OWASP CICD-Goat के विरुद्ध एक पूर्ण भेद्यता मूल्यांकन और पैनेट्रेशन टेस्ट — एक जानबूझकर भेद्य CI/CD वातावरण (Jenkins, Gitea, GitLab, CTFd) — जिसे OWASP Top 10 CI/CD Security Risks के विरुद्ध एंड-टू-एंड मैप किया गया है।

🧭 यह मेरे अन्य रेपोज़ के साथ कैसे मेल खाता है

यह क्यों मौजूद है

अधिकांश CI/CD सुरक्षा राइटअप्स या तो विशुद्ध रूप से सैद्धांतिक रहते हैं (एक स्लाइड जो "poisoned pipeline execution" समझाती है) या विशुद्ध रूप से CTF-फ्लैग-चेसिंग (एक पंक्ति में "यहाँ फ्लैग है, अगला")। यह रेपो दोनों में से कोई भी करने की कोशिश नहीं करता: नीचे दी गई प्रत्येक फाइंडिंग एक पूरी तरह से सत्यापित, PoC-समर्थित भेद्यता है, जिसे एक विशिष्ट OWASP CI/CD-SEC जोखिम श्रेणी पर मैप किया गया है, और उस तरह से लिखा गया है जैसे आप वास्तव में इसे किसी इंटरव्यू या वास्तविक क्लाइंट रिपोर्ट में समझाना चाहेंगे — जिसमें गतिरोध, गलत धारणाएँ, और उन्हें कैसे सुधारा गया, शामिल हैं।

यदि आप AppSec/DevSecOps/CI-CD-सुरक्षा इंटरव्यू की तैयारी कर रहे हैं, CI/CD टूलचेन से जुड़े पेनटेस्ट एंगेजमेंट की तैयारी कर रहे हैं, या बस यह देखना चाहते हैं कि "Poisoned Pipeline Execution" या "Insufficient Credential Hygiene" वास्तव में वायर पर कैसा दिखता है — तो यह आपके लिए लिखा गया है।

लक्ष्य वातावरण

पूर्ण एंगेजमेंट नियम: docs/00-engagement-overview.md।

⚠️ इस रेपो में सभी परीक्षण परीक्षक के अपने स्थानीय, डिस्पोज़ेबल, जानबूझकर-भेद्य Docker Compose लैब के विरुद्ध किए गए थे। कोई उत्पादन प्रणाली, साझा अवसंरचना, या तृतीय-पक्ष डेटा शामिल नहीं था। स्वयं इनमें से कुछ भी आज़माने से पहले आधिकारिक रेपो से CICD-Goat की अपनी प्रति स्पिन करें।

एक नज़र में परिणाम

साथ ही 6 सूचनात्मक / सहायक फाइंडिंग्स (सकारात्मक नियंत्रण, RBAC सीमा पुष्टिकरण, मामूली सूचना-प्रकटीकरण) findings/informational/ में।

फाइंडिंग्स कैसे एक साथ जुड़ती हैं

कई फाइंडिंग्स स्वतंत्र नहीं हैं — एक सीधे तौर पर दूसरे को सक्षम या पूर्ण करती है। यह वह हिस्सा है जो किसी भी एकल फाइंडिंग की तुलना में इंटरव्यू में अधिक प्रभाव डालता है:

11 में से 9 CTFd चुनौतियाँ हल और फ्लैग-सत्यापित — पूरा चुनौती क्रॉस-रेफरेंस देखें, जिसमें एक ईमानदारी से प्रलेखित मामला (Dormouse/flag9) शामिल है जहाँ निरंतर हमले के तहत एक्सेस-कंट्रोल सीमा टिकी रही।

पूर्ण विषय-सूची

नीचे दी गई प्रत्येक फ़ाइल सीधे लिंक की गई है — फ़ोल्डर ट्री बस दिखाता है कि वे कैसे व्यवस्थित हैं।

📋 एंगेजमेंट दस्तावेज़

🔍 रेकॉन

🚨 क्रिटिकल और हाई फाइंडिंग्स

ℹ️ सूचनात्मक / सहायक फाइंडिंग्स

🎯 CTFd

रेपो संरचना

.
├── docs/                          # Engagement context, methodology, mappings, remediation, interview prep
│   ├── 00-engagement-overview.md
│   ├── 01-methodology.md
│   ├── 02-owasp-top10-cicd-mapping.md
│   ├── 03-remediation-roadmap.md
│   ├── 04-interview-prep.md
│   └── 05-lessons-learned.md
├── recon/                         # Phase 1 & 2 — fingerprinting and authenticated enumeration
│   ├── 01-fingerprinting.md
│   └── 02-authenticated-enumeration.md
├── findings/                      # One file per confirmed finding, full PoC + remediation
│   ├── F-010-...md ... F-021-...md
│   └── informational/             # INFO/LOW severity supporting observations
├── ctfd/
│   └── challenge-cross-reference.md
└── LICENSE.md

