SmokedMeat

CI/CD 레드팀 프레임워크

메타스플로이트와 같지만, CI/CD 파이프라인용입니다.

BoostSecurity Labs에서 poutine 빌드 파이프라인 SAST 스캐너를 만든 팀이 제작했습니다.

경고: 이 도구는 승인된 보안 테스트 용도로만 사용하세요.

SmokedMeat는 CI/CD 파이프라인 위협이 심각하게 과소평가되고 있기 때문에 만들어졌습니다. 기존 보안 교육은 공급망 공격을 거의 다루지 않아, 방어자들이 실제 환경에서 공격자들이 적극적으로 악용하는 기술에 대비하지 못하게 합니다.

우리는 보안 팀이 현실적인 레드팀 훈련을 통해 고급 CI/CD 공격 기술에 대한 방어를 학습, 연습, 검증할 수 있는 능력을 제공하기 위해 이 도구를 만들었습니다.

자신이 소유했거나 명시적인 서면 허가를 받은 시스템에 대해서만 사용하세요.

SmokedMeat란 무엇인가요?

SmokedMeat는 CI/CD 파이프라인을 위한 사후침투 프레임워크입니다. GitHub 조직을 대상으로 지정하면 취약한 워크플로를 찾고, 손상된 러너에 임플란트를 배포한 후, 클라우드 제공자를 통해 피벗하고, 비밀 정보를 추출하고, 피해 범위를 매핑합니다. 이 모든 작업을 터미널 UI에서 수행합니다.

기능:

1. 분석 - 조직의 GitHub Actions 워크플로에서 주입 취약점, 위험한 트리거, 안전하지 않은 체크아웃 패턴을 스캔합니다 (poutine 기반)
2. 공격 - PR, 이슈, 코멘트 또는 workflow dispatch를 통해 스테이저를 배포합니다. 취약한 워크플로가 실행되면 CI 러너에서 임플란트를 다운로드하여 실행합니다.
3. 사후침투 - 러너 메모리에서 비밀 정보 추출, GitHub 토큰 권한 열거, 개인 키 스캔, 전리품 수집
4. 피벗 - 획득한 자격 증명을 사용하여 수평 이동: 개인 리포지토리 발견, GitHub App 토큰 생성, OIDC 토큰을 AWS/GCP/Azure 액세스로 교환, SSH 배포 키 프로브

철학: 대담하고 시끄럽습니다. EDR 회피 도구가 아닙니다. 경보가 트리거되기 전에 CI/CD 손상이 얼마나 깊이 진행되는지 보여주는 데모 프레임워크입니다.

대상 사용자:

• 엔터프라이즈 환경에서 CI/CD 보안 태세를 검증하는 레드팀
• 이해관계자에게 공급망 공격 경로를 시연하는 펜테스터
• 파이프라인 공격에 대한 탐지 및 대응을 테스트하는 보안 엔지니어
• 새로운 CI/CD 익스플로잇 기술을 연구하는 연구자
• 공급망 공격 표면을 탐색하는 버그 바운티 헌터

빠른 시작

SmokedMeat를 처음 사용해보려면 Docker와 make를 설치하세요. Go는 필요하지 않습니다.

git clone https://github.com/boostsecurityio/smokedmeat.git
cd smokedmeat
make quickstart

make quickstart는 권장되는 첫 실행입니다. 안정적인 릴리스 퀵스타트 스택을 로컬에서 시작하고 로컬 C2 팀서버(Kitchen)에 대해 운영자 TUI(Counter)를 실행합니다.

권장 첫 실행:

• 대상: whooli
• 토큰: public_repo 권한이 있는 클래식 PAT

⚠ 클래식 PAT를 선호합니다. 세분화된 PAT는 너무 제한적일 수 있으며, 다른 조직(whooli 포함)의 공개 대상 테스트를 차단할 수 있습니다.

whooli는 의도적으로 취약하게 만든 SmokedMeat의 CI/CD 공격 연습장입니다. 공개 경로의 첫 번째 대상으로 권장됩니다.

설정 마법사가 다음을 안내합니다:

1. GitHub PAT - 토큰 입력. 개인 리포지토리의 경우 클래식 PAT는 일반적으로 repo가 필요합니다.
2. 대상 - whooli 또는 자신의 조직/리포지토리 입력
3. 분석 - 워크플로의 취약점을 스캔하고 익스플로잇 가능한 결과를 제공합니다.

