SmokedMeat

Framework Red Team per CI/CD

Come Metasploit, ma per pipeline CI/CD.

Realizzato dagli autori di poutine SAST per pipeline di build presso BoostSecurity Labs.

Demo rapida di SmokedMeat

Attenzione: Questo strumento è solo per test di sicurezza autorizzati.

SmokedMeat esiste perché le minacce alle pipeline CI/CD sono profondamente sottovalutate. La formazione tradizionale sulla sicurezza raramente copre gli attacchi alla supply chain, lasciando i difensori impreparati contro tecniche che gli avversari sfruttano attivamente in natura.

L'abbiamo costruito per dare ai team di sicurezza la possibilità di imparare, esercitarsi e convalidare le difese contro tecniche di attacco CI/CD avanzate attraverso esercitazioni red team realistiche.

Usalo solo contro sistemi di tua proprietà o per i quali hai esplicita autorizzazione scritta.

Cos'è SmokedMeat?

SmokedMeat è un framework di post-exploitation per pipeline CI/CD. Punta a un'organizzazione GitHub, lascia che trovi workflow vulnerabili, distribuisci un impianto su un runner compromesso, poi fai pivot attraverso provider cloud, estrai segreti e mappa il raggio di esplosione, il tutto da un'interfaccia utente a terminale.

┌──────────────┐ │ SSH AGENT │ │ (Auth) │ └──────┬───────┘ │ ▼ ┌──────────────┐ ┌──────────────┐ │ THE COUNTER │ ───────────────▶│ THE KITCHEN │ │ (Operator) │ WebSocket │ (Teamserver) │ │ Bubbletea │◀─────────────── │ │ │ TUI │ Events/Graph │ ┌──────────┐ │ └──────────────┘ │ │ Database │ │ │ └──────────┘ │ ┌──────────────┐ │ │ │ BROWSER │ ───────────────▶│ │ │ Graph View │ WebSocket │ │ │ Visualizer │◀─────────────── │ │ └──────────────┘ Live Updates └──────────────┘ │ ▲ │ │ Creates PR │ │ Stager scarica binario impianto │ │ Impianto HTTP Beacon/Comandi ▼ │ ┌────────────────────────────────────────────┴──────────────────────────────────┐ │ GITHUB.COM │ │ │ │ ┌─────────────────────┐ ┌─────────────────────────────────────────┐ │ │ │ PR malevolo │ innesca │ GitHub Actions Runner │ │ │ │ (Workflow │─────────▶│ │ │ │ │ vulnerabile) │ │ ┌────────────┐ ┌────────────────┐ │ │ │ └─────────────────────┘ │ │ Stager │─────▶│ THE BRISKET │ │ │ │ │ │ │ │ (Impianto) │ │ │ │ │ └────────────┘ └────────────────┘ │ │ │ └─────────────────────────────────────────┘ │ └───────────────────────────────────────────────────────────────────────────────┘

Termine standard	Nome SmokedMeat	Descrizione
TUI operatore	`Counter`	Interfaccia a terminale per analisi, distribuzione del payload e flusso di post-sfruttamento.
Teamserver C2	`Kitchen`	Server API e WebSocket per sessioni operatore, stager, callback e stato del grafo.
Impianto	`Brisket`	Agente consegnato ai runner CI compromessi per beaconing, esecuzione comandi e pivot.
Vista grafo nel browser	`Browser View`	Grafo di attacco live servito dal teamserver C2 su `/graph`.

Modalità	Quando usarla	Punto di ingresso
Avvio rapido	Esecuzione più veloce sulla release fissata	`make quickstart`
Avvio rapido sviluppo	Quando lavori sull'albero dei sorgenti in locale	`make dev-quickstart`
Teamserver ospitato	Per un engagement reale con un dominio stabile	docs/deployment.md

Categoria	Capacità
Ricognizione	Rilevamento automatico di 6 piattaforme CI (GitHub Actions, GitLab CI, Azure DevOps, CircleCI, Jenkins, Bitbucket). Classificazione dei segreti, sonda della disponibilità OIDC, raccolta di metadati del runner.
Estrazione segreti	Scansione della memoria del processo Runner.Worker tramite `/proc` per recuperare `secrets.`, `vars.` e mappe dei permessi di `GITHUB_TOKEN` che GitHub nasconde dai log.
Analisi vulnerabilità	SAST poutine integrato per vulnerabilità di injection, trigger pericolosi e classificazione del gate `if:` dei workflow. Scansione approfondita Gitleaks per chiavi private e PAT nella cronologia git.
Consegna	5 metodi automatizzati: PR, issue, commento, LOTP, workflow dispatch - più modalità solo copia e manuale. Supporto PR bozza, chiusura automatica su callback, preflight dispatch lato server.
Payload di injection	Generazione di payload sensibili al contesto per 8 vettori di injection (nome branch, titolo/corpo PR, messaggio commit, titolo/corpo issue, github-script, bash run) con tecniche consapevoli dei vincoli.
LOTP	Catalogo Living Off The Pipeline: 15 strumenti di build (npm, pip, cargo, make, docker, gradle, maven e altri) con payload basati su file di configurazione per esecuzione di codice durante install/build/test.
Avvelenamento cache	Classificazione scrittore/vittima, predizione esatta della chiave cache, staging di archivi tramite l'API Actions Cache. Flusso guidato con armamento dell'impianto.
Enumerazione token	Sonda dei token GitHub contro endpoint API per enumerare 10 ambiti di permesso, identificare il tipo di token ed elencare repo e org accessibili.
Pivot cloud	Scambio token OIDC per AWS (`sts:AssumeRoleWithWebIdentity`), GCP (Workload Identity Federation), Azure (AAD) e Kubernetes. Enumerazione risorse post-pivot.
Cloud shell	Sessioni locali durevoli con `cloud shell` (gcloud/aws/az preconfigurati), `cloud export` e controlli rapidi del provider.
Pivot SSH

Livello	Tecnologia
Linguaggio	Go 1.26+
Framework TUI	Bubbletea v2 + Lipgloss v2
Layout TUI	Ultraviolet + compositing schermo ANSI-safe
Bus messaggi	NATS JetStream
Grafo di attacco	hmdsefi/gograph
Visualizzazione grafo	Cytoscape.js
Database	BBolt
Scanner CI/CD	poutine (integrato)
Scanner segreti	gitleaks (integrato, regole personalizzate)
Estrazione segreti runner	gump (integrato, scansione memoria `/proc`)
SDK cloud	AWS SDK v2, Google Cloud, Azure SDK per Go
Proxy inverso	Caddy (TLS automatico)

smokedmeat

Più Popolari

Avvio rapido

Sviluppo

Controllo versione

Componenti core

Modalità di deployment

Architettura

Funzionalità

Stack tecnologico

Test