Pentesting CI/CD Methodology
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
VCS inamaanisha Mfumo wa Kudhibiti Toleo, mifumo hii inawawezesha waendelezaji kusimamia msimbo wao wa chanzo. Moja ya kawaida ni git na kawaida utaona kampuni zikilitumia katika moja ya majukwaa yafuatayo:
Github
Gitlab
Bitbucket
Gitea
Watoa huduma wa wingu (wanatoa majukwaa yao ya VCS)
Pipelines za CI/CD zinawawezesha waendelezaji kujiandaa kwa utekelezaji wa msimbo kwa madhumuni mbalimbali, ikiwa ni pamoja na kujenga, kujaribu, na kupeleka programu. Mifumo hii ya kiotomatiki inasababishwa na vitendo maalum, kama vile kusukuma msimbo, maombi ya kuvuta, au kazi zilizopangwa. Zinasaidia katika kuboresha mchakato kutoka kwa maendeleo hadi uzalishaji.
Hata hivyo, mifumo hii inahitaji kutekelezwa mahali fulani na kawaida kwa akidi za kibali ili kupeleka msimbo au kufikia taarifa nyeti.
Hata kama baadhi ya majukwaa ya VCS yanaruhusu kuunda pipelines kwa sehemu hii tutachambua tu mashambulizi yanayoweza kutokea kwenye udhibiti wa msimbo wa chanzo.
Majukwaa yanayoshikilia msimbo wa mradi wako yana taarifa nyeti na watu wanahitaji kuwa makini sana na ruhusa zinazotolewa ndani ya jukwaa hili. Haya ni baadhi ya matatizo ya kawaida katika majukwaa ya VCS ambayo mshambuliaji anaweza kuyatumia:
Leaks: Ikiwa msimbo wako una leaks katika commits na mshambuliaji anaweza kufikia repo (kwa sababu ni ya umma au kwa sababu ana ufikiaji), anaweza kugundua leaks.
Access: Ikiwa mshambuliaji anaweza kufikia akaunti ndani ya jukwaa la VCS anaweza kupata nadharia zaidi na ruhusa.
Register: Baadhi ya majukwaa yataruhusu tu watumiaji wa nje kuunda akaunti.
SSO: Baadhi ya majukwaa hayataruhusu watumiaji kujiandikisha, lakini yataruhusu mtu yeyote kufikia kwa SSO halali (hivyo mshambuliaji anaweza kutumia akaunti yake ya github kuingia kwa mfano).
Credentials: Jina la mtumiaji + Pwd, alama za kibinafsi, funguo za ssh, alama za Oauth, cookies... kuna aina kadhaa za alama ambazo mtumiaji anaweza kuiba ili kufikia kwa njia fulani repo.
Webhooks: Majukwaa ya VCS yanaruhusu kuunda webhooks. Ikiwa hazijalindwa na siri zisizoonekana mshambuliaji anaweza kuzitumia vibaya.
Ikiwa hakuna siri iliyowekwa, mshambuliaji anaweza kutumia vibaya webhook ya jukwaa la mtu wa tatu
Ikiwa siri iko kwenye URL, jambo hilo linaweza kutokea na mshambuliaji pia ana siri hiyo
Code compromise: Ikiwa mhusika mbaya ana aina fulani ya kuandika ufikiaji juu ya repos, anaweza kujaribu kuingiza msimbo mbaya. Ili kufanikiwa anaweza kuhitaji kuzidi ulinzi wa tawi. Vitendo hivi vinaweza kufanywa kwa malengo tofauti akilini:
Kuathiri tawi kuu ili kuathiri uzalishaji.
Kuathiri tawi kuu (au tawi nyingine) ili kuathiri mashine za waendelezaji (kama kawaida wanatekeleza majaribio, terraform au mambo mengine ndani ya repo kwenye mashine zao).
Kuathiri pipeline (angalia sehemu inayofuata)
Njia ya kawaida zaidi ya kufafanua pipeline, ni kwa kutumia faili ya usanidi wa CI iliyohifadhiwa katika hazina ambayo pipeline inajenga. Faili hii inaelezea mpangilio wa kazi zinazotekelezwa, masharti yanayoathiri mtiririko, na mipangilio ya mazingira ya kujenga. Faili hizi kwa kawaida zina jina na muundo wa kawaida, kwa mfano — Jenkinsfile (Jenkins), .gitlab-ci.yml (GitLab), .circleci/config.yml (CircleCI), na faili za YAML za GitHub Actions zilizo chini ya .github/workflows. Wakati inasababishwa, kazi ya pipeline inasukuma msimbo kutoka chanzo kilichochaguliwa (k.m. commit / branch), na inaendesha amri zilizotajwa katika faili ya usanidi wa CI dhidi ya msimbo huo.
Kwa hivyo lengo kuu la mshambuliaji ni kwa namna fulani kuathiri faili hizo za usanidi au amri wanazotekeleza.
Njia ya Utekelezaji wa Pipeline Iliochafuliwa (PPE) inatumia ruhusa katika hazina ya SCM ili kudhibiti pipeline ya CI na kutekeleza amri hatari. Watumiaji wenye ruhusa zinazohitajika wanaweza kubadilisha faili za usanidi wa CI au faili nyingine zinazotumiwa na kazi ya pipeline ili kujumuisha amri mbaya. Hii "inachafuliwa" pipeline ya CI, ikisababisha utekelezaji wa amri hizi mbaya.
