Relazione completa di VAPT su OWASP CICD-Goat — 9 flag CTFd catturate, 4 finding critici + 5 ad alta gravità (incl. CVE-2024-23897) mappati sull'OWASP Top 10 CI/CD Security Risks, con PoC, remediation e riepiloghi pronti per i colloqui.
Una valutazione completa delle vulnerabilità e penetration test contro OWASP CICD-Goat — un ambiente CI/CD deliberatamente vulnerabile (Jenkins, Gitea, GitLab, CTFd) — mappato end-to-end rispetto ai OWASP Top 10 CI/CD Security Risks.
| Repository | Cosa contiene |
|---|---|
| CICD-Goat-Vapt-Writeup (questo repo) | Writeup VAPT completo contro OWASP CICD-Goat — 16 findings tra cui CVE-2024-23897, mappati rispetto agli OWASP Top 10 CI/CD Security Risks, con PoC e riassunti pronti per i colloqui |
| From-Dev-To-Attacker | Il mio diario sul campo principale — 67 write-up originali su pattern di vulnerabilità, scritti dalla prospettiva di uno sviluppatore, con inquadramento dell'impatto sui domini aziendali in ambito Income Tax, Banking, Retail, E-commerce, Freight Logistics ed Education |
| From-Pentester-To-Red-Teamer | La mia roadmap strutturata di 24 mesi per la transizione dal pentesting Web/API al Red Teaming — fasi, lab, certificazioni e progressi tracciati apertamente mentre procedo |
| AppSec-From-The-Trenches | Riferimento su strumenti e metodologia di pentest — come uso effettivamente Burp Suite, Nmap, Metasploit, Hydra, Hashcat e altri, più la mia metodologia WAPT |
| API-From-The-Trenches | Serie approfondita sulla sicurezza delle API — copertura degli OWASP API Top 10, BOLA, attacchi JWT, testing GraphQL, metodologia completa |
| Bug-Bounty-Hunting-Companion | Report di bug bounty reali e divulgati pubblicamente, scomposti in checklist riproducibili |
| DarkWeb-From-The-Trenches | Metodologia di threat intelligence e OSINT sul dark web — monitoraggio delle fughe di credenziali, tracciamento dei ransomware, TI pre-engagement |
| .pcap-Arsenal | Catture di pacchetti organizzate per protocollo, per l'analisi e l'apprendimento a livello Web/API/Network |
| Pentest-Engagement-Playbook | Template di livello consulenziale per scoping, ROE, motivazione della severità e reporting esecutivo — il playbook operativo rivolto al cliente alla base di un engagement |
La maggior parte dei writeup sulla sicurezza CI/CD resta o puramente teorica (una slide che spiega la "poisoned pipeline execution") o puramente inseguimento di flag CTF (una riga "ecco la flag, avanti"). Questo repo cerca di non fare né l'una né l'altra cosa: ogni finding qui sotto è una vulnerabilità completamente validata e supportata da PoC, mappata a una specifica categoria di rischio OWASP CI/CD-SEC, scritta nel modo in cui vorresti davvero spiegarla in un colloquio o in un report reale per un cliente — inclusi i vicoli ciechi, le ipotesi sbagliate e come sono state corrette.
Se stai studiando per un colloquio su AppSec/DevSecOps/sicurezza CI-CD, ti stai preparando per un ingaggio di pentest che coinvolge una toolchain CI/CD, o semplicemente vuoi un tour concreto e pratico di come appaiono realmente "Poisoned Pipeline Execution" o "Insufficient Credential Hygiene" sul filo — questo è scritto per te.
| Campo | Valore |
|---|---|
| Target | OWASP CICD-Goat — deployment locale con Docker Compose |
| Tipo di ingaggio | Laboratorio di apprendimento autonomo autorizzato (grey-box) |
| Stack tecnologico | Jenkins 2.332.1, Gitea 1.16.5, GitLab 15.11.13-ee, CTFd, Docker Compose |
| Scope | localhost:3000 (Gitea), :8080/:50000 (Jenkins), :4000 (GitLab), :8000 (CTFd), :8008 (prod-sim) |
| Metodologia | Fase 0–3 (Scope → Fingerprinting → Identificazione vulnerabilità → Sfruttamento) |
Regole di ingaggio complete: docs/00-engagement-overview.md.
⚠️ Tutti i test in questo repo sono stati eseguiti contro il laboratorio Docker Compose locale, usa-e-getta e intenzionalmente vulnerabile del tester. Nessun sistema di produzione, infrastruttura condivisa o dato di terze parti è stato coinvolto. Avvia la tua copia di CICD-Goat dal repo ufficiale prima di provare qualcosa di tutto questo.
