關(guān)于cicd-goat cicd-goat是一個(gè)故意包含大量漏洞的CI/CD安全學(xué)習(xí)靶場(chǎng)環(huán)境，廣大研究人員可以使用cicd-goat來(lái)學(xué)習(xí)關(guān)于CI/CD安全的相關(guān)內(nèi)容，并通過(guò)各種挑戰(zhàn)并拿到Flag來(lái)更好地掌握針對(duì)CI/CD管道的安全滲透技術(shù)。cicd-goat項(xiàng)目允許允許工程師和安全從業(yè)人員通過(guò)一組包含是十個(gè)項(xiàng)目的挑戰(zhàn)來(lái)學(xué)習(xí)和實(shí)踐CI/CD安全，這些挑戰(zhàn)是在真實(shí)、全面的CI/CD環(huán)境中實(shí)施的。這些場(chǎng)景具有不同的難度級(jí)別，每個(gè)場(chǎng)景側(cè)重于一個(gè)主要攻擊向量。這些挑戰(zhàn)包括10大CI/CD安全風(fēng)險(xiǎn)，包括流量控制機(jī)制不足、PPE（管道執(zhí)行投毒）、依賴鏈濫用、PBAC（基于管道的訪問(wèn)控制）等。該項(xiàng)目的環(huán)境基于Docker容器實(shí)現(xiàn)，并且可以在本地運(yùn)行，這些容器包括：這些映像能夠創(chuàng)建功能齊全的管道，并實(shí)現(xiàn)互連。
工具下載&運(yùn)行
Linux&macOScurl -o cicd-goat/docker-compose.yaml --create-dirs https://raw./cider-security-research/cicd-goat/main/docker-compose.yaml
cd cicd-goat && docker-compose up -d
Windows（PowerShell）mkdir cicd-goat; cd cicd-goatcurl -o docker-compose.yaml https://raw./cider-security-research/cicd-goat/main/docker-compose.yamlget-content docker-compose.yaml | %{$_ -replace 'bridge','nat'}docker-compose up -d
（向右滑動(dòng)，查看更多）
工具使用 首先，在開(kāi)啟容器之后，可能需要等待五分鐘左右的時(shí)間來(lái)讓容器完成配置。接下來(lái)，登錄http://localhost:8000來(lái)查看所有的挑戰(zhàn)：
開(kāi)始滲透Jenkins：http://localhost:8080 Gitea http://localhost:3000 GitLab http://localhost:4000 最后，將你拿到的Flag提交進(jìn)去，查看是否成功即可。
自定義開(kāi)發(fā) 首先，使用下列命令將該項(xiàng)目源碼克隆至本地：git clone https://github.com/cider-security-research/cicd-goat.git
pip3 install pipenv==2022.8.30
pipenv install --deploy
運(yùn)行開(kāi)發(fā)環(huán)境并測(cè)試新增的挑戰(zhàn)項(xiàng)目：rm -rf tmp tmp-ctfd/
cp -R ctfd/data/ tmp-ctfd/
docker-compose -f docker-compose-dev.yaml up -d
關(guān)閉環(huán)境，將挑戰(zhàn)重構(gòu)：docker-compose -f docker-compose-dev.yaml down
./apply.sh # save CTFd changes
docker-compose -f docker-compose-dev.yaml up -d --build
許可證協(xié)議 本項(xiàng)目的開(kāi)發(fā)與發(fā)布遵循Apache-2.0開(kāi)源許可證協(xié)議。
項(xiàng)目地址 cicd-goat：https://github.com/cider-security-research/cicd-goat
參考資料：https://www./utm_source=github&utm_medium=github_page&utm_campaign=ci%2fcd%20goat%20_060422https://www./top-10-cicd-security-risks/?utm_source=github&utm_medium=github_page&utm_campaign=ci%2fcd%20goat_060422
|
