SmokedMeat

CI/CD Red Team Framework

Wie Metasploit, aber für CI/CD-Pipelines.

Von den Machern des poutine Build Pipeline SAST Scanners bei BoostSecurity Labs.

Warnung: Dieses Tool ist nur für autorisierte Sicherheitstests bestimmt.

SmokedMeat existiert, weil CI/CD-Pipeline-Bedrohungen stark unterschätzt werden. Traditionelle Sicherheitsschulungen decken selten Supply-Chain-Angriffe ab, sodass Verteidiger unvorbereitet gegenüber Techniken sind, die Angreifer aktiv in freier Wildbahn ausnutzen.

Wir haben dies entwickelt, um Sicherheitsteams die Möglichkeit zu geben, Abwehrmaßnahmen gegen fortgeschrittene CI/CD-Angriffstechniken durch realistische Red-Team-Übungen zu erlernen, zu üben und zu validieren.

Verwenden Sie es nur gegen Systeme, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben.

Was ist SmokedMeat?

SmokedMeat ist ein Post-Exploitation-Framework für CI/CD-Pipelines. Richten Sie es auf eine GitHub-Organisation, lassen Sie es anfällige Workflows finden, setzen Sie einen Implant auf einem kompromittierten Runner ein, navigieren Sie dann durch Cloud-Anbieter, extrahieren Sie Geheimnisse und kartieren Sie den Explosionsradius – alles über eine Terminal-Benutzeroberfläche.

Was es tut:

1. Analysieren - Scannen Sie die GitHub Actions Workflows einer Organisation nach Injection-Schwachstellen, gefährlichen Triggern und unsicheren Checkout-Mustern (unterstützt durch poutine)
2. Ausnutzen - Stellen Sie einen Stager über PR, Issue, Kommentar oder Workflow-Dispatch bereit. Wenn der anfällige Workflow ausgeführt wird, lädt er den Implant herunter und führt ihn auf dem CI-Runner aus.
3. Post-Exploitation - Extrahieren Sie Geheimnisse aus dem Runner-Speicher, enumerieren Sie GitHub-Token-Berechtigungen, scannen Sie nach privaten Schlüsseln und sammeln Sie Beute.
4. Pivotieren - Verwenden Sie erbeutete Anmeldeinformationen, um sich seitlich zu bewegen: Entdecken Sie private Repos, erstellen Sie GitHub-App-Tokens, tauschen Sie OIDC-Tokens gegen AWS/GCP/Azure-Zugriff aus, untersuchen Sie SSH-Deploy-Keys.

Philosophie: Kühn und laut. Dies ist kein EDR-Umgehungstool. Es ist ein Demonstrations-Framework, das zeigt, wie tief eine CI/CD-Kompromittierung reicht, bevor etwas einen Alarm auslöst.

Für wen ist es gedacht:

• Red Teams, die die CI/CD-Sicherheitslage in Unternehmensumgebungen validieren
• Pentester, die Stakeholdern Supply-Chain-Angriffspfade demonstrieren
• Sicherheitsingenieure, die Erkennung und Reaktion auf Pipeline-Angriffe testen
• Forscher, die neue CI/CD-Exploitationstechniken entwickeln
• Bug-Bounty-Jäger, die die Angriffsfläche der Lieferkette erkunden

Schnellstart

Um SmokedMeat zum ersten Mal auszuprobieren, installieren Sie Docker und make. Go ist nicht erforderlich.

git clone https://github.com/boostsecurityio/smokedmeat.git
cd smokedmeat
make quickstart

make quickstart wird als erster Lauf empfohlen. Es startet den stabilen Quickstart-Stack lokal und startet die Operator-TUI (Counter) gegen den lokalen C2-Teamserver (Kitchen).

Empfohlener erster Lauf:

• Target: whooli
• Token: classic PAT with public_repo

⚠ Bevorzugen Sie ein klassisches PAT. Fein granulierte PATs können zu restriktiv sein und das Testen öffentlicher Ziele in anderen Organisationen, einschließlich whooli, blockieren.

whooli ist SmokedMeats bewusst anfälliger CI/CD-Angriffs-Spielplatz. Es ist das empfohlene erste Ziel für den öffentlichen Pfad.

Der Setup-Assistent führt Sie durch:

1. GitHub PAT - Geben Sie Ihr Token ein. Für private Repos benötigt ein klassisches PAT normalerweise repo.
2. Ziel - Geben Sie whooli oder Ihre eigene Org./Repo ein.
3. Analyse - Scannt Workflows auf Schwachstellen und präsentiert ausnutzbare Ergebnisse.

