JumpServer堡垒机安全检测工具BlackJump设计与实战

1. 项目概述与核心价值

最近在内部安全评估和红队演练中，JumpServer堡垒机是一个高频出现的目标。作为一款广泛使用的开源堡垒机，它承载着企业核心资产访问的跳板和控制功能，一旦失守，后果不堪设想。我手头正好有一个在实战中打磨出来的工具，暂且叫它“BlackJump”。这并非一个公开的漏洞利用框架，而是我个人为了提升效率，基于对JumpServer多个历史安全问题的深入研究，整合而成的一个综合验证与利用脚本集。它的核心价值在于，能够自动化、批量化地检测JumpServer资产是否存在常见的未授权访问、信息泄露、命令执行等漏洞，并将复杂的利用链简化为几条命令，极大提升了安全测试的效率和深度。对于安全研究人员、企业内部的蓝队和红队成员而言，这样一个工具能帮助快速定位风险，验证修复方案是否生效。

需要明确的是，开发和使用此类工具必须严格遵守法律法规，仅用于授权范围内的安全测试、漏洞验证和自身系统的防护建设。任何未经授权的测试行为都是非法的。本文的目的在于技术交流，通过剖析工具背后的原理和实现思路，帮助安全从业者更深入地理解JumpServer的安全机制和常见弱点，从而更好地进行防御。

2. JumpServer安全架构与常见攻击面分析

要理解一个漏洞利用工具，必须先理解其目标。JumpServer的安全架构可以粗略分为几个层面：Web前端（基于Django）、API接口、核心组件（如Koko、Guacamole用于连接资产）、以及底层依赖（如Redis、MySQL/H2 Database、Celery等）。攻击面也相应地分布在这些层面。

2.1 未授权访问漏洞的根源

未授权访问（Unauthorized Access）是JumpServer历史上屡次出现的高危问题。其根源往往在于：

1. API接口鉴权缺失或绕过：某些API端点本应校验用户会话或Token，但因配置错误、代码逻辑缺陷或默认安装问题，允许未认证用户直接访问。例如，早期的某些版本中，获取用户列表、资产列表的API可能存在此问题。
2. 默认弱口令与默认安装：JumpServer的默认管理员账号密码（admin/admin）如果未被修改，是最直接的未授权入口。此外，一些快速部署脚本（如docker-compose）可能使用默认的、强度不高的密码或密钥。
3. 依赖组件暴露：JumpServer依赖的中间件服务如果配置不当，可能直接暴露在公网。最典型的例子就是H2 Database控制台未授权访问。在JumpServer的某些部署方式中，H2数据库的控制台可能被开启且未设置访问密码，攻击者可以直接通过Web接口连接到这个嵌入式数据库，执行SQL命令，从而窃取或篡改所有核心数据，包括用户凭证、资产信息、会话记录等。这与Nacos、Druid等组件的未授权访问漏洞原理类似，都是管理界面缺乏认证。
4. 信息泄露接口：一些用于监控或调试的接口（如/metrics,/actuator,/api/v1/health/等）可能泄露敏感信息，如内部IP、组件状态、甚至部分配置，为后续攻击提供情报。

2.2 从信息泄露到命令执行

单纯的未授权信息泄露危害有限，但JumpServer的架构特性使得信息泄露极易升级为严重的命令执行或权限提升。例如：

• 通过未授权API获取到有效的Session ID或Token，即可模拟合法用户身份，调用更高权限的API。
• 通过H2 Database未授权访问，可以直接读取django_session表或core_user表，获取管理员会话或密码哈希（虽然破解有难度，但如果有盐值泄露或弱哈希，风险很高）。更直接的是，可以通过SQL语句修改用户密码或权限。
• JumpServer的“命令过滤器”、“命令存储”等功能涉及对用户输入的处理，如果存在注入漏洞（如SQL注入、命令注入），结合未授权访问点，可能实现远程代码执行。

2.3 与其它组件漏洞的关联

搜索热词中提到了Nacos、Druid、Swagger、Spring Cloud Gateway等组件的未授权漏洞。这提醒我们，在针对JumpServer的测试中，视野不能局限于JumpServer本身。一个完整的企业运维体系可能集成了配置中心（Nacos）、监控（Metrics）、API文档（Swagger）等多个组件。这些组件的未授权漏洞同样可以作为进入JumpServer内网的跳板，或者直接获取到JumpServer的配置信息（如数据库连接串、Redis密码、API密钥）。因此，一个综合性的工具需要具备对关联组件的探测能力。

