CICD-Goat-Vapt-Writeup — Updated!
OWASP CICD-Goat का संपूर्ण VAPT राइटअप — 9 CTFd फ़्लैग कैप्चर किए गए, 4 क्रिटिकल + 5 हाई फाइंडिंग्स (CVE-2024-23897 सहित) OWASP Top 10 CI/CD सुरक्षा जोखिमों से मैप की गईं, PoCs, निवारण और इंटरव्यू-रेडी सारांश के साथ।
CICD-Goat VAPT राइटअप
OWASP CICD-Goat के विरुद्ध एक पूर्ण भेद्यता आकलन एवं पेनेट्रेशन टेस्ट — एक जानबूझकर भेद्य CI/CD वातावरण (Jenkins, Gitea, GitLab, CTFd) — जिसे OWASP Top 10 CI/CD Security Risks के विरुद्ध शुरू से अंत तक मैप किया गया है।
🧭 यह मेरे अन्य रेपोज़ के साथ कैसे फिट बैठता है
| रेपोज़िटरी | इसमें क्या है |
|---|---|
| CICD-Goat-Vapt-Writeup (यह रेपो) | OWASP CICD-Goat के विरुद्ध पूर्ण VAPT राइटअप — CVE-2024-23897 सहित 16 फाइंडिंग्स, OWASP Top 10 CI/CD Security Risks पर मैप की गईं, PoC और इंटरव्यू-रेडी सारांशों के साथ |
| From-Dev-To-Attacker | मेरी प्रमुख फील्ड जर्नल — भेद्यता पैटर्न्स पर 67 मौलिक राइट-अप्स, एक डेवलपर के दृष्टिकोण से लिखे गए, जिनमें Income Tax, Banking, Retail, E-commerce, Freight Logistics और Education जैसे एंटरप्राइज़ डोमेन-इम्पैक्ट फ्रेमिंग शामिल है |
| From-Pentester-To-Red-Teamer | Web/API पेंटेस्टिंग से Red Teaming में संक्रमण के लिए मेरा संरचित 24-महीने का रोडमैप — चरण, लैब्स, प्रमाणन, और प्रगति जिसे मैं खुले तौर पर ट्रैक करता हूँ |
| AppSec-From-The-Trenches | पेंटेस्ट टूल्स और कार्यप्रणाली संदर्भ — मैं वास्तव में Burp Suite, Nmap, Metasploit, Hydra, Hashcat आदि का उपयोग कैसे करता हूँ, साथ ही मेरी WAPT कार्यप्रणाली |
| API-From-The-Trenches | गहन API सुरक्षा श्रृंखला — OWASP API Top 10 कवरेज, BOLA, JWT हमले, GraphQL परीक्षण, पूर्ण कार्यप्रणाली |
| Bug-Bounty-Hunting-Companion | वास्तविक, सार्वजनिक रूप से प्रकट किए गए बग बाउंटी रिपोर्ट्स, पुनरुत्पादन योग्य चेकलिस्ट में विभाजित |
| DarkWeb-From-The-Trenches | थ्रेट इंटेलिजेंस और डार्क वेब OSINT कार्यप्रणाली — क्रेडेंशियल लीक मॉनिटरिंग, रैनसमवेयर ट्रैकिंग, प्री-एंगेजमेंट TI |
| .pcap-Arsenal | Web/API/नेटवर्क-लेयर विश्लेषण और सीखने के लिए प्रोटोकॉल के अनुसार व्यवस्थित पैकेट कैप्चर |
| Pentest-Engagement-Playbook | कंसल्टेंट-ग्रेड स्कोपिंग, ROE, गंभीरता का तर्क, और कार्यकारी रिपोर्टिंग टेम्पलेट्स — किसी एंगेजमेंट के पीछे का क्लाइंट-फेसिंग ऑपरेशनल प्लेबुक |
यह क्यों मौजूद है
अधिकांश CI/CD सुरक्षा राइटअप्स या तो पूरी तरह सैद्धांतिक रहते हैं ("poisoned pipeline execution" को समझाने वाली एक स्लाइड) या पूरी तरह CTF-फ्लैग-चेज़िंग (एक पंक्ति में "यह रहा फ्लैग, अगला")। यह रेपो दोनों में से कोई भी करने का प्रयास नहीं करता: नीचे दी गई प्रत्येक फाइंडिंग एक पूर्ण रूप से सत्यापित, PoC-समर्थित भेद्यता है, जिसे एक विशिष्ट OWASP CI/CD-SEC जोखिम श्रेणी पर मैप किया गया है, और उस तरह से लिखा गया है जैसे आप वास्तव में इसे किसी इंटरव्यू या वास्तविक क्लाइंट रिपोर्ट में समझाना चाहेंगे — जिसमें गतिरोध, गलत धारणाएँ, और उन्हें कैसे सुधारा गया, यह सब शामिल है।
