CICD-Goat-Vapt-Writeup — Updated!
Writeup completo de VAPT do OWASP CICD-Goat — 9 flags CTFd capturadas, 4 achados críticos + 5 de alta gravidade (incl. CVE-2024-23897) mapeados para o OWASP Top 10 CI/CD Security Risks, com PoCs, remediação e resumos prontos para entrevistas.
CICD-Goat VAPT Writeup
Uma avaliação completa de vulnerabilidades e teste de intrusão contra o OWASP CICD-Goat — um ambiente CI/CD deliberadamente vulnerável (Jenkins, Gitea, GitLab, CTFd) — mapeado de ponta a ponta em relação ao OWASP Top 10 CI/CD Security Risks.
🧭 Como Isso se Encaixa com Meus Outros Repositórios
| Repositório | O que contém |
|---|---|
| CICD-Goat-Vapt-Writeup (este repositório) | Writeup completo de VAPT contra o OWASP CICD-Goat — 16 achados incluindo CVE-2024-23897, mapeados para o OWASP Top 10 CI/CD Security Risks, com PoCs e resumos prontos para entrevistas |
| From-Dev-To-Attacker | Meu diário de campo principal — 67 writeups originais sobre padrões de vulnerabilidade, escritos sob a ótica de um desenvolvedor, com enquadramento de impacto em domínios empresariais abrangendo Imposto de Renda, Bancos, Varejo, E-commerce, Logística de Cargas e Educação |
| From-Pentester-To-Red-Teamer | Meu roteiro estruturado de 24 meses para a transição de pentesting Web/API para Red Teaming — fases, laboratórios, certificações e progresso acompanhado abertamente conforme avanço |
| AppSec-From-The-Trenches | Referência de ferramentas e metodologia de pentest — como eu realmente uso Burp Suite, Nmap, Metasploit, Hydra, Hashcat e mais, além da minha metodologia WAPT |
| API-From-The-Trenches | Série aprofundada sobre segurança de API — cobertura do OWASP API Top 10, BOLA, ataques JWT, testes GraphQL, metodologia completa |
| Bug-Bounty-Hunting-Companion | Relatórios reais de bug bounty divulgados publicamente, divididos em checklists reproduzíveis |
| DarkWeb-From-The-Trenches | Metodologia de threat intelligence e OSINT na dark web — monitoramento de vazamento de credenciais, rastreamento de ransomware, TI de pré-engajamento |
| .pcap-Arsenal | Capturas de pacotes organizadas por protocolo, para análise e aprendizado nas camadas Web/API/Rede |
| Pentest-Engagement-Playbook | Templates de escopo, ROE, justificativa de severidade e relatórios executivos em nível de consultoria — o playbook operacional voltado ao cliente por trás de um engajamento |
Por que isto existe
A maioria dos writeups de segurança CI/CD ou permanece puramente teórica (um slide explicando "poisoned pipeline execution") ou puramente focada em capturar flags de CTF (uma linha "aqui está a flag, próximo"). Este repositório tenta não fazer nenhum dos dois: cada achado abaixo é uma vulnerabilidade totalmente validada e respaldada por PoC, mapeada para uma categoria de risco específica do OWASP CI/CD-SEC, escrita da forma como você realmente gostaria de explicá-la em uma entrevista ou em um relatório real para um cliente — incluindo os becos sem saída, as suposições erradas e como elas foram corrigidas.
Se você está se preparando para uma entrevista de AppSec/DevSecOps/segurança de CI-CD, organizando um engajamento de pentest envolvendo uma cadeia de ferramentas de CI/CD, ou apenas quer um tour concreto e prático de como "Poisoned Pipeline Execution" ou "Insufficient Credential Hygiene" realmente se parecem no tráfego — isto foi escrito para você.
Ambiente alvo
| Campo | Valor |
|---|---|
| Alvo | OWASP CICD-Goat — implantação local via Docker Compose |
| Tipo de engajamento | Laboratório de aprendizado autodirigido autorizado (grey-box) |
| Stack tecnológica | Jenkins 2.332.1, Gitea 1.16.5, GitLab 15.11.13-ee, CTFd, Docker Compose |
| Escopo | localhost:3000 (Gitea), :8080/:50000 (Jenkins), :4000 (GitLab), :8000 (CTFd), :8008 (prod-sim) |
| Metodologia | Fase 0–3 (Escopo → Fingerprinting → Identificação de Vulnerabilidades → Exploração) |
Regras de engajamento completas: docs/00-engagement-overview.md.
⚠️ Todos os testes neste repositório foram realizados contra o laboratório Docker Compose local, descartável e intencionalmente vulnerável do próprio testador. Nenhum sistema de produção, infraestrutura compartilhada ou dado de terceiros foi envolvido. Suba sua própria cópia do CICD-Goat a partir do repositório oficial antes de tentar qualquer coisa aqui.