[K8S-Goat] 1. Sensitive keys in codebases

매번 공부를 미루던 k8s에 대한 찍먹을 위해 k8s-goat 프로젝트를 통해 찍먹을 진행한다. 해당 goat 프로젝트에서는 k8s 환경에서 발생할 수 있는 misconfigurations, 취약점, 보안 문제를 의도적으로 취약하게 구성되어있으며 이를 통해 공격을 진행하며 학습한다.

1번 시나리오는 아티팩트 및 애플리케이션 코드베이스를 패키징할 때 개발자 및 DevOps 팀이 자주 범하는 몇 가지 실수에 초점을 맞춘 시나리오이다. 사실 CICD-Goat 3번 문제에서도 비슷한 케이스를 마주친것 같아 벌써 문제 다 푼거같다.

이번 시나리오를 시작하려면 http://127.0.0.1:1230에 접근하여 확인할 수 있다.

위에서도 언급한것처럼 개발자가 자주 범하는 실수를 찾기위해 무지성으로 위험한 파일 목록을 스캔해보니 git 관련 파일들에 접근이 가능했다.

.git 경로가 노출되는 것을 확인하고 반사적으로 git-dumper를 실행했다.

git-dumper http://127.0.0.1:1230/ ./git-dump-output

해당 커밋에서 코드들을 훑어보니 민감한 정보를 찾을 수 없어 gitleaks를 돌려보니 d7c173ad183c574109cd5c4c648ffe551755b576 커밋에서 aws-access-key, aws_secret_access_key를 확인할 수 있다.

gitleaks detect -v
git reset --hard d7c173ad183c574109cd5c4c648ffe551755b576