cicd-goat

• Description
• Téléchargement et exécution
  • Linux et Mac
  • Windows (Powershell)
• Utilisation
  • Instructions
  • Relevez le défi
  • Dépannage
• Solutions
• Contribuer

Description

Le projet CI/CD Goat permet aux ingénieurs et aux praticiens de la sécurité d'apprendre et de pratiquer la sécurité CI/CD à travers un ensemble de 11 défis, mis en œuvre dans un environnement CI/CD réel et complet. Les scénarios sont de difficulté variable, chacun se concentrant sur un vecteur d'attaque principal.

Les défis couvrent les Top 10 CI/CD Security Risks, notamment les mécanismes de contrôle de flux insuffisants, l'emprisonnement de pipeline exécuté (Poisoned Pipeline Execution - PPE), l'abus de chaîne de dépendance, le contrôle d'accès basé sur le pipeline (Pipeline-Based Access Controls - PBAC), et plus encore.
Les différents défis sont inspirés d'Alice au pays des merveilles, chacun étant thématisé autour d'un personnage différent.

L'environnement du projet est basé sur des conteneurs Docker et peut être exécuté localement. Ces conteneurs sont :

1. Gitea (serveur git minimal)
2. Jenkins
3. Agent Jenkins
4. LocalStack (émulateur de services cloud fonctionnant dans un seul conteneur)
5. Prod - contient Docker in Docker et le service Lighttpd
6. CTFd (framework Capture The Flag)
7. GitLab
8. GitLab runner
9. Docker in Docker

Les images sont configurées pour s'interconnecter de manière à créer des pipelines entièrement fonctionnels.

Téléchargement et exécution

Il n'est pas nécessaire de cloner le dépôt.

Linux et Mac

Windows (Powershell)

Utilisation

Instructions

• Alerte spoiler ! Évitez de parcourir les fichiers du dépôt car ils contiennent des spoilers.
• Pour configurer votre client git afin d'accéder aux dépôts privés, nous suggérons de cloner en utilisant l'URL http.
• Dans chaque défi, trouvez le flag - au format flag# (par exemple flag2), ou un autre format si mentionné spécifiquement.
• Chaque défi est indépendant. N'utilisez pas un accès obtenu dans un défi pour en résoudre un autre.
• Si nécessaire, utilisez les indices sur CTFd.
• Il n'est pas nécessaire d'exploiter des CVE.
• Il n'est pas nécessaire de détourner les comptes administrateur de Gitea ou Jenkins (nommés "admin" ou "red-queen").

Relevez le défi

1. Après le démarrage des conteneurs, attendez jusqu'à 5 minutes que le processus de configuration des conteneurs soit terminé.

2. Connectez-vous à CTFd sur http://localhost:8000 pour voir les défis :

   • Nom d'utilisateur : alice
   • Mot de passe : alice

3. Piratez :

   • Jenkins http://localhost:8080
     • Nom d'utilisateur : alice
     • Mot de passe : alice
   • Gitea http://localhost:3000
     • Nom d'utilisateur : thealice
     • Mot de passe : thealice
   • GitLab http://localhost:4000
     • Nom d'utilisateur : alice
     • Mot de passe : ali12345

4. Insérez les flags sur CTFd et découvrez si vous avez trouvé les bons.

Dépannage

• Si Gitea affiche une page blanche, actualisez la page.
• Lorsque vous forkez un dépôt, ne modifiez pas le nom du dépôt forké.
• Si l'un des services ne démarre pas ou n'est pas configuré correctement, essayez d'ajouter plus de CPU et de mémoire au moteur Docker et mettez-le à jour vers la dernière version.

Solutions

Attention : Spoilers ! 🙈

• Voir Solutions.
• Présentation BSidesLV : Climbing the Production Mountain: Practical CI/CD Attacks Using CI/CD Goat - Présentant les solutions des défis Caterpillar, Mock Turtle et Dormouse.

Contribuer

Voir Contributing.