Ili mhusika mbaya afanikiwe kufanya shambulio la PPE anahitaji kuwa na uwezo wa:
Kuwa na ufikiaji wa kuandika kwenye jukwaa la VCS, kwani kawaida pipelines husababishwa wakati kusukuma au ombi la kuvuta linafanywa. (Angalia mbinu ya pentesting ya VCS kwa muhtasari wa njia za kupata ufikiaji).
Kumbuka kwamba wakati mwingine PR ya nje inachukuliwa kama "ufikiaji wa kuandika".
Hata kama ana ruhusa za kuandika, anahitaji kuwa na uhakika anaweza kubadilisha faili ya usanidi wa CI au faili nyingine ambazo usanidi unategemea.
Kwa hili, anaweza kuhitaji kuwa na uwezo wa kuzidi ulinzi wa tawi.
Kuna ladha 3 za PPE:
D-PPE: Shambulio la Direct PPE linafanyika wakati mhusika anabadilisha faili ya usanidi wa CI ambayo itatekelezwa.
I-DDE: Shambulio la Indirect PPE linafanyika wakati mhusika anabadilisha faili ambayo faili ya usanidi wa CI inategemea (kama faili ya kutengeneza au usanidi wa terraform).
Public PPE au 3PE: Katika baadhi ya matukio pipelines zinaweza kusababishwa na watumiaji ambao hawana ufikiaji wa kuandika katika repo (na ambao huenda hata si sehemu ya shirika) kwa sababu wanaweza kutuma PR.
3PE Command Injection: Kawaida, pipelines za CI/CD zitakuwa zimeweka mazingira ya mabadiliko na taarifa kuhusu PR. Ikiwa thamani hiyo inaweza kudhibitiwa na mshambuliaji (kama kichwa cha PR) na inatumika katika mahali hatari (kama kutekeleza amri za sh), mshambuliaji anaweza kuingiza amri hapo.
Kujua ladha 3 za kuachafulia pipeline, hebu tuangalie ni nini mshambuliaji anaweza kupata baada ya uhalifu kufanikiwa:
Secrets: Kama ilivyotajwa hapo awali, pipelines zinahitaji privileges kwa kazi zao (kurejesha msimbo, kuujenga, kupeleka...) na ruhusa hizi kwa kawaida zinatolewa katika siri. Siri hizi kwa kawaida zinapatikana kupitia mabadiliko ya mazingira au faili ndani ya mfumo. Kwa hivyo mshambuliaji daima atajaribu kuhamasisha siri nyingi kadri inavyowezekana.
Kulingana na jukwaa la pipeline mshambuliaji anaweza kuhitaji kutaja siri katika usanidi. Hii inamaanisha kwamba ikiwa mshambuliaji cannot kubadilisha pipeline ya usanidi wa CI (I-PPE kwa mfano), anaweza tu kuhamasisha siri ambazo pipeline hiyo ina.
Computation: Msimbo unatekelezwa mahali fulani, kulingana na mahali unatekelezwa mshambuliaji anaweza kuwa na uwezo wa kuhamasisha zaidi.
On-Premises: Ikiwa pipelines zinafanywa kwenye maeneo, mshambuliaji anaweza kuishia kwenye mtandao wa ndani wenye ufikiaji wa rasilimali zaidi.
Cloud: Mshambuliaji anaweza kufikia mashine nyingine kwenye wingu lakini pia anaweza kuhamasisha alama za IAM/akaunti za huduma tokens kutoka kwake ili kupata ufikiaji zaidi ndani ya wingu.
Platforms machine: Wakati mwingine kazi zitatekelezwa ndani ya mashine za jukwaa la pipelines, ambazo kawaida ziko ndani ya wingu bila ufikiaji zaidi.
Select it: Wakati mwingine jukwaa la pipelines litakuwa limeweka mashine kadhaa na ikiwa unaweza kubadilisha faili ya usanidi wa CI unaweza kuonyesha wapi unataka kutekeleza msimbo mbaya. Katika hali hii, mshambuliaji labda atatekeleza shell ya kurudi kwenye kila mashine inayowezekana kujaribu kuhamasisha zaidi.
Compromise production: Ikiwa uko ndani ya pipeline na toleo la mwisho linajengwa na kupelekwa kutoka kwake, unaweza kuathiri msimbo ambao utaishia kutekelezwa katika uzalishaji.
Chain-bench ni zana ya chanzo wazi kwa ajili ya kukagua safu yako ya usambazaji wa programu kwa ajili ya kufuata usalama kulingana na CIS Software Supply Chain benchmark. Ukaguzi unazingatia mchakato mzima wa SDLC, ambapo unaweza kufichua hatari kutoka wakati wa msimbo hadi wakati wa kupeleka.
Angalia makala hii ya kuvutia kuhusu hatari 10 bora za CI/CD kulingana na Cider: https://www.cidersecurity.io/top-10-cicd-security-risks/
Kwenye kila jukwaa ambalo unaweza kukimbia kwa ndani utapata jinsi ya kulizindua ndani ili uweze kulipanga kama unavyotaka kulijaribu
Gitea + Jenkins lab: https://github.com/cider-security-research/cicd-goat
Checkov: Checkov ni zana ya uchambuzi wa msimbo wa statiki kwa ajili ya miundombinu kama msimbo.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
