تقييم كامل للثغرات واختبار اختراق ضد OWASP CICD-Goat — بيئة CI/CD معرّضة للثغرات بشكل متعمد (Jenkins، Gitea، GitLab، CTFd) — مُصنّفة من البداية إلى النهاية وفق OWASP Top 10 CI/CD Security Risks.

🧭 كيف يتناسب هذا مع مستودعاتي الأخرى

لماذا يوجد هذا

معظم تقارير أمن CI/CD إما تبقى نظرية بحتة (شريحة تشرح "تسميم تنفيذ خط الأنابيب") أو مجرد مطاردة أعلام CTF (سطر واحد "هذا هو العلم، التالي"). يحاول هذا المستودع ألا يفعل أياً منهما: كل اكتشاف أدناه هو ثغرة مُتحقَّق منها بالكامل ومدعومة بإثبات مفهوم، مُصنّفة ضمن فئة مخاطر محددة من OWASP CI/CD-SEC، مكتوبة بالطريقة التي تريد فعلاً شرحها بها في مقابلة أو تقرير عميل حقيقي — بما في ذلك الطرق المسدودة والافتراضات الخاطئة وكيف تم تصحيحها.

إذا كنت تدرس لمقابلة في AppSec/DevSecOps/أمن CI-CD، أو تستعد لارتباط اختبار اختراق يتضمن سلسلة أدوات CI/CD، أو تريد فقط جولة عملية ملموسة لما يبدو عليه فعلاً "تسميم تنفيذ خط الأنابيب" أو "نظافة بيانات الاعتماد غير الكافية" على الشبكة — فهذا مكتوب لك.

البيئة المستهدفة

قواعد الارتباط الكاملة: docs/00-engagement-overview.md.

⚠️ جميع الاختبارات في هذا المستودع أُجريت ضد مختبر Docker Compose المحلي القابل للتخلص منه والمعرّض للثغرات بشكل متعمد الخاص بالمختبر. لم تُستخدم أي أنظمة إنتاجية أو بنية تحتية مشتركة أو بيانات طرف ثالث. شغّل نسختك الخاصة من CICD-Goat من المستودع الرسمي قبل تجربة أي من هذا بنفسك.

النتائج في لمحة

بالإضافة إلى 6 اكتشافات معلوماتية / داعمة (ضوابط إيجابية، تأكيدات حدود RBAC، كشف معلومات بسيط) في findings/informational/.

كيف تتسلسل الاكتشافات معاً

عدة اكتشافات ليست مستقلة — أحدها يمكّن أو يكمل الآخر مباشرة. هذا هو الجزء الذي يميل إلى إثارة الإعجاب في المقابلة أكثر من أي اكتشاف منفرد بذاته:

تم حل 9 من 11 تحدياً في CTFd والتحقق من أعلامها — راجع المرجع المتقاطع الكامل للتحديات، بما في ذلك حالة موثّقة بصدق (Dormouse/flag9) حيث صمدت حدود التحكم في الوصول تحت هجوم مستمر.

جدول المحتويات الكامل

كل ملف أدناه مرتبط مباشرة — شجرة المجلدات تُظهر فقط كيفية تنظيمها.

📋 مستندات الارتباط

🔍 الاستطلاع

🚨 الاكتشافات الحرجة والعالية

ℹ️ الاكتشافات المعلوماتية / الداعمة

🎯 CTFd

هيكل المستودع

.
├── docs/                          # Engagement context, methodology, mappings, remediation, interview prep
│   ├── 00-engagement-overview.md
│   ├── 01-methodology.md
│   ├── 02-owasp-top10-cicd-mapping.md
│   ├── 03-remediation-roadmap.md
│   ├── 04-interview-prep.md
│   └── 05-lessons-learned.md
├── recon/                         # Phase 1 & 2 — fingerprinting and authenticated enumeration
│   ├── 01-fingerprinting.md
│   └── 02-authenticated-enumeration.md
├── findings/                      # One file per confirmed finding, full PoC + remediation
│   ├── F-010-...md ... F-021-...md
│   └── informational/             # INFO/LOW severity supporting observations
├── ctfd/
│   └── challenge-cross-reference.md
└── LICENSE.md

