| 核查 | 匿名权限、脚本控制台、插件与版本、访问控制 |
|---|---|
| 方法 | 以低权限与匿名身份验证页面与接口可达性 |
| 修复 | 关闭匿名授权、收敛暴露面、定期升级 |
检查要点
检查要点
1. 匿名访问：项目列表、构建日志、系统信息
2. 脚本控制台与系统管理页面权限（不执行脚本）
3. 用户与凭据管理入口的可达性
4. 插件更新状态与版本清单任何形式的脚本执行测试都超出验证范围；只核查可达性与权限配置。
Jenkins 权限与暴露面检查
Jenkins 常见问题：匿名可读/可写、脚本控制台暴露、插件过期以及默认凭据；核查权限矩阵与对外暴露面。
易错点
- 用脚本控制台做“验证”，直接将系统置于高风险
- 只检查外网入口，漏掉内网与备份链路
数据来源与参考
- Jenkins 官方安全文档（Securing Jenkins）
- CWE-284