Den vollständigen Challenge-Ablauf finden Sie im whooli-Leitfaden oder gehen Sie direkt zur whooli-GitHub-Org.

Wenn Sie fertig sind:

make quickstart-down       # Stop containers
make quickstart-purge      # Stop and delete all data

Wenn Sie stattdessen aus dem Quellcode arbeiten möchten, siehe Entwicklung.

Entwicklung

Wenn Sie lokal zum Quellbaum beitragen oder daran iterieren, installieren Sie Go 1.26+ und verwenden Sie den Dev-Quickstart:

make dev-quickstart

make dev-quickstart baut das lokale smokedmeat-cloud-shell-Image, startet cloudflared, nats und den C2-Teamserver (Kitchen), und startet dann die Operator-TUI aus dem Quellcode.

Wenn Sie zuerst die Infrastruktur und später die Operator-TUI möchten:

make dev-quickstart-up
make dev-quickstart-counter

Wenn Sie fertig sind:

make dev-quickstart-down   # Stop containers
make dev-quickstart-purge  # Stop and delete all data

Weitere Bereitstellungsmodi und Details zur lokalen Entwicklung finden Sie in docs/deployment.md.

Versionsprüfung

Counter prüft beim Start auf neuere SmokedMeat-Versionen. Dies kann durch Setzen der Umgebungsvariable SMOKEDMEAT_DISABLE_VERSION_CHECK deaktiviert werden.

Kernkomponenten

Bereitstellungsmodi

Der Hosted Teamserver führt den C2-Teamserver auf einem dedizierten Host und die Operator-TUI nativ auf jeder Operator-Workstation aus.

Architektur

Auf hoher Ebene kommuniziert die Operator-TUI (Counter) mit dem C2-Teamserver (Kitchen), der Implants (Brisket) auf kompromittierten CI-Runnern verwaltet und den Live-Angriffsgraph bereitstellt.

┌──────────────┐
│  SSH AGENT   │
│   (Auth)     │
└──────┬───────┘
       │
       ▼
┌──────────────┐                 ┌──────────────┐
│  THE COUNTER │ ───────────────▶│  THE KITCHEN │
│  (Operator)  │    WebSocket    │ (Teamserver) │
│  Bubbletea   │◀─────────────── │              │
│     TUI      │   Events/Graph  │ ┌──────────┐ │
└──────────────┘                 │ │ Database │ │
                                 │ └──────────┘ │
┌──────────────┐                 │              │
│   BROWSER    │ ───────────────▶│              │
│  Graph View  │    WebSocket    │              │
│  Visualizer  │◀─────────────── │              │
└──────────────┘   Live Updates  └──────────────┘
                                   │         ▲
                                   │         │
                        Creates PR │         │ Stager fetches implant binary
                                   │         │ Implant HTTP Beacon/Commands
                                   ▼         │
┌────────────────────────────────────────────┴──────────────────────────────────┐
│  GITHUB.COM                                                                   │
│                                                                               │
│  ┌─────────────────────┐          ┌─────────────────────────────────────────┐ │
│  │  Malicious PR       │ triggers │  GitHub Actions Runner                  │ │
│  │  (Vulnerable        │─────────▶│                                         │ │
│  │   Workflow)         │          │  ┌────────────┐      ┌────────────────┐ │ │
│  └─────────────────────┘          │  │  Stager    │─────▶│  THE BRISKET   │ │ │
│                                   │  │            │      │  (Implant)     │ │ │
│                                   │  └────────────┘      └────────────────┘ │ │
│                                   └─────────────────────────────────────────┘ │
└───────────────────────────────────────────────────────────────────────────────┘

Funktionen

Vollständige Details in docs/FEATURES.md.

Technologie-Stack

Testen

make test          # Unit tests
make lint          # Linter
make e2e-smoke     # Fast public exploit smoke path
make e2e-goat      # Full goat chain to the cloud flag

Vorherige Arbeiten

SmokedMeat baut auf Forschung auf von:

• poutine – Build Pipeline SAST-Scanner
• LOTP – Living Off The Pipeline-Techniken
• Gato-X – GitHub Actions-Enumeration
• Nord-Stream – CI/CD-Geheimnisextraktion
• Sliver – Go C2-Architekturmuster
• Mythic – Kollaboratives Workflow-Design

Lizenz

GNU Affero General Public License v3.0 – siehe LICENSE für Details.

Gebaut für Verteidiger, die Angreifertechniken verstehen wollen.