3. BlackJump工具设计与核心模块解析

基于以上攻击面分析，BlackJump被设计为一个模块化、插件化的Python工具。它不采用重量级的框架，而是通过清晰的函数和类来组织功能，便于理解和二次开发。核心结构如下：

BlackJump/ ├── core/ │ ├── requester.py # 封装HTTP请求，处理会话、代理、重试等 │ └── utils.py # 通用工具函数（日志、解析、编码等） ├── modules/ │ ├── auth_bypass.py # 各类未授权访问检测模块 │ ├── info_disclosure.py # 信息泄露探测模块 │ ├── h2_console.py # H2 Database控制台利用模块 │ ├── weak_password.py # 默认口令与弱口令检测 │ └── rce_check.py # 潜在命令执行漏洞检测（谨慎使用） ├── exploits/ # 完整的利用链（如：H2未授权->改密->登录） └── cli.py # 命令行交互界面

3.1 请求引擎封装

一个稳健的请求引擎是基础。requester.py需要处理SSL证书验证（通常在内网测试中需要忽略）、超时设置、请求头伪装（模拟浏览器）、Cookie和Session的自动管理。特别是对于JumpServer，需要注意其CSRF Token的处理。很多需要POST请求的漏洞利用，需要先GET一个页面来获取CSRF Token。

# core/requester.py 简化示例 import requests from requests.adapters import HTTPAdapter from urllib3 import disable_warnings from urllib3.exceptions import InsecureRequestWarning disable_warnings(InsecureRequestWarning) class RequestEngine: def __init__(self, base_url, proxy=None, timeout=15): self.base_url = base_url.rstrip('/') self.session = requests.Session() self.session.verify = False # 忽略SSL警告，仅用于测试环境 self.timeout = timeout self.session.headers.update({ 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36', 'Accept': 'application/json, text/html, */*', 'Accept-Language': 'zh-CN,zh;q=0.9', }) if proxy: self.session.proxies = {'http': proxy, 'https': proxy} # 适配器，增加重试 adapter = HTTPAdapter(max_retries=3) self.session.mount('http://', adapter) self.session.mount('https://', adapter) self.csrf_token = None def get_csrf_from_html(self, html_text): """从HTML页面中提取CSRF Token，常见于Django模板""" # 简化实现，实际需用正则或解析库更健壮 import re match = re.search(r'name="csrfmiddlewaretoken" value="([^"]+)"', html_text) if match: return match.group(1) return None def get(self, path, **kwargs): url = f"{self.base_url}{path}" resp = self.session.get(url, timeout=self.timeout, **kwargs) return resp def post(self, path, data=None, json=None, use_csrf=False, **kwargs): url = f"{self.base_url}{path}" headers = kwargs.pop('headers', {}) if use_csrf and self.csrf_token: if data is not None and isinstance(data, dict): data['csrfmiddlewaretoken'] = self.csrf_token elif json is not None and isinstance(json, dict): # JSON API通常使用X-CSRFToken头 headers['X-CSRFToken'] = self.csrf_token resp = self.session.post(url, data=data, json=json, headers=headers, timeout=self.timeout, **kwargs) return resp

