Una valutazione completa delle vulnerabilità e test di penetrazione contro OWASP CICD-Goat — un ambiente CI/CD deliberatamente vulnerabile (Jenkins, Gitea, GitLab, CTFd) — mappato end-to-end rispetto ai OWASP Top 10 CI/CD Security Risks.

🧭 Come si inserisce nei miei altri repository

Perché esiste questo repository

La maggior parte dei writeup sulla sicurezza CI/CD o resta puramente teorica (una slide che spiega il "poisoned pipeline execution") o è pura caccia alla flag CTF (una riga "ecco la flag, avanti"). Questo repo cerca di non fare né l'una né l'altra cosa: ogni finding qui sotto è una vulnerabilità completamente validata e supportata da PoC, mappata a una specifica categoria di rischio OWASP CI/CD-SEC, scritta nel modo in cui vorresti davvero spiegarla in un colloquio o in un report reale per un cliente — inclusi i vicoli ciechi, le ipotesi sbagliate e come sono state corrette.

Se stai studiando per un colloquio in ambito AppSec/DevSecOps/CI-CD-security, ti stai preparando per un engagement di pentest che coinvolge una toolchain CI/CD, o semplicemente vuoi un tour concreto e pratico di come appaiono davvero il "Poisoned Pipeline Execution" o l'"Insufficient Credential Hygiene" sul filo — questo è scritto per te.

Ambiente target

Regole di ingaggio complete: docs/00-engagement-overview.md.

⚠️ Tutti i test in questo repo sono stati eseguiti contro il lab Docker Compose locale, usa-e-getta e intenzionalmente vulnerabile del tester. Nessun sistema di produzione, infrastruttura condivisa o dato di terze parti è stato coinvolto. Avvia la tua copia di CICD-Goat dal repo ufficiale prima di provare qualcosa di tutto questo.

Risultati in sintesi

Più 6 finding informativi / di supporto (controlli positivi, conferme dei confini RBAC, divulgazione minore di informazioni) in findings/informational/.

Come i finding si concatenano tra loro

Diversi finding non sono indipendenti — uno abilita o completa direttamente un altro. Questa è la parte che tende a impressionare in un colloquio più di qualsiasi singolo finding preso da solo:

9 delle 11 sfide CTFd risolte e flag verificate — vedi il cross-reference completo delle sfide, incluso un caso documentato onestamente (Dormouse/flag9) in cui il confine di controllo degli accessi ha tenuto sotto attacco prolungato.

Indice completo

Ogni file qui sotto è linkato direttamente — l'albero delle cartelle mostra solo come sono organizzati.

📋 Documenti di Engagement

🔍 Recon

🚨 Finding Critici e Alti

ℹ️ Finding Informativi / di Supporto

🎯 CTFd

Struttura del repo

.
├── docs/                          # Engagement context, methodology, mappings, remediation, interview prep
│   ├── 00-engagement-overview.md
│   ├── 01-methodology.md
│   ├── 02-owasp-top10-cicd-mapping.md
│   ├── 03-remediation-roadmap.md
│   ├── 04-interview-prep.md
│   └── 05-lessons-learned.md
├── recon/                         # Phase 1 & 2 — fingerprinting and authenticated enumeration
│   ├── 01-fingerprinting.md
│   └── 02-authenticated-enumeration.md
├── findings/                      # One file per confirmed finding, full PoC + remediation
│   ├── F-010-...md ... F-021-...md
│   └── informational/             # INFO/LOW severity supporting observations
├── ctfd/
│   └── challenge-cross-reference.md
└── LICENSE.md

Percorsi di lettura

• Vuoi solo i punti salienti? Inizia dalla tabella dei risultati qui sopra, poi leggi F-010, F-013, F-016 e F-017 — le quattro kill chain end-to-end più complete.
• Ti stai preparando per un colloquio? Vai direttamente a docs/04-interview-prep.md — riassunti in stile parlato, di un paragrafo ciascuno, di ogni finding principale, più le domande di follow-up comuni.
• Stai costruendo/irrobustendo una pipeline CI/CD? Vai direttamente a docs/03-remediation-roadmap.md — una checklist prioritizzata e attuabile.
• Nuovo ai concetti di sicurezza CI/CD? Inizia da docs/02-owasp-top10-cicd-mapping.md per la tassonomia di riferimento attorno a cui è organizzato l'intero repo.

Informazioni sugli OWASP Top 10 CI/CD Security Risks

Ogni finding qui è mappato rispetto agli OWASP Top 10 CI/CD Security Risks (2023) — una tabella di riferimento completa (da CICD-SEC-1 a CICD-SEC-10) si trova in docs/02-owasp-top10-cicd-mapping.md, poiché è citata costantemente in tutti i singoli finding.

Disclaimer

Questo repository documenta test eseguiti esclusivamente contro un lab di addestramento locale, self-hosted e intenzionalmente vulnerabile (OWASP CICD-Goat), per scopi educativi e di portfolio. Nulla qui prende di mira, fa riferimento o è stato testato contro alcun sistema di produzione, servizio di terze parti o credenziale reale. Non usare alcuna tecnica di questo repo contro sistemi che non possiedi o per cui non hai esplicita autorizzazione scritta al test.

🧠 Filosofia di Testing

"I migliori penetration tester pensano prima come sviluppatori e poi come attaccanti. Se capisci perché il codice è stato scritto in un certo modo, troverai sempre più di quanto troverà mai uno scanner."

Affronto ogni engagement in tre fasi:

1. Capire prima di attaccare — Leggi l'applicazione. Usala come un utente reale. Comprendi la logica di business prima di toccare un singolo strumento.

2. Prima manuale, poi gli strumenti — Gli scanner automatizzati trovano ciò per cui sono configurati. I bug interessanti si trovano sempre pensando, non scansionando.

3. Riporta come uno sviluppatore — Un finding che gli sviluppatori non riescono a capire o riprodurre è un finding che non viene corretto.

👤 Su di me

• Nome — Dheeraj Kumar Jayaswal
• Ruolo — Technology Lead – Offensive Security, Infosys Limited
• Focus — Penetration Testing di Applicazioni Web e API
• Esperienza — 15+ anni nell'IT · 6+ anni in Offensive Security
• Punto di forza — Ex sviluppatore full-stack (ASP.NET / SQL Server) — penso come uno sviluppatore, attacco come un hacker
• Domini — Fisco · Banche · Retail · E-commerce · Logistica Merci · Istruzione

🏅 Certificazioni

Direzione futura — Red Teaming: OSCP → CRTO → OSEP, CRTP, CRTL, CRTE

📄 Licenza

Questo contenuto è rilasciato sotto CC BY 4.0. Sei libero di riutilizzare o adattare qualsiasi parte di questo write-up — basta attribuire chiaramente a Dheeraj Kumar Jayaswal con un link a questo repository. CICD-Goat stesso è un progetto separato di Cider Security — vai a mettere una stella all'originale.

🤝 Connettiti

LinkedIn — aperto a consulenza, collaborazione e discussioni sulla sicurezza.

Feedback, correzioni e PR (ad esempio per flag9/Dormouse, o per il follow-up su Duchess/flag4 nel cross-reference CTFd) sono benvenuti — vedi CONTRIBUTING.md.