Eine vollständige Schwachstellenbewertung & Penetrationstest gegen OWASP CICD-Goat — eine absichtlich verwundbare CI/CD-Umgebung (Jenkins, Gitea, GitLab, CTFd) — durchgängig abgebildet auf die OWASP Top 10 CI/CD Security Risks.

🧭 Wie dies mit meinen anderen Repos zusammenpasst

Warum das existiert

Die meisten CI/CD-Security-Writeups bleiben entweder rein theoretisch (eine Folie, die „Poisoned Pipeline Execution" erklärt) oder rein CTF-Flag-Jagd (ein Einzeiler „hier ist die Flag, weiter"). Dieses Repo versucht beides nicht: Jedes Finding unten ist eine vollständig validierte, PoC-gestützte Schwachstelle, abgebildet auf eine spezifische OWASP CI/CD-SEC-Risikokategorie, geschrieben so, wie man es tatsächlich in einem Interview oder einem echten Kundenbericht erklären möchte — inklusive der Sackgassen, der falschen Annahmen und wie sie korrigiert wurden.

Wenn du für ein AppSec-/DevSecOps-/CI-CD-Security-Interview lernst, dich auf ein Pentest-Engagement mit einer CI/CD-Toolchain vorbereitest oder einfach einen konkreten, praxisnahen Rundgang möchtest, wie „Poisoned Pipeline Execution" oder „Insufficient Credential Hygiene" tatsächlich auf dem Draht aussehen — dann ist das für dich geschrieben.

Zielumgebung

Vollständige Rules of Engagement: docs/00-engagement-overview.md.

⚠️ Alle Tests in diesem Repo wurden gegen das eigene lokale, wegwerfbare, absichtlich verwundbare Docker-Compose-Lab des Testers durchgeführt. Es waren keine Produktionssysteme, keine geteilte Infrastruktur und keine Daten Dritter beteiligt. Starte deine eigene Kopie von CICD-Goat aus dem offiziellen Repo, bevor du selbst etwas davon ausprobierst.

Ergebnisse auf einen Blick

Dazu 6 informative / unterstützende Findings (Positivkontrollen, Bestätigungen von RBAC-Grenzen, geringfügige Informationsoffenlegung) in findings/informational/.

Wie die Findings zusammenhängen

Mehrere Findings sind nicht unabhängig — eines ermöglicht oder vervollständigt direkt ein anderes. Das ist der Teil, der in einem Interview tendenziell mehr beeindruckt als jedes einzelne Finding für sich:

9 von 11 CTFd-Challenges gelöst und Flag-verifiziert — siehe die vollständige Challenge-Cross-Reference, inklusive eines ehrlich dokumentierten Falls (Dormouse/flag9), bei dem die Access-Control-Grenze unter anhaltendem Angriff standhielt.

Vollständiges Inhaltsverzeichnis

Jede Datei unten ist direkt verlinkt — der Ordnerbaum zeigt nur, wie sie organisiert sind.

📋 Engagement-Dokumente

🔍 Recon

🚨 Kritische & hohe Findings

ℹ️ Informative / unterstützende Findings

🎯 CTFd

Repo-Struktur

.
├── docs/                          # Engagement-Kontext, Methodik, Mappings, Remediation, Interview-Vorbereitung
│   ├── 00-engagement-overview.md
│   ├── 01-methodology.md
│   ├── 02-owasp-top10-cicd-mapping.md
│   ├── 03-remediation-roadmap.md
│   ├── 04-interview-prep.md
│   └── 05-lessons-learned.md
├── recon/                         # Phase 1 & 2 — Fingerprinting und authentifizierte Enumeration
│   ├── 01-fingerprinting.md
│   └── 02-authenticated-enumeration.md
├── findings/                      # Eine Datei pro bestätigtem Finding, vollständiger PoC + Remediation
│   ├── F-010-...md ... F-021-...md
│   └── informational/             # INFO/LOW unterstützende Beobachtungen
├── ctfd/
│   └── challenge-cross-reference.md
└── LICENSE.md

