Jenkins安全检查

1.jenkins未授权访问 描述

jenkins不当配置可导致未授权访问管理控制台,可以通过脚本命令行执行系统命令。通过该漏洞,可以后台管理服务,通过脚本命令行功能执行系统命令,如反弹shell,wget写webshell文件

加固建议 打开jenkins页面，点击左侧的系统管理—>Configure Global Security，进入权限配置界面，确保允许账户注册和任何用户可以做任何事两个选项没有同时勾选。若使用了安全矩阵，确保anonymous用户不能具有read之外的权限

Jenkins会默认安装一些插件，但是可能还不够，我们需要另外安装一些； 我们需要 确保下面的插件都已经安装，后面需要用到：

Ant Plugin、Build Authorization Token Root Plugin、 Email Extension Plugin、 Generic Webhook Trigger Plugin、 GitHub Branch Source GitHub plugin 、Gitlab Authentication plugin 、Gitlab Hook Plugin、 HTML Publisher 、

Publish Over SSH 、SonarQube Scanner for Jenkins

Publish over SSH

Publish over SSH是一款进行远程部署的插件，可以简化一些配置，有了他，就不要再去写sh脚本了。

安装Publish over SSH插件好后，配置一下：

我们可以添加多个SSH Servers，每一个SSH Server 可以使用默认值，或进行单独的配置：

Name、Hostname填ip地址，Username填root，Remote Directory填需要发布的远程目录，点击高级，进行一些高级配置。我们用的比较多的是 修改认证方式，首先勾选“Use password authentication, or use a different key”， 然后有两个选择，一是密码，而是使用SSH Key。