مسارات القراءة

• تريد فقط أبرز النقاط؟ ابدأ بـ جدول النتائج أعلاه، ثم اقرأ F-010 وF-013 وF-016 وF-017 — سلاسل القتل الأربع الأكثر اكتمالاً من البداية إلى النهاية.
• تدرس لمقابلة؟ اذهب مباشرة إلى docs/04-interview-prep.md — ملخصات بأسلوب الحديث الشفهي من فقرة واحدة لكل اكتشاف رئيسي، بالإضافة إلى أسئلة المتابعة الشائعة.
• تبني/تحصّن خط أنابيب CI/CD؟ اذهب مباشرة إلى docs/03-remediation-roadmap.md — قائمة تحقق مُرتّبة حسب الأولوية وقابلة للتنفيذ.
• جديد على مفاهيم أمن CI/CD؟ ابدأ بـ docs/02-owasp-top10-cicd-mapping.md للتصنيف المرجعي الذي ينتظم حوله هذا المستودع بأكمله.

حول OWASP Top 10 CI/CD Security Risks

كل اكتشاف هنا مُصنّف وفق OWASP Top 10 CI/CD Security Risks (2023) — يوجد جدول مرجعي كامل (من CICD-SEC-1 إلى CICD-SEC-10) في docs/02-owasp-top10-cicd-mapping.md، لأنه يُشار إليه باستمرار في جميع الاكتشافات الفردية.

إخلاء المسؤولية

يوثّق هذا المستودع اختبارات أُجريت حصرياً ضد مختبر تدريبي محلي مُستضاف ذاتياً ومعرّض للثغرات بشكل متعمد (OWASP CICD-Goat)، لأغراض تعليمية وملف أعمال. لا شيء هنا يستهدف أو يشير إلى أو تم اختباره ضد أي نظام إنتاجي أو خدمة طرف ثالث أو بيانات اعتماد حقيقية. لا تستخدم أي تقنية في هذا المستودع ضد أنظمة لا تملكها أو لا تملك تصريحاً كتابياً صريحاً لاختبارها.

🧠 فلسفة الاختبار

"أفضل مختبرو الاختراق يفكرون كمطوّرين أولاً ومهاجمين ثانياً. إذا فهمت لماذا كُتب الكود بطريقة معينة، ستجد دائماً أكثر مما سيجده أي ماسح ضوئي على الإطلاق."

أتعامل مع كل ارتباط على ثلاث مراحل:

1. افهم قبل أن تهاجم — اقرأ التطبيق. استخدمه كمستخدم حقيقي. افهم منطق العمل قبل لمس أي أداة.

2. يدوياً أولاً، الأدوات ثانياً — الماسحات الآلية تجد ما تم تكوينها لإيجاده. الثغرات المثيرة تُكتشف دائماً بالتفكير، لا بالمسح.

3. أبلغ كمطوّر — الاكتشاف الذي لا يستطيع المطوّرون فهمه أو إعادة إنتاجه هو اكتشاف لا يُصلَح.

👤 عني

• الاسم — Dheeraj Kumar Jayaswal
• الدور — Technology Lead – Offensive Security, Infosys Limited
• التركيز — اختبار اختراق تطبيقات الويب وAPI
• الخبرة — أكثر من 15 عاماً في تقنية المعلومات · أكثر من 6 أعوام في الأمن الهجومي
• الميزة — مطوّر full-stack سابق (ASP.NET / SQL Server) — أفكر كمطوّر، وأهاجم كهاكر
• النطاقات — ضريبة الدخل · الخدمات المصرفية · التجزئة · التجارة الإلكترونية · الشحن اللوجستي · التعليم

🏅 الشهادات

الاتجاه المستقبلي — الفريق الأحمر: OSCP → CRTO → OSEP, CRTP, CRTL, CRTE

📄 الترخيص

هذا المحتوى مُرخّص بموجب CC BY 4.0. نرحّب بإعادة استخدام أو تكييف أي جزء من هذا التقرير — فقط قدّم إسناداً واضحاً إلى Dheeraj Kumar Jayaswal مع رابط يعود إلى هذا المستودع. CICD-Goat نفسه مشروع منفصل من Cider Security — اذهب وضع نجمة على الأصل.

🤝 تواصل

LinkedIn — منفتح على الاستشارات والتعاون والنقاشات الأمنية.

الملاحظات والتصحيحات وطلبات السحب (مثل flag9/Dormouse، أو متابعة Duchess/flag4 في المرجع المتقاطع لـ CTFd) مرحّب بها — راجع CONTRIBUTING.md.