TravisCI Security
Nini TravisCI
Travis CI ni huduma ya kuendelea kuunganisha iliyohifadhiwa au kwenye premises inayotumika kujenga na kujaribu miradi ya programu iliyohifadhiwa kwenye jukwaa tofauti za git.
Mashambulizi
Vichocheo
Ili kuanzisha shambulizi, kwanza unahitaji kujua jinsi ya kuchochea ujenzi. Kwa kawaida, TravisCI itachochea ujenzi kwenye push na ombi la kuvuta:
Kazi za Cron
Ikiwa una ufikiaji wa programu ya wavuti, unaweza kweka kazi za cron kuendesha ujenzi, hii inaweza kuwa muhimu kwa kudumu au kuchochea ujenzi:
Inaonekana haiwezekani kuweka kazi za cron ndani ya .travis.yml kulingana na hii.
PR za Watu wa Tatu
TravisCI kwa kawaida inazima kushiriki mabadiliko ya mazingira na PR zinazotoka kwa watu wa tatu, lakini mtu anaweza kuziwasha na kisha unaweza kuunda PR kwa repo na kuhamasisha siri:
Kutupa Siri
Kama ilivyoelezwa kwenye ukurasa wa taarifa za msingi, kuna aina 2 za siri. Siri za Mabadiliko ya Mazingira (ambazo ziko kwenye ukurasa wa wavuti) na siri za siri zilizowekwa, ambazo zimehifadhiwa ndani ya faili ya .travis.yml kama base64 (kumbuka kwamba zote mbili kama zilivyohifadhiwa kwa siri zitakuwa kama mabadiliko ya mazingira kwenye mashine za mwisho).
Ili kuhesabu siri zilizowekwa kama Mabadiliko ya Mazingira, nenda kwenye mipangilio ya mradi na angalia orodha. Hata hivyo, kumbuka kwamba mabadiliko yote ya mazingira ya mradi yaliyowekwa hapa yataonekana unapochochea ujenzi.
Ili kuhesabu siri za siri zilizowekwa, bora unachoweza kufanya ni kuangalia faili ya
.travis.yml.Ili kuhesabu faili zilizowekwa kwa siri, unaweza kuangalia kwa faili za
.enckwenye repo, kwa mistari inayofanana naopenssl aes-256-cbc -K $encrypted_355e94ba1091_key -iv $encrypted_355e94ba1091_iv -in super_secret.txt.enc -out super_secret.txt -dkwenye faili ya usanidi, au kwa iv na funguo zilizowekwa kwa siri katika Mabadiliko ya Mazingira kama:
TODO:
Mfano wa ujenzi ukiwa na shell ya nyuma ikifanya kazi kwenye Windows/Mac/Linux
Mfano wa ujenzi ukivuja mabadiliko ya mazingira yaliyowekwa kwa base64 kwenye kumbukumbu
TravisCI Enterprise
Ikiwa mshambuliaji atakutana na mazingira yanayotumia TravisCI enterprise (maelezo zaidi kuhusu hii kwenye taarifa za msingi), atakuwa na uwezo wa kuchochea ujenzi katika Mfanyakazi. Hii inamaanisha kwamba mshambuliaji atakuwa na uwezo wa kuhamasisha kwa upande huo kutoka kwa seva hiyo ambayo anaweza kuwa na uwezo wa:
kutoroka kwa mwenyeji?
kuathiri kubernetes?
kuathiri mashine nyingine zinazofanya kazi kwenye mtandao huo?
kuathiri akreditif mpya za wingu?
Marejeleo
Last updated
