Une évaluation complète des vulnérabilités et un test d'intrusion contre OWASP CICD-Goat — un environnement CI/CD délibérément vulnérable (Jenkins, Gitea, GitLab, CTFd) — cartographié de bout en bout par rapport aux OWASP Top 10 CI/CD Security Risks.

🧭 Comment cela s'articule avec mes autres dépôts

Pourquoi ce dépôt existe

La plupart des writeups sur la sécurité CI/CD restent soit purement théoriques (une slide expliquant la « poisoned pipeline execution »), soit purement dans la course au flag CTF (une ligne « voici le flag, suivant »). Ce dépôt tente de faire ni l'un ni l'autre : chaque constat ci-dessous est une vulnérabilité entièrement validée et étayée par un PoC, cartographiée à une catégorie de risque OWASP CI/CD-SEC spécifique, rédigée de la manière dont vous voudriez réellement l'expliquer lors d'un entretien ou dans un rapport client réel — y compris les impasses, les mauvaises hypothèses et la façon dont elles ont été corrigées.

Si vous préparez un entretien en AppSec/DevSecOps/sécurité CI-CD, si vous préparez une mission de pentest impliquant une chaîne d'outils CI/CD, ou si vous voulez simplement une visite concrète et pratique de ce à quoi ressemblent réellement la « Poisoned Pipeline Execution » ou une « Insufficient Credential Hygiene » sur le réseau — ceci est écrit pour vous.

Environnement cible

Règles d'engagement complètes : docs/00-engagement-overview.md.

⚠️ Tous les tests de ce dépôt ont été réalisés contre le lab Docker Compose local, jetable et intentionnellement vulnérable du testeur. Aucun système de production, infrastructure partagée ou donnée tierce n'a été impliqué. Déployez votre propre copie de CICD-Goat depuis le dépôt officiel avant d'essayer quoi que ce soit de tout cela vous-même.

Résultats en un coup d'œil

Plus 6 constats informatifs / de support (contrôles positifs, confirmations de frontières RBAC, divulgation d'informations mineure) dans findings/informational/.

Comment les constats s'enchaînent

Plusieurs constats ne sont pas indépendants — l'un permet ou complète directement un autre. C'est la partie qui a tendance à impressionner en entretien plus que n'importe quel constat isolé :

9 des 11 défis CTFd résolus et flags vérifiés — voir la référence croisée complète des défis, y compris un cas documenté honnêtement (Dormouse/flag9) où la frontière de contrôle d'accès a tenu sous attaque soutenue.

Table des matières complète

Chaque fichier ci-dessous est directement lié — l'arborescence des dossiers montre simplement comment ils sont organisés.

📋 Documents de mission

🔍 Reconnaissance

🚨 Constats critiques et élevés

ℹ️ Constats informatifs / de support

🎯 CTFd

Structure du dépôt

.
├── docs/                          # Engagement context, methodology, mappings, remediation, interview prep
│   ├── 00-engagement-overview.md
│   ├── 01-methodology.md
│   ├── 02-owasp-top10-cicd-mapping.md
│   ├── 03-remediation-roadmap.md
│   ├── 04-interview-prep.md
│   └── 05-lessons-learned.md
├── recon/                         # Phase 1 & 2 — fingerprinting and authenticated enumeration
│   ├── 01-fingerprinting.md
│   └── 02-authenticated-enumeration.md
├── findings/                      # One file per confirmed finding, full PoC + remediation
│   ├── F-010-...md ... F-021-...md
│   └── informational/             # INFO/LOW severity supporting observations
├── ctfd/
│   └── challenge-cross-reference.md
└── LICENSE.md

Parcours de lecture

• Vous voulez juste les points saillants ? Commencez par le tableau des résultats ci-dessus, puis lisez F-010, F-013, F-016 et F-017 — les quatre kill chains de bout en bout les plus complètes.
• Vous préparez un entretien ? Allez directement à docs/04-interview-prep.md — des résumés oraux d'un paragraphe pour chaque constat majeur, plus les questions de suivi courantes.
• Vous construisez/durcissez un pipeline CI/CD ? Allez directement à docs/03-remediation-roadmap.md — une checklist priorisée et actionnable.
• Nouveau dans les concepts de sécurité CI/CD ? Commencez par docs/02-owasp-top10-cicd-mapping.md pour la taxonomie de référence autour de laquelle tout ce dépôt est organisé.

À propos des OWASP Top 10 CI/CD Security Risks

Chaque constat ici est cartographié par rapport aux OWASP Top 10 CI/CD Security Risks (2023) — un tableau de référence complet (CICD-SEC-1 à CICD-SEC-10) se trouve dans docs/02-owasp-top10-cicd-mapping.md, car il est constamment référencé tout au long des constats individuels.

Avertissement

Ce dépôt documente des tests réalisés exclusivement contre un lab d'entraînement local, auto-hébergé et intentionnellement vulnérable (OWASP CICD-Goat), à des fins éducatives et de portfolio. Rien ici ne cible, ne référence ou n'a été testé contre un système de production, un service tiers ou un identifiant réel. N'utilisez aucune technique de ce dépôt contre des systèmes que vous ne possédez pas ou pour lesquels vous ne disposez pas d'une autorisation écrite explicite de test.

🧠 Philosophie de test

« Les meilleurs testeurs d'intrusion pensent d'abord comme des développeurs et ensuite comme des attaquants. Si vous comprenez pourquoi le code a été écrit d'une certaine manière, vous trouverez toujours plus qu'un scanner ne le fera jamais. »

J'aborde chaque mission en trois phases :

1. Comprendre avant d'attaquer — Lisez l'application. Utilisez-la comme un vrai utilisateur. Comprenez la logique métier avant de toucher au moindre outil.

2. Manuel d'abord, outils ensuite — Les scanners automatisés trouvent ce pour quoi ils sont configurés. Les bugs intéressants sont toujours trouvés en réfléchissant, pas en scannant.

3. Rapporter comme un développeur — Un constat que les développeurs ne peuvent pas comprendre ou reproduire est un constat qui ne sera pas corrigé.

👤 À propos de moi

• Nom — Dheeraj Kumar Jayaswal
• Rôle — Technology Lead – Offensive Security, Infosys Limited
• Focus — Tests d'intrusion d'applications Web et d'API
• Expérience — 15+ ans dans l'IT · 6+ ans en sécurité offensive
• Atout — Ancien développeur full-stack (ASP.NET / SQL Server) — je pense comme un développeur, j'attaque comme un hacker
• Domaines — Impôt sur le revenu · Banque · Commerce de détail · E-commerce · Logistique de fret · Éducation

🏅 Certifications

Orientation future — Red Teaming : OSCP → CRTO → OSEP, CRTP, CRTL, CRTE

📄 Licence

Ce contenu est sous licence CC BY 4.0. Vous êtes libre de réutiliser ou d'adapter tout ou partie de ce writeup — attribuez simplement clairement à Dheeraj Kumar Jayaswal avec un lien vers ce dépôt. CICD-Goat lui-même est un projet distinct de Cider Security — allez mettre une étoile à l'original.

🤝 Contact

LinkedIn — ouvert au conseil, à la collaboration et aux discussions sur la sécurité.

Les retours, corrections et PR (par exemple pour flag9/Dormouse, ou le suivi Duchess/flag4 dans la référence croisée CTFd) sont les bienvenus — voir CONTRIBUTING.md.