Lesepfade

• Nur die Highlights? Beginne mit der Ergebnistabelle oben und lies dann F-010, F-013, F-016 und F-017 — die vier vollständigsten End-to-End-Kill-Chains.
• Lernst du für ein Interview? Gehe direkt zu docs/04-interview-prep.md — Zusammenfassungen jedes wichtigen Findings im Sprechstil, ein Absatz pro Finding, plus häufige Folgefragen.
• Baust du eine CI/CD-Pipeline auf / härtest sie? Gehe direkt zu docs/03-remediation-roadmap.md — eine priorisierte, umsetzbare Checkliste.
• Neu bei CI/CD-Security-Konzepten? Beginne mit docs/02-owasp-top10-cicd-mapping.md für die Referenztaxonomie, um die dieses ganze Repo organisiert ist.

Über die OWASP Top 10 CI/CD Security Risks

Jedes Finding hier ist auf die OWASP Top 10 CI/CD Security Risks (2023) abgebildet — eine vollständige Referenztabelle (CICD-SEC-1 bis CICD-SEC-10) befindet sich in docs/02-owasp-top10-cicd-mapping.md, da sie durchgängig in den einzelnen Findings referenziert wird.

Disclaimer

Dieses Repository dokumentiert Tests, die ausschließlich gegen ein lokales, selbst gehostetes, absichtlich verwundbares Trainingslab (OWASP CICD-Goat) durchgeführt wurden, zu Bildungs- und Portfolio-Zwecken. Nichts hier zielt auf ein Produktionssystem, einen Drittanbieterdienst oder echte Credentials ab, referenziert diese oder wurde dagegen getestet. Verwende keine Technik aus diesem Repo gegen Systeme, die dir nicht gehören oder für die du keine ausdrückliche schriftliche Autorisierung zum Testen hast.

🧠 Testphilosophie

„Die besten Penetrationstester denken zuerst wie Entwickler und erst dann wie Angreifer. Wenn du verstehst, warum Code auf eine bestimmte Weise geschrieben wurde, wirst du immer mehr finden als ein Scanner jemals finden wird."

Ich gehe jedes Engagement in drei Phasen an:

1. Verstehen, bevor du angreifst — Lies die Anwendung. Nutze sie als echter Benutzer. Verstehe die Geschäftslogik, bevor du auch nur ein einziges Tool anfasst.

2. Erst manuell, dann Tools — Automatisierte Scanner finden, was sie konfiguriert wurden zu finden. Die interessanten Bugs werden immer durch Denken gefunden, nicht durch Scannen.

3. Wie ein Entwickler berichten — Ein Finding, das Entwickler nicht verstehen oder reproduzieren können, ist ein Finding, das nicht behoben wird.

👤 Über mich

• Name — Dheeraj Kumar Jayaswal
• Rolle — Technology Lead – Offensive Security, Infosys Limited
• Fokus — Web Application & API Penetration Testing
• Erfahrung — 15+ Jahre in der IT · 6+ Jahre in Offensive Security
• Vorteil — Ehemaliger Full-Stack-Entwickler (ASP.NET / SQL Server) — ich denke wie ein Entwickler, greife an wie ein Hacker
• Domänen — Income Tax · Banking · Retail · E-commerce · Freight Logistics · Education

🏅 Zertifizierungen

Zukünftige Ausrichtung — Red Teaming: OSCP → CRTO → OSEP, CRTP, CRTL, CRTE

📄 Lizenz

Dieser Inhalt ist unter CC BY 4.0 lizenziert. Du darfst diesen Write-up gerne wiederverwenden oder anpassen — nenne nur klar Dheeraj Kumar Jayaswal als Urheber mit einem Link zurück zu diesem Repository. CICD-Goat selbst ist ein separates Projekt von Cider Security — gib dem Original einen Stern.

🤝 Kontakt

LinkedIn — offen für Beratung, Zusammenarbeit und Security-Diskussionen.

Feedback, Korrekturen und PRs (z. B. für flag9/Dormouse oder das Duchess/flag4-Follow-up in der CTFd-Cross-Reference) sind willkommen — siehe CONTRIBUTING.md.