पठन पथ

• केवल मुख्य बातें चाहिए? ऊपर दी गई परिणाम तालिका से शुरू करें, फिर F-010, F-013, F-016, और F-017 पढ़ें — चार सबसे पूर्ण एंड-टू-एंड किल चेन।
• इंटरव्यू की तैयारी कर रहे हैं? सीधे docs/04-interview-prep.md पर जाएँ — प्रत्येक प्रमुख फाइंडिंग का एक-पैराग्राफ, बोलचाल-शैली सारांश, साथ ही सामान्य अनुवर्ती प्रश्न।
• CI/CD पाइपलाइन बना/सुदृढ़ कर रहे हैं? सीधे docs/03-remediation-roadmap.md पर जाएँ — एक प्राथमिकता-क्रमबद्ध, कार्रवाई योग्य चेकलिस्ट।
• CI/CD सुरक्षा अवधारणाओं में नए हैं? docs/02-owasp-top10-cicd-mapping.md से शुरू करें, जिस संदर्भ वर्गीकरण के इर्द-गिर्द यह पूरा रेपो संगठित है।

OWASP Top 10 CI/CD Security Risks के बारे में

यहाँ प्रत्येक फाइंडिंग OWASP Top 10 CI/CD Security Risks (2023) के विरुद्ध मैप की गई है — एक पूर्ण संदर्भ तालिका (CICD-SEC-1 से CICD-SEC-10) docs/02-owasp-top10-cicd-mapping.md में है, क्योंकि व्यक्तिगत फाइंडिंग्स में इसका लगातार संदर्भ दिया गया है।

अस्वीकरण

यह रिपॉज़िटरी विशेष रूप से एक स्थानीय, स्व-होस्टेड, जानबूझकर-भेद्य प्रशिक्षण लैब (OWASP CICD-Goat) के विरुद्ध किए गए परीक्षण का दस्तावेज़ीकरण करती है, शैक्षिक और पोर्टफोलियो उद्देश्यों के लिए। यहाँ कुछ भी किसी उत्पादन प्रणाली, तृतीय-पक्ष सेवा, या वास्तविक क्रेडेंशियल को लक्षित नहीं करता, संदर्भित नहीं करता, या उनके विरुद्ध परीक्षण नहीं किया गया। इस रेपो में किसी भी तकनीक का उपयोग उन प्रणालियों के विरुद्ध न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण नहीं है।

🧠 परीक्षण दर्शन

"सर्वश्रेष्ठ पैनेट्रेशन टेस्टर पहले डेवलपर की तरह सोचते हैं और दूसरे नंबर पर हमलावर की तरह। यदि आप समझते हैं कि कोड एक निश्चित तरीके से क्यों लिखा गया था, तो आप हमेशा एक स्कैनर से अधिक खोजेंगे।"

मैं प्रत्येक एंगेजमेंट को तीन चरणों में देखता हूँ:

1. हमला करने से पहले समझें — एप्लिकेशन पढ़ें। इसे एक वास्तविक उपयोगकर्ता की तरह उपयोग करें। किसी भी टूल को छूने से पहले बिज़नेस लॉजिक को समझें।

2. पहले मैनुअल, दूसरे टूल्स — स्वचालित स्कैनर वही पाते हैं जिसके लिए उन्हें कॉन्फ़िगर किया गया है। दिलचस्प बग हमेशा सोचने से मिलते हैं, स्कैनिंग से नहीं।

3. डेवलपर की तरह रिपोर्ट करें — एक फाइंडिंग जिसे डेवलपर्स समझ या पुनरुत्पादित नहीं कर सकते, वह फाइंडिंग ठीक नहीं होती।

👤 मेरे बारे में

• नाम — Dheeraj Kumar Jayaswal
• भूमिका — Technology Lead – Offensive Security, Infosys Limited
• फोकस — Web Application और API पैनेट्रेशन टेस्टिंग
• अनुभव — IT में 15+ वर्ष · Offensive Security में 6+ वर्ष
• बढ़त — पूर्व फुल-स्टैक डेवलपर (ASP.NET / SQL Server) — मैं डेवलपर की तरह सोचता हूँ, हैकर की तरह हमला करता हूँ
• डोमेन — Income Tax · Banking · Retail · E-commerce · Freight Logistics · Education

🏅 प्रमाणपत्र

भविष्य की दिशा — Red Teaming: OSCP → CRTO → OSEP, CRTP, CRTL, CRTE

📄 लाइसेंस

यह सामग्री CC BY 4.0 के अंतर्गत लाइसेंस प्राप्त है। आप इस राइट-अप में से कुछ भी पुनः उपयोग या अनुकूलित करने के लिए स्वतंत्र हैं — बस Dheeraj Kumar Jayaswal को स्पष्ट श्रेय दें और इस रिपॉज़िटरी का लिंक वापस दें। CICD-Goat स्वयं Cider Security की एक अलग परियोजना है — मूल को स्टार करें।

🤝 जुड़ें

LinkedIn — परामर्श, सहयोग, और सुरक्षा चर्चाओं के लिए खुला हूँ।

प्रतिक्रिया, सुधार, और PRs (जैसे flag9/Dormouse के लिए, या CTFd क्रॉस-रेफरेंस में Duchess/flag4 अनुवर्ती) का स्वागत है — देखें CONTRIBUTING.md।