CICD-Goat-Vapt-Writeup — Actualizado!
Informe completo de VAPT de OWASP CICD-Goat — 9 flags CTFd capturadas, 4 hallazgos críticos + 5 altos (incl. CVE-2024-23897) mapeados al OWASP Top 10 de Riesgos de Seguridad CI/CD, con PoCs, remediación y resúmenes listos para entrevistas.
CICD-Goat VAPT Writeup
Una evaluación de vulnerabilidades y prueba de penetración completa contra OWASP CICD-Goat — un entorno CI/CD deliberadamente vulnerable (Jenkins, Gitea, GitLab, CTFd) — mapeado de extremo a extremo contra los OWASP Top 10 CI/CD Security Risks.
🧭 Cómo encaja esto con mis otros repositorios
| Repositorio | Qué contiene |
|---|---|
| CICD-Goat-Vapt-Writeup (este repositorio) | Writeup completo de VAPT contra OWASP CICD-Goat — 16 hallazgos incluyendo CVE-2024-23897, mapeados a los OWASP Top 10 CI/CD Security Risks, con PoCs y resúmenes listos para entrevistas |
| From-Dev-To-Attacker | Mi diario de campo insignia — 67 writeups originales sobre patrones de vulnerabilidad, escritos desde la perspectiva de un desarrollador, con un enfoque de impacto en dominios empresariales que abarca Impuestos sobre la Renta, Banca, Retail, Comercio Electrónico, Logística de Carga y Educación |
| From-Pentester-To-Red-Teamer | Mi hoja de ruta estructurada de 24 meses para la transición del pentesting Web/API al Red Teaming — fases, laboratorios, certificaciones y progreso seguido abiertamente mientras avanzo |
| AppSec-From-The-Trenches | Referencia de herramientas y metodología de pentesting — cómo uso realmente Burp Suite, Nmap, Metasploit, Hydra, Hashcat y más, además de mi metodología WAPT |
| API-From-The-Trenches | Serie de seguridad de API en profundidad — cobertura del OWASP API Top 10, BOLA, ataques JWT, pruebas de GraphQL, metodología completa |
| Bug-Bounty-Hunting-Companion | Reportes reales de bug bounty divulgados públicamente, desglosados en checklists reproducibles |
| DarkWeb-From-The-Trenches | Metodología de inteligencia de amenazas y OSINT en la dark web — monitoreo de filtraciones de credenciales, seguimiento de ransomware, TI previa al engagement |
| .pcap-Arsenal | Capturas de paquetes organizadas por protocolo, para análisis y aprendizaje en las capas Web/API/Red |
| Pentest-Engagement-Playbook | Plantillas de alcance, ROE, justificación de severidad y reportes ejecutivos con nivel de consultoría — el playbook operativo de cara al cliente detrás de un engagement |
Por qué existe esto
La mayoría de los writeups de seguridad CI/CD o se quedan puramente en lo teórico (una diapositiva que explica la "ejecución de pipeline envenenada") o puramente en la caza de flags de CTF (una línea de "aquí está la flag, siguiente"). Este repositorio intenta no hacer ninguna de las dos cosas: cada hallazgo a continuación es una vulnerabilidad completamente validada y respaldada por PoC, mapeada a una categoría de riesgo específica de OWASP CI/CD-SEC, escrita de la forma en que realmente querrías explicarla en una entrevista o en un reporte real para un cliente — incluyendo los callejones sin salida, las suposiciones erróneas y cómo se corrigieron.
Si estás preparando una entrevista de AppSec/DevSecOps/seguridad en CI-CD, preparándote para un pentest que involucra una cadena de herramientas CI/CD, o simplemente quieres un recorrido concreto y práctico de cómo se ve realmente "Poisoned Pipeline Execution" o "Insufficient Credential Hygiene" en el tráfico de red — esto está escrito para ti.
Entorno objetivo
| Campo | Valor |
|---|---|
| Objetivo | OWASP CICD-Goat — despliegue local con Docker Compose |
| Tipo de encargo | Laboratorio de aprendizaje autodirigido autorizado (grey-box) |
| Stack tecnológico | Jenkins 2.332.1, Gitea 1.16.5, GitLab 15.11.13-ee, CTFd, Docker Compose |
| Alcance | localhost:3000 (Gitea), :8080/:50000 (Jenkins), :4000 (GitLab), :8000 (CTFd), :8008 (prod-sim) |
| Metodología | Fases 0–3 (Alcance → Fingerprinting → Identificación de vulnerabilidades → Explotación) |
Reglas de enfrentamiento completas: docs/00-engagement-overview.md.
⚠️ Todas las pruebas en este repositorio se realizaron contra el laboratorio local, desechable e intencionalmente vulnerable con Docker Compose del propio tester. No se involucraron sistemas de producción, infraestructura compartida ni datos de terceros. Levanta tu propia copia de CICD-Goat desde el repositorio oficial antes de intentar cualquiera de estas técnicas por tu cuenta.