Отчёт VAPT по CICD-Goat

Полная оценка уязвимостей и тестирование на проникновение в OWASP CICD-Goat — намеренно уязвимую среду CI/CD (Jenkins, Gitea, GitLab, CTFd) — сквозным образом сопоставленная с OWASP Top 10 CI/CD Security Risks.

🧭 Как это соотносится с моими другими репозиториями

Репозиторий	Что в нём
CICD-Goat-Vapt-Writeup (этот репозиторий)	Полный отчёт VAPT по OWASP CICD-Goat — 16 находок, включая CVE-2024-23897, сопоставленных с OWASP Top 10 CI/CD Security Risks, с PoC и резюме, готовыми к собеседованиям
From-Dev-To-Attacker	Мой флагманский полевой журнал — 67 оригинальных разборов паттернов уязвимостей, написанных с точки зрения разработчика, с описанием влияния на бизнес-домены в сферах налогов, банковского дела, розничной торговли, электронной коммерции, грузовой логистики и образования
From-Pentester-To-Red-Teamer	Мой структурированный 24-месячный план перехода от тестирования на проникновение веб-приложений и API к Red Teaming — этапы, лаборатории, сертификации и открыто отслеживаемый прогресс по мере прохождения
AppSec-From-The-Trenches	Справочник по инструментам и методологии пентеста — как я на самом деле использую Burp Suite, Nmap, Metasploit, Hydra, Hashcat и другие, плюс моя методология WAPT
API-From-The-Trenches	Углублённая серия по безопасности API — покрытие OWASP API Top 10, BOLA, атаки на JWT, тестирование GraphQL, полная методология
Bug-Bounty-Hunting-Companion	Реальные публично раскрытые отчёты bug bounty, разбитые на воспроизводимые чек-листы
DarkWeb-From-The-Trenches	Методология threat intelligence и OSINT в даркнете — мониторинг утечек учётных данных, отслеживание программ-вымогателей, TI на этапе подготовки к проекту
.pcap-Arsenal	Захваты пакетов, организованные по протоколам, для анализа и обучения на уровне веб-, API- и сетевого уровней
Pentest-Engagement-Playbook	Шаблоны уровня консультанта для определения объёма работ, ROE, обоснования серьёзности и отчётности для руководства — операционный плейбук для клиентов, лежащий в основе проекта

Зачем это существует

Большинство отчётов по безопасности CI/CD либо остаются чисто теоретическими (слайд, объясняющий «отравленное выполнение конвейера»), либо чисто гоняются за флагами CTF (одна строка «вот флаг, дальше»). Этот репозиторий пытается не делать ни того, ни другого: каждая находка ниже — это полностью подтверждённая уязвимость с PoC, сопоставленная с конкретной категорией риска OWASP CI/CD-SEC, написанная так, как вы на самом деле хотели бы объяснить её на собеседовании или в реальном отчёте для клиента — включая тупики, ошибочные предположения и то, как они были исправлены.

Если вы готовитесь к собеседованию по AppSec/DevSecOps/безопасности CI/CD, готовитесь к пентесту, связанному с цепочкой инструментов CI/CD, или просто хотите получить конкретный практический обзор того, как «Poisoned Pipeline Execution» или «Insufficient Credential Hygiene» выглядят на практике в трафике — это написано для вас.

Целевая среда

Поле	Значение
Цель	OWASP CICD-Goat — локальное развёртывание через Docker Compose
Тип работ	Авторизованная учебная лаборатория для самостоятельного обучения (grey-box)
Технологический стек	Jenkins 2.332.1, Gitea 1.16.5, GitLab 15.11.13-ee, CTFd, Docker Compose
Область охвата	`localhost:3000` (Gitea), `:8080`/`:50000` (Jenkins), `:4000` (GitLab), `:8000` (CTFd), `:8008` (prod-sim)
Методология	Фазы 0–3 (Scope → Fingerprinting → Vulnerability ID → Exploitation)

Полные правила проведения работ: docs/00-engagement-overview.md.

⚠️ Все тестирование в этом репозитории проводилось на локальной, одноразовой, намеренно уязвимой лаборатории Docker Compose самого тестировщика. Никакие производственные системы, общая инфраструктура или данные третьих лиц не затрагивались. Перед тем как пробовать что-либо из этого самостоятельно, разверните собственную копию CICD-Goat из официального репозитория.

CICD-Goat-Vapt-Writeup — Updated!