协议的双向通信通道的具体实现代码中,jenkins利用此通道来接收命令,恶意攻击者可以构造恶意攻击参数远程执行命令,从而获取系统权限,造成数据泄露。

二、漏洞影响版本

所有jenkins主版本均受到影响(包括<=2.56版本)

所有的jenkins LTS均受到影响(包括<=2.46.1版本)

三、漏洞环境搭建

1、 官方下载jenkins-2.46-1.1.noarch.rpm,下载地址:http://mirrors.jenkins.io

2、 在redhat安装jenkins

rpm -ivh jenkins-2.46-1.1.noarch.rpm

3572348d07960f9bfdf153cd3d6aaf33.png

3、开启jenkins服务

fd4913e23ec4039d1e10b2a114db1f7a.png

4、浏览器访问http://192.168.10.137:8080,如下图所示需要输入密码,密码文件在如下图位置

最低0.47元/天 解锁文章
AI众智新媒体一阿荣
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Jenkins-CI 远程代码执行漏洞（CVE-2017-1000353）
不忘初心，护天下安全！
10-19 913
Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件项目可以进行持续集成。
java反序列化利用工具
07-06
Java反序列化是一种将已序列化的对象状态转换回对象的过程，通常用于持久化数据或在网络间传输对象。在Java中，这一过程涉及到`java.io.ObjectInputStream`类，它能够读取由`java.io.ObjectOutputStream`写入的字节...
Jenkins反序列化漏洞cve-2017-1000353
weixin_30593443的博客
12-13 414
一、漏洞原理： 本地没有环境：参考：https://blogs.securiteam.com/index.php/archives/3171 进行学习理解记录。 首先这是一个java反序列化漏洞，一定是command在序列化信息中，反序列化时候直接执行了该命令。 攻击过程学习： 下文的session是一个uuid，类型4 1 #可以如下生成 2 session = uuid....
jenkins 反序列化漏洞 cve-2017-1000353
whatday的专栏
06-13 1448
一、漏洞原理： 首先这是一个java反序列化漏洞，一定是command在序列化信息中，反序列化时候直接执行了该命令。 攻击过程学习： 下文的session是一个uuid，类型4 # 可以如下生成 session = uuid.uuid4() 1、首先要发送一个请求，是一个下载请求。这个请求是要启动一个双向数据传输频道。频道的标识就是session。而side字段则是用来标识传输方向 对应代码段： def Download(url,session): headers = {'Si
Jenkins RCE 漏洞复现（CVE-2017-1000353、CVE-2018-1000861）
oiadkt的博客
09-21 1755
​ Jenkins 是软件测试过程中常用的一种持续构建的工具，Jenkins RCE 漏洞触发方式大致分为两种，一种使用 Jenkins CLI 触发，而另一种触发方式为 HTTP 请求触发。这里复现的 CVE-2017-1000353 与 CVE-2018-1000861 就是两种触发方式的代表。
从代码层面分析Jenkins未授权访问CVE-2017-1000353
stopys6的博客
09-13 214
/通过上面的ReaderThread.start()方法启动一个线程，ReaderThread为SynchronousCommandTransport类的内部类，在run()方法中，调用ClassicCommandTransport类的read()方法读取输入，read()方法实际是调用Command类的readFrom()方法读取，通过反序列化输入返回一个Command对象。在 run() 方法中，使用一个循环来读取通道中的命令，直到通道被关闭为止。
Jenkins反序列化代码执行
xmas
05-10 1476
# -*- encoding:utf-8 -*- import socket import base64 import random import urllib2 import time import binascii def random_str(len): str1="" for i in range(len): str1+=(random.choice(
Java反序列化攻击
01-21
Java 反序列化攻击漏洞由FoxGlove 的近的一篇博文爆出，该漏洞可以被黑客利用向服务器上传恶意脚本，或者远程执行命令。 　由于目前发现该漏洞存在于 Apache commons-collections， Apache xalan 和 Groovy 包中，...
Java项目包 Jenkins+Maven+Gitlab+Tomcat 自动化构建打包、部署
最新发布
02-23
