TravisCI Security
TravisCI ni nini
Travis CI ni huduma ya kuendelea kuunganisha inayotumika kujenga na kupima miradi ya programu iliyohifadhiwa kwenye majukwaa tofauti ya git.
Basic TravisCI InformationMashambulizi
Vichochezi
Ili kuzindua shambulio unahitaji kwanza kujua jinsi ya kuchochea ujenzi. Kwa default TravisCI itachochea ujenzi kwenye pushes na pull requests:
Kazi za Cron
Ikiwa una ufikiaji wa programu ya wavuti unaweza kuweka crons kuendesha ujenzi, hii inaweza kuwa muhimu kwa uthabiti au kuchochea ujenzi:
Inaonekana haiwezekani kuweka crons ndani ya .travis.yml kulingana na hii.
PR ya Tatu
TravisCI kwa default huzima kushiriki env variables na PRs zinazotoka kwa watu wa tatu, lakini mtu anaweza kuiwezesha na kisha unaweza kuunda PRs kwenye repo na kutoa siri:
Kutoa Siri
Kama ilivyoelezwa kwenye ukurasa wa maelezo ya msingi, kuna aina 2 za siri. Siri za Environment Variables (ambazo zimeorodheshwa kwenye ukurasa wa wavuti) na siri za kawaida zilizofichwa, ambazo zimehifadhiwa ndani ya faili ya .travis.yml kama base64 (kumbuka kwamba zote mbili kama zimehifadhiwa kwa njia fiche zitaishia kama env variables kwenye mashine za mwisho).
Ili kuorodhesha siri zilizosanidiwa kama Environment Variables nenda kwenye mipangilio ya mradi na angalia orodha. Hata hivyo, kumbuka kwamba env variables zote za mradi zilizowekwa hapa zitaonekana wakati wa kuchochea ujenzi.
Ili kuorodhesha siri za kawaida zilizofichwa bora unachoweza kufanya ni kuangalia faili ya
.travis.yml.Ili kuorodhesha faili zilizofichwa unaweza kuangalia faili za
.enckwenye repo, kwa mistari inayofanana naopenssl aes-256-cbc -K $encrypted_355e94ba1091_key -iv $encrypted_355e94ba1091_iv -in super_secret.txt.enc -out super_secret.txt -dkwenye faili la usanidi, au kwa iv na funguo zilizofichwa kwenye Environment Variables kama:
TODO:
Mfano wa ujenzi na reverse shell inayoendesha kwenye Windows/Mac/Linux
Mfano wa ujenzi unaovuja env base64 iliyosimbwa kwenye magogo
TravisCI Enterprise
Ikiwa mshambulizi ataishia kwenye mazingira yanayotumia TravisCI enterprise (maelezo zaidi kuhusu hili kwenye maelezo ya msingi), ataweza kuchochea ujenzi kwenye Worker. Hii inamaanisha kwamba mshambulizi ataweza kusonga kando kwenye seva hiyo kutoka ambapo ataweza:
kutoroka kwenye mwenyeji?
kuathiri kubernetes?
kuathiri mashine zingine zinazoendesha kwenye mtandao huo?
kuathiri hati mpya za wingu?
Marejeo
Last updated