전체 챌린지 흐름은 whooli 가이드를 참조하거나 whooli GitHub 조직으로 바로 이동하세요.

사용이 끝나면:

make quickstart-down       # 컨테이너 중지
make quickstart-purge      # 중지 및 모든 데이터 삭제

소스에서 작업하려면 개발을 참조하세요.

개발

소스 트리를 로컬에서 기여하거나 반복 작업하는 경우 Go 1.26+를 설치하고 dev 퀵스타트를 사용하세요:

make dev-quickstart

make dev-quickstart는 로컬 smokedmeat-cloud-shell 이미지를 빌드하고, cloudflared, nats, C2 팀서버(Kitchen)를 시작한 다음 소스에서 운영자 TUI를 실행합니다.

인프라를 먼저 설정하고 운영자 TUI는 나중에 실행하려면:

make dev-quickstart-up
make dev-quickstart-counter

사용이 끝나면:

make dev-quickstart-down   # 컨테이너 중지
make dev-quickstart-purge  # 중지 및 모든 데이터 삭제

더 많은 배포 모드 및 로컬 개발 세부 정보는 docs/deployment.md에 있습니다.

버전 확인

Counter는 시작 시 새로운 SmokedMeat 릴리스가 있는지 확인합니다. SMOKEDMEAT_DISABLE_VERSION_CHECK 환경 변수를 설정하여 비활성화할 수 있습니다.

핵심 구성 요소

배포 모드

Hosted Teamserver는 전용 호스트에서 C2 팀서버를 실행하고, 각 운영자 워크스테이션에서 네이티브로 운영자 TUI를 실행합니다.

아키텍처

높은 수준에서 운영자 TUI(Counter)는 C2 팀서버(Kitchen)와 통신하며, 팀서버는 손상된 CI 러너에서 실행 중인 임플란트(Brisket)를 관리하고 실시간 공격 그래프를 제공합니다.

┌──────────────┐
│  SSH AGENT   │
│   (Auth)     │
└──────┬───────┘
       │
       ▼
┌──────────────┐                 ┌──────────────┐
│  THE COUNTER │ ───────────────▶│  THE KITCHEN │
│  (Operator)  │    WebSocket    │ (Teamserver) │
│  Bubbletea   │◀─────────────── │              │
│     TUI      │   Events/Graph  │ ┌──────────┐ │
└──────────────┘                 │ │ Database │ │
                                 │ └──────────┘ │
┌──────────────┐                 │              │
│   BROWSER    │ ───────────────▶│              │
│  Graph View  │    WebSocket    │              │
│  Visualizer  │◀─────────────── │              │
└──────────────┘   Live Updates  └──────────────┘
                                   │         ▲
                                   │         │
                        Creates PR │         │ Stager fetches implant binary
                                   │         │ Implant HTTP Beacon/Commands
                                   ▼         │
┌────────────────────────────────────────────┴──────────────────────────────────┐
│  GITHUB.COM                                                                   │
│                                                                               │
│  ┌─────────────────────┐          ┌─────────────────────────────────────────┐ │
│  │  Malicious PR       │ triggers │  GitHub Actions Runner                  │ │
│  │  (Vulnerable        │─────────▶│                                         │ │
│  │   Workflow)         │          │  ┌────────────┐      ┌────────────────┐ │ │
│  └─────────────────────┘          │  │  Stager    │─────▶│  THE BRISKET   │ │ │
│                                   │  │            │      │  (Implant)     │ │ │
│                                   │  └────────────┘      └────────────────┘ │ │
│                                   └─────────────────────────────────────────┘ │
└───────────────────────────────────────────────────────────────────────────────┘

기능

전체 세부 사항은 docs/FEATURES.md에 있습니다.

기술 스택

테스트

make test          # 단위 테스트
make lint          # 린터
make e2e-smoke     # 빠른 공개 익스플로잇 스모크 경로
make e2e-goat      # 클라우드 플래그까지 전체 염소 체인

관련 연구

SmokedMeat는 다음 연구를 기반으로 합니다:

• poutine - 빌드 파이프라인 SAST 스캐너
• LOTP - Living Off The Pipeline 기술
• Gato-X - GitHub Actions 열거
• Nord-Stream - CI/CD 비밀 추출
• Sliver - Go C2 아키텍처 패턴
• Mythic - 협업 워크플로 설계

라이선스

GNU Affero General Public License v3.0 - 자세한 내용은 LICENSE를 참조하세요.

공격자 기술을 이해하려는 방어자를 위해 만들어졌습니다.