cicd-supply-chain

用途：用于对 CI/CD 流水线与软件供应链进行攻击或审计，覆盖 GitHub Actions、GitLab CI、Jenkins。主要能力包括：检测 pull_request_target/workflow_run 的 pwn request 与直接/间接管道投毒（PPE）、脚本注入、GitLab .gitlab-ci.yml 投毒、可变标签导致的第三方 Action 失陷（如 tj-actions CVE-2025-30066、reviewdog CVE-2025-30154）、Actions 缓存投毒、依赖混淆与错拼/仿冒包及恶意安装钩子、自复制注册表蠕虫、自托管/非临时运行器滥用与后门、Jenkins 脚本控制台 RCE、CI 密钥窃取与 OIDC 云角色信任策略滥用，并可验证 SLSA 构建溯源与签名门禁。用法：先只读枚举仓库与工作流，再静态审计；示例命令包括 python3 scripts/workflow_auditor.py --repos repos.txt --token "$GH_TOKEN" --out findings.json、python3 scripts/malicious_action_scanner.py --path REPO --check-pins --check-known-bad、python3 scripts/dependency_confusion.py --manifest REPO/package.json --registry npm、python3 scripts/oidc_trust_auditor.py --provider github --cloud aws --profile target、bash scripts/runner_recon.sh、bash scripts/provenance_verify.sh --image ghcr.io/org/app:tag --repo org/app。限制与注意：属攻防研究用途，须获授权后使用；公共仓库构建日志公开可读，易被检测；OIDC 短期凭证会归属到仓库身份；具体平台支持范围、依赖版本与收费信息暂未提供。