针对 OWASP CICD-Goat 的完整漏洞评估与渗透测试——一个故意设计为存在漏洞的 CI/CD 环境（Jenkins、Gitea、GitLab、CTFd）——端到端映射至 OWASP Top 10 CI/CD 安全风险。

🧭 本仓库与其他仓库的关系

为什么创建这个仓库

大多数 CI/CD 安全文章要么纯理论（用幻灯片解释"管道投毒执行"），要么纯 CTF 夺旗（一行"这是 flag，下一个"）。本仓库试图两者皆非：以下每一项发现都是经过完整验证、有 PoC 支撑的漏洞，映射至特定的 OWASP CI/CD-SEC 风险类别，以你在面试或真实客户报告中实际想要的方式撰写——包括死胡同、错误假设，以及它们是如何被纠正的。

如果你正在准备 AppSec/DevSecOps/CI-CD 安全面试，准备涉及 CI/CD 工具链的渗透测试项目，或者只是想具体、动手地了解"管道投毒执行"或"凭据卫生不足"在实际流量中是什么样子——这篇文章就是为你写的。

目标环境

完整交战规则：docs/00-engagement-overview.md。

⚠️ 本仓库中的所有测试均针对测试者自己的本地、一次性、故意存在漏洞的 Docker Compose 实验环境进行。 不涉及任何生产系统、共享基础设施或第三方数据。在自行尝试之前，请从官方仓库启动你自己的 CICD-Goat 副本。

结果概览

另有 6 项信息性/辅助性发现（正向对照、RBAC 边界确认、轻微信息泄露）位于 findings/informational/。

各项发现如何串联

若干发现并非独立——一项直接促成或完成另一项。这部分在面试中往往比任何单一发现本身更能打动面试官：

11 个 CTFd 挑战中解决了 9 个并通过 flag 验证——参见完整的挑战交叉引用，包括一个如实记录的案例（Dormouse/flag9），其中访问控制边界在持续攻击下保持住了。

完整目录

以下每个文件均可直接链接——文件夹树仅展示它们的组织方式。

📋 项目文档

🔍 侦察

🚨 严重与高危发现

ℹ️ 信息性/辅助性发现

🎯 CTFd

仓库结构

.
├── docs/                          # Engagement context, methodology, mappings, remediation, interview prep
│   ├── 00-engagement-overview.md
│   ├── 01-methodology.md
│   ├── 02-owasp-top10-cicd-mapping.md
│   ├── 03-remediation-roadmap.md
│   ├── 04-interview-prep.md
│   └── 05-lessons-learned.md
├── recon/                         # Phase 1 & 2 — fingerprinting and authenticated enumeration
│   ├── 01-fingerprinting.md
│   └── 02-authenticated-enumeration.md
├── findings/                      # One file per confirmed finding, full PoC + remediation
│   ├── F-010-...md ... F-021-...md
│   └── informational/             # INFO/LOW severity supporting observations
├── ctfd/
│   └── challenge-cross-reference.md
└── LICENSE.md

阅读路径

• 只想看亮点？ 从上方结果表开始，然后阅读 F-010、F-013、F-016 和 F-017——四条最完整的端到端杀伤链。
• 准备面试？ 直接前往 docs/04-interview-prep.md——每项主要发现的一段式口语化总结，以及常见追问问题。
• 正在构建/加固 CI/CD 管道？ 直接前往 docs/03-remediation-roadmap.md——按优先级排列的可操作检查清单。
• 刚接触 CI/CD 安全概念？ 从 docs/02-owasp-top10-cicd-mapping.md 开始，了解整个仓库围绕其组织的参考分类体系。

关于 OWASP Top 10 CI/CD 安全风险

此处的每项发现都映射至 OWASP Top 10 CI/CD 安全风险（2023）——完整参考表（CICD-SEC-1 至 CICD-SEC-10）位于 docs/02-owasp-top10-cicd-mapping.md，因为它在各项发现中被频繁引用。

免责声明

本仓库记录的测试仅针对本地、自托管、故意存在漏洞的训练实验环境（OWASP CICD-Goat）进行，用于教育和作品集目的。此处没有任何内容针对、引用或曾对任何生产系统、第三方服务或真实凭据进行测试。请勿对本仓库中的任何技术用于你未拥有或未获得明确书面授权测试的系统。

🧠 测试理念

"最好的渗透测试人员首先像开发者一样思考，其次才像攻击者。如果你理解代码为什么以某种方式编写，你总能发现比扫描器更多的东西。"

我对每个项目都采用三个阶段：

1. 先理解再攻击 — 阅读应用程序。像真实用户一样使用它。在接触任何工具之前先理解业务逻辑。

2. 手动优先，工具其次 — 自动化扫描器只能发现它们被配置来发现的东西。有趣的漏洞总是通过思考而非扫描发现的。

3. 像开发者一样报告 — 开发者无法理解或复现的发现，就是不会被修复的发现。

👤 关于我

• 姓名 — Dheeraj Kumar Jayaswal
• 职位 — 技术主管 – 攻击性安全，Infosys Limited
• 专注领域 — Web 应用程序与 API 渗透测试
• 经验 — IT 行业 15+ 年 · 攻击性安全 6+ 年
• 优势 — 前全栈开发者（ASP.NET / SQL Server）——像开发者一样思考，像黑客一样攻击
• 行业领域 — 所得税 · 银行 · 零售 · 电商 · 货运物流 · 教育

🏅 认证

未来方向 — 红队： OSCP → CRTO → OSEP、CRTP、CRTL、CRTE

📄 许可证

本内容采用 CC BY 4.0 许可。欢迎复用或改编本报告的任何部分——只需明确署名 Dheeraj Kumar Jayaswal 并附上指向本仓库的链接。CICD-Goat 本身是 Cider Security 的独立项目——去给原项目点个星吧。

🤝 联系

LinkedIn — 欢迎咨询、合作和安全讨论。

欢迎反馈、更正和 PR（例如针对 flag9/Dormouse，或 CTFd 交叉引用中的 Duchess/flag4 后续）——参见 CONTRIBUTING.md。