注意：在生产环境中，务必进行合法的授权测试。verify=False仅用于测试环境绕过自签名证书，在知晓风险的情况下使用。工具应内置风险提示。

3.2 未授权访问检测模块

这是工具的核心。auth_bypass.py集成了对多个历史漏洞和常见错误配置的检测。

# modules/auth_bypass.py from core.requester import RequestEngine import logging log = logging.getLogger(__name__) def check_unauthorized_api(engine: RequestEngine): """检测未授权的API端点""" checks = [ ('/api/v1/users/users/', 'GET', '用户列表'), ('/api/v1/assets/assets/', 'GET', '资产列表'), ('/api/v1/perms/asset-permissions/', 'GET', '资产授权列表'), ('/api/v1/terminal/sessions/', 'GET', '会话列表'), ('/api/v1/ops/command-executions/', 'GET', '命令执行历史'), ('/jumpserver/health/', 'GET', '健康检查（可能泄露信息）'), ] results = [] for path, method, desc in checks: try: if method == 'GET': resp = engine.get(path) # 可以扩展POST检查 if resp.status_code == 200: # 关键：不能仅看状态码，还要判断返回内容是否包含敏感数据 # 例如，检查返回的JSON是否包含`results`字段且非空，或者是否包含`"id"`等关键字 import json try: data = resp.json() # 简单启发式判断：有数据且不是错误信息 if isinstance(data, dict) and data.get('results') is not None: log.warning(f"[+] 疑似未授权访问漏洞: {desc} ({path})") results.append((path, desc, '可能存在未授权访问', data)) elif isinstance(data, list) and len(data) > 0: log.warning(f"[+] 疑似未授权访问漏洞: {desc} ({path})") results.append((path, desc, '可能存在未授权访问', data)) except json.JSONDecodeError: # 如果是HTML，可能是跳转到了登录页，不算漏洞 if 'login' not in resp.text.lower(): log.info(f"[?] {path} 返回非JSON，需人工确认: {resp.status_code}") except Exception as e: log.debug(f"检查 {path} 时出错: {e}") return results

实操心得：检测未授权API时，最大的误区是只依赖HTTP状态码。很多接口即使返回200，内容也可能是“请登录”或空列表。因此，必须对响应内容进行解析和语义判断。同时，请求频率要低，避免触发WAF或封禁。

3.3 H2 Database控制台利用模块

这是JumpServer最具威胁的漏洞之一。h2_console.py模块实现了自动化的检测和利用。

# modules/h2_console.py def check_and_exploit_h2(engine: RequestEngine): """检测并尝试利用H2 Database控制台未授权访问""" h2_paths = ['/h2-console', '/h2', '/console', '/admin/h2'] for path in h2_paths: try: resp = engine.get(path) if resp.status_code == 200 and 'H2 Console' in resp.text: log.critical(f"[!!!] 发现H2 Database控制台: {engine.base_url}{path}") # 尝试自动连接并执行探测性SQL return _exploit_h2_console(engine.base_url + path, engine) except Exception as e: continue return False def _exploit_h2_console(console_url, engine): """利用H2控制台执行SQL（需根据JumpServer版本调整表名）""" # H2控制台连接需要POST特定参数 # 这里是一个高度简化的示例，实际需要模拟浏览器提交连接表单 # 步骤1: 获取连接页面，解析可能的隐藏字段 # 步骤2: 构造连接参数（JDBC URL, 用户名，密码） # JumpServer的H2通常是内嵌模式，JDBC URL类似 `jdbc:h2:file:./data/jumpserver` # 用户名可能是 `sa`，密码可能为空或为 `password` # 由于H2控制台交互复杂，且不同版本表单有差异，此处仅给出思路： # 1. 使用`requests`的Session保持会话。 # 2. 访问console_url，解析出`<form>`中的action和input。 # 3. 向action提交连接参数。 # 4. 如果连接成功，会跳转到查询页面，然后可以POST SQL语句。 # 一个非常危险的PoC SQL是修改管理员密码： # UPDATE core_user SET password = '[新密码的PBKDF2哈希]' WHERE username = 'admin'; # **注意：此操作极具破坏性，仅用于授权测试验证漏洞存在性，切勿在非授权环境使用！** # 更安全的验证方式是执行只读查询，如： # SELECT username, email FROM core_user LIMIT 5; log.warning("H2控制台利用模块需要精细的HTTP交互模拟，建议结合浏览器手动测试或使用专门工具。") # 在实际工具中，这里会实现完整的自动化流程，包括判断连接参数、执行查询、提取数据。 return True

重要警告：利用H2控制台修改数据库数据是破坏性操作。在授权测试中，应优先使用SELECT语句验证漏洞存在性，并立即报告。修改密码等操作必须在得到明确授权且准备充分（如已备份）的情况下进行。