当代码提交时，Gitlab Runner会执行这些脚本，与Jenkins交互触发构建。 4. **部署到Tomcat**：构建成功后，Jenkins可以通过使用`deploy`生命周期阶段的Maven目标，如`mvn tomcat7:deploy`，将WAR文件部署到远程...
jenkins-rest：基于jclouds构建的Java客户端，用于使用Jenkins REST API
01-30
詹金斯·雷斯特Java客户端建立在jclouds的顶部，可与Jenkins REST API一起使用。建立客户可以这样构建： JenkinsClient client = JenkinsClient.builder().endPoint("http://127.0.0.1:8080") // Optional. Defaults...
Jenkins 远程代码执行漏洞（CVE-2017-1000353） 复现
YouthBelief的博客
11-25 4936
所有文章，仅供安全研究与学习之用，后果自负! Jenkins 远程代码执行漏洞（CVE-2017-1000353）Jenkins 远程代码执行漏洞（CVE-2017-1000353）0x01 漏洞描述0x02 影响范围0x03 漏洞复现0x04 漏洞修复 Jenkins 远程代码执行漏洞（CVE-2017-1000353） 0x01 漏洞描述 Jenkins 可以通过其网页界面轻松设置和配置,其中包括即时错误检查和内置帮助。 插件 通过更新中心中的 1000 多个插件,Jenkins 集成了持续集成和持续交
Jenkins CVE-2017-1000353远程代码执行漏洞复现
云舒的博客
09-09 962
Jenkins CVE-2017-1000353远程代码执行漏洞复现
[记录]从jenkins配置文件中解密密码
qq_27156945的博客
08-18 6862
jenkins的credentials.xml文件中存储了很多账号，但是里面的密码都是经过加密处理的，密码格式都是下面这种 {AQAAABAAAAAgQI+cpXwSulM5zcFv14L5eODWtRDiP1HBCY/zg8H3kTDE4swuJ+j5DiVg251XDjq+} 最近有个账号的密码忘记了，但是很久之前在jenkins里面配置过的，所以想通过解密的方式去获取之前的密码。 网上找资料发现，jenkins的密码是使用hudson.util.Secret.fromString("明文密码").g
Jenkins中通过脚本无法启动java进程-踩坑
平底锅3号
03-15 1712
Jenkins中通过脚本无法启动java进程-踩坑过程 先是看了这个文章，原因搞明白了：Jenkins中通过execute shell无法启动进程-解决方案合集_fendo-CSDN博客_jenkins nohup无效 但是试了之后，没有解决， 最后是在脚本头部加入 ：source /etc/profile 解决！ ...
jenkins java反序列化_Jenkins “Java 反序列化”过程远程命令执行漏洞
weixin_42565755的博客
02-13 251
###漏洞原理反序列化是指特定语言中将传递的对象序列化数据重新恢复为实例对象的过程，而在这个过程中会执行一系列的字节流解析和对象实例化操作用于恢复之前序列化时的对象。在原博文所提到的那些 Java 应用里都有特定的接口用于传递序列化对象数据，而在反序列化时并没有限制实例化对象的类型，导致可以任意构造应用中已经包含的对象利用反序列化操作进行实例化。Java 在进行反序列化操作的时候会使用 Objec...
[漏洞复现]vulfocus/jenkins-cve_2017_1000353
qq_45751902的博客
11-24 543
Jenkins的反序列化漏洞，攻击者使用该漏洞可以在被攻击服务器执行任意代码，漏洞利用不需要任何的权限建议自己搭建环境复现，这个vulfocus上没有体现出反序列化漏洞，因为无法使用反序列化查看flag，最终使用弱口令登录，执行系统命令成功找到flag。
【jenkins漏洞复现】CVE-2017-1000353远程代码执行漏洞+CVE-2018-1000861未授权弱口令用户可执行任意命令
serendipity1130的博客
08-31 949
CVE-2017-1000353 1.扫描开放了8080端口，访问8080端口： 2、执行下面命令，生成字节码文件： java -jar CVE-2017-1000353-1.1-SNAPSHOT-all.jar jenkins_poc.ser "touch /tmp/success" 3、执行上述代码后，生成jenkins_poc.ser文件，这就是序列化字符串，#"touch..."是待执行的任意命令 4、修改exploit.py，把proxies里面的内容注释掉 6、执行如下
jenkins漏洞安全漏洞CVE-2022-2048和CVE-2021-28169
05-20
攻击者可以利用该漏洞在Jenkins服务器上执行任意代码，甚至获取管理员权限。该漏洞的CVSS评分为9.8（最高10分），属于严重级别。 为了防止这些漏洞的利用，建议及时更新Jenkins软件，尽可能使用最新版本，并遵循...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值