यदि आप AppSec/DevSecOps/CI-CD-सुरक्षा साक्षात्कार की तैयारी कर रहे हैं, CI/CD टूलचेन से जुड़े पेंटेस्ट एंगेजमेंट की तैयारी कर रहे हैं, या बस यह देखना चाहते हैं कि "Poisoned Pipeline Execution" या "Insufficient Credential Hygiene" वास्तव में वायर पर कैसा दिखता है — तो यह आपके लिए लिखा गया है।
लक्ष्य वातावरण
| फ़ील्ड | मान |
|---|---|
| लक्ष्य | OWASP CICD-Goat — स्थानीय Docker Compose परिनियोजन |
| एंगेजमेंट प्रकार | अधिकृत स्व-निर्देशित शिक्षण लैब (ग्रे-बॉक्स) |
| टेक स्टैक | Jenkins 2.332.1, Gitea 1.16.5, GitLab 15.11.13-ee, CTFd, Docker Compose |
| स्कोप | localhost:3000 (Gitea), :8080/:50000 (Jenkins), :4000 (GitLab), :8000 (CTFd), :8008 (prod-sim) |
| कार्यप्रणाली | चरण 0–3 (स्कोप → फिंगरप्रिंटिंग → भेद्यता पहचान → शोषण) |
एंगेजमेंट के पूर्ण नियम: docs/00-engagement-overview.md.
⚠️ इस रेपो में सभी परीक्षण परीक्षक के अपने स्थानीय, डिस्पोज़ेबल, जानबूझकर-भेद्य Docker Compose लैब के विरुद्ध किए गए थे। इसमें कोई उत्पादन प्रणाली, साझा अवसंरचना, या तृतीय-पक्ष डेटा शामिल नहीं था। इनमें से कुछ भी स्वयं आज़माने से पहले आधिकारिक रेपो से CICD-Goat की अपनी प्रति स्पिन अप करें।
एक नज़र में परिणाम
| ID | शीर्षक | गंभीरता | OWASP CI/CD मैपिंग | CTFd फ़्लैग |
|---|---|---|---|---|
| F-010 | Jenkins बिल्ड कंसोल लॉग में सीक्रेट्स का एक्सपोज़र → क्रेडेंशियल चोरी → अनधिकृत रेपो राइट | CRITICAL | CICD-SEC-6, -4, -2 | flag1, flag2 |
| F-013 | असुरक्षित ऑटो-मर्ज लॉजिक कोड रिव्यू को बायपास करता है (PR-व्यापी वर्ड-डिफ़ ह्यूरिस्टिक) | CRITICAL | CICD-SEC-1, -5 | flag10 |
| F-016 | CVE-2024-23897 — कंट्रोलर पर Jenkins CLI मनमानी फ़ाइल रीड | CRITICAL | CICD-SEC-7 | flag8 |
| F-017 | GitLab साझा-रनर पंजीकरण टोकन → इंस्टेंस-व्यापी CI/CD सीक्रेट चोरी | CRITICAL | CICD-SEC-2, -6 | flag11 |
| F-019 | एजेंट लेबल ओवरराइड के माध्यम से Jenkins कंट्रोलर-नोड कोड निष्पादन | CRITICAL | CICD-SEC-5, -4 | flag5 |
| F-018 | डिकपल्ड पाइपलाइन रेपो + ब्रांच एक्सक्लूज़न फ़िल्टर बायपास | HIGH | CICD-SEC-4, -6 | flag3 |
| F-020 | साझा एजेंट फ़ाइलसिस्टम FreeStyle जॉब क्रेडेंशियल को उजागर करता है | HIGH | CICD-SEC-6, -5 | flag6 |
| F-021 | Checkov SAST कॉन्फ़िग ओवरराइड अप्रकट IaC गलत-कॉन्फ़िगरेशन को सक्षम करता है | HIGH | CICD-SEC-1, -8 | flag7 |
| F-014 | CI/CD पाइपलाइन वेरिएबल से व्युत्पन्न Flask सत्र सीक्रेट कुंजी | HIGH | CICD-SEC-6 | flag11 (F-017 के माध्यम से) |
साथ ही findings/informational/ में 6 सूचनात्मक / सहायक निष्कर्ष (सकारात्मक नियंत्रण, RBAC सीमा पुष्टिकरण, मामूली सूचना-प्रकटीकरण)।