3.4 弱口令与默认凭证检测

weak_password.py模块不仅检查JumpServer的Web登录，也检查其依赖服务（如Redis、MySQL）。

# modules/weak_password.py def check_jumpserver_default_login(engine: RequestEngine): """检测JumpServer默认管理员密码(admin/admin)""" login_url = '/api/v1/authentication/auth/' # 首先获取CSRF Token resp = engine.get('/core/auth/login/') csrf_token = engine.get_csrf_from_html(resp.text) if not csrf_token: log.info("无法获取CSRF Token，可能页面结构已变化。") return False engine.csrf_token = csrf_token data = { 'username': 'admin', 'password': 'admin', 'csrfmiddlewaretoken': csrf_token } resp = engine.post('/core/auth/login/', data=data) # 判断登录成功：状态码可能是302重定向，或者返回JSON包含token if resp.status_code in [200, 302]: if 'location' in resp.headers and 'login' not in resp.headers['location'].lower(): log.critical(f"[!!!] 默认密码登录成功 (admin/admin)") return True try: json_resp = resp.json() if json_resp.get('token') or json_resp.get('msg') == 'ok': log.critical(f"[!!!] 默认密码登录成功 (admin/admin)") return True except: pass return False def check_redis_unauth(engine: RequestEngine, host=None, port=6379): """检测Redis未授权访问（如果Redis暴露）""" # 注意：Redis通常不通过HTTP暴露，这是一个TCP服务检查。 # 此处展示思路，实际实现可能需要socket连接。 import socket target_host = host or engine.base_url.split('://')[1].split(':')[0].split('/')[0] try: s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.settimeout(3) s.connect((target_host, port)) s.send(b'INFO\r\n') # 发送Redis命令 result = s.recv(1024) if b'redis_version' in result: log.warning(f"[+] Redis未授权访问可能: {target_host}:{port}") return True except Exception as e: log.debug(f"Redis检测失败 {target_host}:{port} - {e}") finally: s.close() return False

4. 实战演练：从发现到验证的完整流程

假设我们获得了一个授权测试目标：https://jumpserver.example.com。我们将使用BlackJump进行非侵入式的安全检测。

4.1 信息收集与初步探测

首先，使用工具进行基本的存活判断和指纹识别。虽然BlackJump主要聚焦漏洞利用，但前期信息收集必不可少。

# 使用命令行启动工具，进行综合检测 python cli.py -u https://jumpserver.example.com --check-all

工具内部会按顺序执行：

1. 基础连接验证：检查目标是否可达，是否是一个JumpServer（通过favicon、特定标题、Cookie名称jms_等判断）。
2. 默认口令检测：尝试使用admin/admin等常见组合登录。
3. 未授权API扫描：运行check_unauthorized_api函数。
4. 信息泄露路径扫描：检查/api/v1/health/,/metrics,/static/,/media/等路径是否存在敏感信息泄露。
5. 组件未授权检测：检查/h2-console,/druid/index.html（如果用了Druid）,/actuator等。

4.2 漏洞发现与深度验证

假设扫描结果发现两个高危点：

1. /api/v1/users/users/返回了200状态码，并且包含了非空的用户列表JSON。
2. /h2-console路径存在，且可以访问到H2登录页面。

对于未授权API，工具会标记为高危。我们需要手动验证其危害。我们可以用curl或工具的调试功能，尝试获取更多数据：

# 使用工具内置的请求功能进行深度探测 python cli.py -u https://jumpserver.example.com --module info_disclosure --path /api/v1/assets/assets/

如果资产列表也能未授权访问，那么攻击者就获得了JumpServer管理的所有服务器、网络设备等清单，这是严重的信息泄露。

对于H2控制台，这是最高危的发现。工具会尝试自动连接。在授权测试中，我们进行验证：

1. 打开浏览器，访问https://jumpserver.example.com/h2-console。
2. 设置JDBC URL为jdbc:h2:file:./data/jumpserver（这是常见路径，也可能在配置文件中找到）。
3. 用户名填sa，密码留空或尝试password、jumpserver等。
4. 点击连接。如果成功，则证明存在H2数据库未授权访问漏洞。

4.3 利用链构造（仅用于理解攻击路径）

在理解攻击者视角时，我们可以构想一条利用链：

1. 入口：通过未授权API/api/v1/users/users/获取所有用户名。
2. 升级：发现H2控制台未授权访问。连接后，执行SQL查询SELECT * FROM core_user;，直接获取所有用户的密码哈希和盐值。或者，更直接地，修改某个用户的密码哈希为一个已知值（需要提前计算好对应密码的PBKDF2哈希）。
3. 控制：使用修改后的密码登录JumpServer Web界面，获得该用户权限（如果是管理员，则获得完全控制权）。
4. 横向移动：通过JumpServer的“资产授权”和“会话管理”功能，直接连接后台服务器，实现内网横向移动。

