SmokedMeat

Framework Red Team pour CI/CD

Comme Metasploit, mais pour les pipelines CI/CD.

Des créateurs du scanner SAST de pipeline de build poutine chez BoostSecurity Labs.

Démo rapide SmokedMeat

Avertissement : Cet outil est réservé aux tests de sécurité autorisés.

SmokedMeat existe parce que les menaces sur les pipelines CI/CD sont largement sous-estimées. La formation traditionnelle en sécurité couvre rarement les attaques sur la chaîne d'approvisionnement, laissant les défenseurs mal préparés face à des techniques que les attaquants exploitent activement dans la nature.

Nous l'avons construit pour donner aux équipes de sécurité la capacité d'apprendre, de pratiquer et de valider les défenses contre les techniques d'attaque CI/CD avancées via des exercices réalistes d'équipe rouge.

Utilisez-le uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite explicite.

Qu'est-ce que SmokedMeat ?

SmokedMeat est un framework de post-exploitation pour les pipelines CI/CD. Pointez-le vers une organisation GitHub, laissez-le trouver des workflows vulnérables, déployez un implant sur un runner compromis, puis pivotez à travers les fournisseurs cloud, extrayez des secrets et cartographiez le rayon d'explosion – le tout depuis une interface utilisateur en terminal.

┌──────────────┐ │ SSH AGENT │ │ (Auth) │ └──────┬───────┘ │ ▼ ┌──────────────┐ ┌──────────────┐ │ THE COUNTER │ ───────────────▶│ THE KITCHEN │ │ (Operator) │ WebSocket │ (Teamserver) │ │ Bubbletea │◀─────────────── │ │ │ TUI │ Events/Graph │ ┌──────────┐ │ └──────────────┘ │ │ Database │ │ │ └──────────┘ │ ┌──────────────┐ │ │ │ BROWSER │ ───────────────▶│ │ │ Graph View │ WebSocket │ │ │ Visualizer │◀─────────────── │ │ └──────────────┘ Live Updates └──────────────┘ │ ▲ │ │ Creates PR │ │ Stager récupère le binaire de l'implant │ │ Implant HTTP Beacon/Commandes ▼ │ ┌────────────────────────────────────────────┴──────────────────────────────────┐ │ GITHUB.COM │ │ │ │ ┌─────────────────────┐ ┌─────────────────────────────────────────┐ │ │ │ Malicious PR │ triggers │ GitHub Actions Runner │ │ │ │ (Vulnerable │─────────▶│ │ │ │ │ Workflow) │ │ ┌────────────┐ ┌────────────────┐ │ │ │ └─────────────────────┘ │ │ Stager │─────▶│ THE BRISKET │ │ │ │ │ │ │ │ (Implant) │ │ │ │ │ └────────────┘ └────────────────┘ │ │ │ └─────────────────────────────────────────┘ │ └───────────────────────────────────────────────────────────────────────────────┘

Catégorie

Capacités

Reconnaissance

Détection automatique de 6 plateformes CI (GitHub Actions, GitLab CI, Azure DevOps, CircleCI, Jenkins, Bitbucket). Classification des secrets, sondage de la disponibilité OIDC, collecte des métadonnées du runner.

Extraction de secrets

Scan de la mémoire du processus Runner.Worker via /proc pour récupérer les secrets.*, vars.* non masqués et les cartes de permissions GITHUB_TOKEN que GitHub cache dans les logs.

Analyse de vulnérabilités

SAST poutine embarqué pour les vulnérabilités d'injection, les déclencheurs dangereux et la classification des portes if: des workflows. Scan approfondi Gitleaks pour les clés privées et PAT dans l'historique git.

Livraison

5 méthodes automatisées : PR, issue, commentaire, LOTP, workflow dispatch – plus copie seule et manuelle. Support des PR brouillons, fermeture automatique sur callback, pré-vérification du dispatch côté serveur.

Payloads d'injection

Génération de payloads contextuels pour 8 vecteurs d'injection (nom de branche, titre/corps de PR, message de commit, titre/corps d'issue, github-script, bash run) avec des techniques tenant compte des contraintes.

LOTP

Catalogue Living Off The Pipeline : 15 outils de build (npm, pip, cargo, make, docker, gradle, maven, et plus) avec des payloads de fichier de configuration pour l'exécution de code lors de l'installation/construction/test.

Empoisonnement de cache

Classification écrivain/victime, prédiction exacte de clé de cache, préparation d'archive via l'API Actions Cache. Flux guidé par assistant avec armement de l'implant.

Énumération de tokens

Sondage des tokens GitHub contre les endpoints API pour énumérer 10 périmètres de permission, identifier le type de token et lister les dépôts et organisations accessibles.

Pivotements cloud

Échange de tokens OIDC pour AWS (sts:AssumeRoleWithWebIdentity), GCP (Workload Identity Federation), Azure (AAD) et Kubernetes. Énumération des ressources post-pivot.

Cloud Shell

Sessions locales durables avec cloud shell (gcloud/aws/az préconfigurés), et vérifications rapides des fournisseurs.

Terme standard	Nom SmokedMeat	Description
Interface TUI de l'opérateur	`Counter`	Interface terminal pour l'analyse, la livraison de payload et le workflow de post-exploitation.
Serveur d'équipe C2	`Kitchen`	Serveur API et WebSocket pour les sessions opérateur, les stagers, les callbacks et l'état du graphe.
Implant	`Brisket`	Agent livré aux runners CI compromis pour le beaconing, l'exécution de commandes et le pivotement.
Vue graphique navigateur	`Browser View`	Graphe d'attaque en direct servi par le serveur d'équipe C2 à `/graph`.

Mode	Quand l'utiliser	Point d'entrée
Quickstart	Première exécution la plus rapide sur la version épinglée	`make quickstart`
Dev Quickstart	Travail local sur l'arborescence source	`make dev-quickstart`
Teamserver Hébergé	Engagement réel avec un nom de domaine stable	docs/deployment.md

Couche	Technologie
Langage	Go 1.26+
Framework TUI	Bubbletea v2 + Lipgloss v2
Disposition TUI	Ultraviolet layout + composition d'écran compatible ANSI
Bus de messages	NATS JetStream
Graphe d'attaque	hmdsefi/gograph
Visualisation de graphe	Cytoscape.js
Base de données	BBolt
Scanner CI/CD	poutine (embarqué)
Scanner de secrets	gitleaks (embarqué, règles personnalisées)
Extraction de secrets du runner	gump (embarqué, scan mémoire `/proc`)
SDK Cloud	AWS SDK v2, Google Cloud, Azure SDK pour Go
Proxy inverse	Caddy (TLS automatique)

smokedmeat

Populaires

Démarrage rapide

Développement

Vérification de version

Composants principaux

Modes de déploiement

Architecture

Fonctionnalités

Stack technologique

Tests