CICD-Goat VAPT Writeup

Eine vollständige Schwachstellenbewertung und Penetrationstest gegen OWASP CICD-Goat — eine absichtlich verwundbare CI/CD-Umgebung (Jenkins, Gitea, GitLab, CTFd) — durchgängig abgebildet auf die OWASP Top 10 CI/CD Security Risks.

🧭 Wie dies zu meinen anderen Repos passt

Repository	Was darin enthalten ist
CICD-Goat-Vapt-Writeup (dieses Repo)	Vollständiger VAPT-Writeup gegen OWASP CICD-Goat — 16 Findings inklusive CVE-2024-23897, abgebildet auf die OWASP Top 10 CI/CD Security Risks, mit PoCs und interviewtauglichen Zusammenfassungen
From-Dev-To-Attacker	Mein Flaggschiff-Feldjournal — 67 originäre Write-ups zu Schwachstellenmustern, geschrieben aus der Perspektive eines Entwicklers, mit unternehmensbezogener Domain-Impact-Einordnung über Steuerwesen, Bankwesen, Einzelhandel, E-Commerce, Frachtlogistik und Bildung
From-Pentester-To-Red-Teamer	Meine strukturierte 24-Monats-Roadmap für den Übergang vom Web-/API-Pentesting zum Red Teaming — Phasen, Labs, Zertifizierungen und offen dokumentierter Fortschritt, während ich sie durcharbeite
AppSec-From-The-Trenches	Referenz zu Pentest-Tools und -Methodik — wie ich Burp Suite, Nmap, Metasploit, Hydra, Hashcat und mehr tatsächlich einsetze, plus meine WAPT-Methodik
API-From-The-Trenches	Deep-Dive-Serie zur API-Sicherheit — Abdeckung der OWASP API Top 10, BOLA, JWT-Angriffe, GraphQL-Testing, vollständige Methodik
Bug-Bounty-Hunting-Companion	Echte, öffentlich offengelegte Bug-Bounty-Reports, aufgeschlüsselt in reproduzierbare Checklisten
DarkWeb-From-The-Trenches	Threat-Intelligence- und Dark-Web-OSINT-Methodik — Überwachung von Credential-Leaks, Ransomware-Tracking, Pre-Engagement-TI
.pcap-Arsenal	Nach Protokoll organisierte Packet Captures für Analysen und Lernen auf Web-/API-/Netzwerkebene
Pentest-Engagement-Playbook	Beratertaugliche Vorlagen für Scoping, ROE, Schweregrad-Begründung und Executive Reporting — das kundengerichtete operative Playbook hinter einem Engagement

Warum es dieses Repo gibt

Die meisten CI/CD-Security-Writeups bleiben entweder rein theoretisch (eine Folie, die „Poisoned Pipeline Execution" erklärt) oder rein auf CTF-Flags fixiert (ein Einzeiler: „hier ist das Flag, weiter"). Dieses Repo versucht beides nicht: Jedes Finding unten ist eine vollständig validierte, PoC-gestützte Schwachstelle, abgebildet auf eine bestimmte Risikokategorie der OWASP CI/CD-SEC, geschrieben so, wie man es tatsächlich in einem Interview oder einem echten Kundenbericht erklären möchte — einschließlich der Sackgassen, der falschen Annahmen und wie sie korrigiert wurden.

Wenn du dich auf ein Vorstellungsgespräch im Bereich AppSec/DevSecOps/CI-CD-Sicherheit vorbereitest, dich auf ein Pentest-Engagement mit einer CI/CD-Toolchain vorbereitest oder einfach eine konkrete, praxisnahe Tour davon möchtest, wie „Poisoned Pipeline Execution" oder „Insufficient Credential Hygiene" tatsächlich auf der Leitung aussehen — dafür ist dieses Dokument geschrieben.

Zielumgebung

Feld	Wert
Ziel	OWASP CICD-Goat — lokale Docker-Compose-Bereitstellung
Engagement-Typ	Autorisierte, selbstgesteuerte Lernumgebung (Grey-Box)
Tech-Stack	Jenkins 2.332.1, Gitea 1.16.5, GitLab 15.11.13-ee, CTFd, Docker Compose
Scope	`localhost:3000` (Gitea), `:8080`/`:50000` (Jenkins), `:4000` (GitLab), `:8000` (CTFd), `:8008` (prod-sim)
Methodik	Phase 0–3 (Scope → Fingerprinting → Vulnerability ID → Exploitation)

Vollständige Rules of Engagement: docs/00-engagement-overview.md.

⚠️ Alle Tests in diesem Repo wurden gegen die eigene lokale, wegwerfbare, absichtlich verwundbare Docker-Compose-Lernumgebung des Testers durchgeführt. Es waren keine Produktionssysteme, gemeinsam genutzte Infrastruktur oder Daten Dritter beteiligt. Setze deine eigene Kopie von CICD-Goat aus dem offiziellen Repo auf, bevor du selbst etwas davon ausprobierst.

CICD-Goat-Vapt-Writeup — Updated!