这个链条展示了从外部信息泄露到完全控制堡垒机乃至内网的过程，危害极大。

防御视角：作为防御方，看到这个链条，就应该立即检查：1. API权限校验是否完备；2. H2控制台是否对外暴露且无认证；3. 是否使用了默认或弱密码；4. 网络层面是否对管理界面做了访问控制。

5. 防御加固建议与排查清单

基于上述攻击面，为企业部署和维护JumpServer提供以下加固建议：

5.1 网络与访问控制

• 最小化暴露面：JumpServer管理界面绝不应直接暴露在公网。应通过VPN或零信任网络网关进行访问。
• 网络隔离：将JumpServer部署在内网安全区域，严格限制源IP访问（如仅允许运维网段访问管理端口）。
• 组件隔离：确保H2 Database、Redis、MySQL等依赖服务仅监听在本地回环地址（127.0.0.1）或内部网络，禁止绑定0.0.0.0。

5.2 应用安全配置

• 及时更新：密切关注JumpServer官方安全公告，及时更新到最新稳定版本。历史漏洞大多在新版本中已修复。
• 禁用调试功能：在生产环境中，确保关闭Django的调试模式（DEBUG=False），避免泄露敏感错误信息。
• 强化认证：
  • 强制修改默认管理员密码，并启用强密码策略。
  • 启用多因素认证（MFA）。
  • 定期审计和清理无用账户。
• API安全：审查所有API接口的权限控制，确保遵循最小权限原则。可以使用API网关或WAF对管理API进行额外的访问控制。
• 会话安全：配置安全的Cookie属性（HttpOnly, Secure），并设置合理的会话超时时间。

5.3 依赖组件安全

• H2 Database：如果非必须，在生产环境使用MySQL或PostgreSQL等外部数据库。如果必须使用H2，确保其控制台绝对禁用（通过配置spring.h2.console.enabled=false或类似配置），并且数据库文件权限严格限制。
• Redis：务必设置强密码，并配置requirepass。禁止使用--protected-mode no启动。绑定IP为127.0.0.1。
• 定期扫描：使用BlackJump这类工具（在授权下）定期对自身的JumpServer进行安全扫描，模拟攻击者视角发现潜在风险。

5.4 安全监控与审计

• 日志审计：开启JumpServer所有组件的详细日志，并集中收集分析。特别关注登录失败、异常API访问、数据库连接请求等日志。
• 入侵检测：在JumpServer主机上部署HIDS（主机入侵检测系统），监控对敏感文件（如数据库文件、配置文件）的异常读写、异常进程启动等行为。
• 定期评估：将JumpServer纳入定期的渗透测试和红队演练范围，检验整体安全防护的有效性。

6. 工具开发的伦理思考与注意事项

开发像BlackJump这样的工具，是一把双刃剑。它在我手中是提升安全测试效率、帮助客户发现风险的利器，但若被恶意使用，则会造成严重危害。因此，在开发和使用的全过程中，必须恪守以下原则：

1. 合法授权是前提：任何测试行为必须在获得资产所有者明确书面授权的前提下进行。未经授权的测试等同于攻击，是违法行为。
2. 最小影响原则：在测试中，优先使用只读操作（如SELECT查询）验证漏洞，避免修改、删除数据或影响系统正常运行。如需进行破坏性验证（如修改密码），必须与客户充分沟通，并在隔离环境或备份后进行。
3. 工具可控：不在工具中集成高度自动化的、破坏性的攻击载荷（如自动提权、自动横向移动）。工具应定位为“漏洞验证器”而非“自动化攻击平台”。
4. 知识共享，共同防御：将工具发现的漏洞原理、利用方式和防御方案清晰地记录下来，帮助开发者和运维人员理解风险，共同提升产品和服务的安全性。这正是本文写作的初衷。
5. 持续学习与更新：JumpServer等开源项目在快速迭代，安全漏洞也在不断变化。工具需要持续维护，关注新的CVE和安全研究。同时，防御思路也要随之更新，不能依赖一成不变的规则。

最后，我想强调的是，安全的核心是人。工具再强大，也只是辅助。真正的安全源于对架构的深刻理解、对流程的严格遵守、以及对安全的持续敬畏。希望这篇关于JumpServer安全研究和工具实践的分享，能为大家带来一些有价值的参考。在实战中，每一个细节都值得深究，每一次测试都要心怀敬畏。