Une évaluation complète des vulnérabilités et un test d'intrusion contre OWASP CICD-Goat — un environnement CI/CD délibérément vulnérable (Jenkins, Gitea, GitLab, CTFd) — cartographié de bout en bout par rapport aux OWASP Top 10 CI/CD Security Risks.

---

🧭 Comment cela s'articule avec mes autres dépôts

Dépôt	Ce qu'il contient
CICD-Goat-Vapt-Writeup (ce dépôt)	Rapport VAPT complet contre OWASP CICD-Goat — 16 constats dont CVE-2024-23897, cartographiés par rapport aux OWASP Top 10 CI/CD Security Risks, avec des PoC et des résumés prêts pour l'entretien
From-Dev-To-Attacker	Mon journal de terrain phare — 67 write-ups originaux sur des schémas de vulnérabilité, rédigés du point de vue d'un développeur, avec une mise en perspective de l'impact sur les domaines métier de l'entreprise (fiscalité, banque, commerce de détail, e-commerce, logistique du fret et éducation)
From-Pentester-To-Red-Teamer	Ma feuille de route structurée sur 24 mois pour passer du pentesting Web/API au Red Teaming — phases, labs, certifications et progression suivie ouvertement au fil de mon avancement
AppSec-From-The-Trenches	Référence d'outils et de méthodologie de pentest — comment j'utilise réellement Burp Suite, Nmap, Metasploit, Hydra, Hashcat, etc., ainsi que ma méthodologie WAPT
API-From-The-Trenches	Série approfondie sur la sécurité des API — couverture de l'OWASP API Top 10, BOLA, attaques JWT, tests GraphQL, méthodologie complète
Bug-Bounty-Hunting-Companion	De vrais rapports de bug bounty divulgués publiquement, découpés en checklists reproductibles
DarkWeb-From-The-Trenches	Méthodologie de renseignement sur les menaces et d'OSINT sur le dark web — surveillance des fuites d'identifiants, suivi des rançongiciels, TI de pré-engagement
.pcap-Arsenal	Captures de paquets organisées par protocole, pour l'analyse et l'apprentissage aux couches Web/API/Réseau
Pentest-Engagement-Playbook	Modèles de cadrage, de ROE, de justification de sévérité et de reporting exécutif de niveau consultant — le playbook opérationnel côté client qui sous-tend une mission

---

Pourquoi ce dépôt existe

La plupart des write-ups sur la sécurité CI/CD restent soit purement théoriques (une diapositive expliquant la « poisoned pipeline execution »), soit purement centrés sur la chasse aux flags CTF (une ligne « voici le flag, au suivant »). Ce dépôt tente de faire ni l'un ni l'autre : chaque constat ci-dessous est une vulnérabilité entièrement validée et étayée par une PoC, rattachée à une catégorie de risque OWASP CI/CD-SEC précise, rédigée de la manière dont on voudrait réellement l'expliquer lors d'un entretien ou dans un vrai rapport client — y compris les impasses, les hypothèses erronées et la façon dont elles ont été corrigées.

Si vous préparez un entretien sur la sécurité AppSec/DevSecOps/CI-CD, un engagement de pentest impliquant une chaîne d'outils CI/CD, ou si vous souhaitez simplement une visite concrète et pratique de ce à quoi ressemblent réellement « Poisoned Pipeline Execution » ou « Insufficient Credential Hygiene » sur le réseau — ceci est écrit pour vous.

Environnement cible

Champ	Valeur
Cible	OWASP CICD-Goat — déploiement local via Docker Compose
Type d'engagement	Laboratoire d'apprentissage autonome autorisé (grey-box)
Stack technique	Jenkins 2.332.1, Gitea 1.16.5, GitLab 15.11.13-ee, CTFd, Docker Compose
Périmètre	localhost:3000 (Gitea), :8080/:50000 (Jenkins), :4000 (GitLab), :8000 (CTFd), :8008 (prod-sim)
Méthodologie	Phase 0–3 (Scope → Fingerprinting → Vulnerability ID → Exploitation)

Règles d'engagement complètes : docs/00-engagement-overview.md.

⚠️ Tous les tests de ce dépôt ont été réalisés contre le laboratoire Docker Compose local, jetable et intentionnellement vulnérable du testeur. Aucun système de production, aucune infrastructure partagée ni aucune donnée tierce n'ont été impliqués. Déployez votre propre copie de CICD-Goat depuis le dépôt officiel avant d'essayer tout ceci vous-même.

Résultats en un coup d'œil