|
|
Advanced Penetration Testing Of Obfuscated Android Applications
Michalec, Pavol
Android applications are susceptible to security vulnerabilities just like any other application. To minimize the risk and detect any potential vulnerabilities, penetration tests are conducted. However, many clients are not willing or are not capable to provide unobfuscated version of the application with security defenses disabled. It is up to the testers to bypass all these restrictions and properly test the application. Bypassing all the restrictions takes considerable ammount of time, thus making the test more expensive. This paper describes methodology for dealing with obfuscation as quickly as possible without creating unnecessary code or introducing additional tools.
|
|
|
Vývoj kalkulátoru pro hodnocení zranitelností v Javascriptu
Škrhák, Pavel ; Fujdiak, Radek (oponent) ; Holasová, Eva (vedoucí práce)
Cílem práce je popsat známé metody hodnocení zranitelností, a provést jejich implementaci do webové aplikace využívající framework Vue.js. Práce popisuje dva systémy hodnocení zranitelností, a to CVSS (Common Vulnerability Scoring System) a OWASP (Open Web Application Security Project) Risk Rating Methodology. Jsou popsány jejich části, metriky a metody samotného výpočtu hodnocení. Následně jsou tyto systémy porovnány a jsou určeny jejich silné a slabé stránky. Práce dále hodnotí některé známe zranitelnosti pomocí těchto dvou metod hodnocení. Práce dále popisuje návrh frontendu a backendu webové aplikace. Pro frontend je využit framework Vue.js, který umožňuje tvorbu dynamických jednostránkových webových aplikací. Jsou navrhnuty komponenty a rozložení aplikace. Dále je proveden návrh vzhledu frontednové aplikace a jejích komponentů. Backend byl navrhnut tak, aby vyhovoval frameworku Djnago, který spolu s frameworkem django REST framework slouží k rychlému vytváření API (Application Programming Interface) komunikujícího s databází. Byl navrhnut model pro ukládání dat z frontendové aplikace. Následně práce popisuje samotnou implementaci této aplikace rozdělenou na frontend a backend. V backendu je popsána implementace API a databáze. Je popsána implementace samotného modelu, serializátoru a metod pro komunikaci s frontendovou aplikací. Ve frontendu je vytvořen vue router, který slouží k dynamické změně obsahu stránky, a poté již samotné komponenty, které slouží jako stavební bloky aplikace. Tyto komponenty obsahují tři části, a to strukturu, kód JavaScriptu a CSS (Cascading Sytle Sheets). Komponenty si mohou předávat data a volat funkce jiných komponentů. Poslední částí práce je testování aplikace samotné. Je otestována její funkčnost pomocí výpočtu skóre již hodnocených zranitelností a některých bodů OWASP ASVS (Application Security Verification Standart). Dále je otestována bezpečnost pomocí testu několika známých zranitelností, společně s testováním pomocí OWASP ASVS.
|
|
|
Specifické moduly pro podporu manuálního bezpečnostního testování
Osmani, Jakub ; Safonov, Yehor (oponent) ; Paučo, Daniel (vedoucí práce)
Tato bakalářská práce se zabývá penetračním testováním a s touto činností spojenými standardy. Hlavním cílem teoretické části je objasnit svět penetračních testů a nejznámější dokumentace organizace OWASP. Popsány jsou zranitelnosti ze seznamu top deseti zranitelností a metodiky pro bezpečnější aplikace, zvané Application Security Verification Standard (ASVS). V praktické části je práce zaměřena na tvorbu tří nástrojů sloužících k automatizaci jistých aspektů penetračních testů.
|
|
|
Webová aplikace pro testování zranitelností webového serveru
Šnajdr, Václav ; Burda, Karel (oponent) ; Smékal, David (vedoucí práce)
Diplomová práce se zabývá návrhem a implementaci webové aplikace pro testování bezpečnosti SSL/TLS protokolů na vzdáleném serveru. Webová aplikace je vyvíjena ve frameworku Nette. V teoretické části jsou popsány SSL/TLS protokoly, zranitelnosti, doporučení a použité technologie v praktické části. Praktická část se věnuje tvorbě webové aplikace s procesem použití automatických skriptů pro testování a zobrazení výsledků na webové stránce s hodnocením A+ až C. Webová aplikace zároveň zobrazí seznam detekovaných zranitelností a jejich doporučení.
|
|
|
Application that supports penetration tests of web applications
Holovová, Simona ; Švikruha, Patrik (oponent) ; Martinásek, Zdeněk (vedoucí práce)
This master´s thesis is about the security of web applications and penetration testing. The main goal is to gain knowledge about testing methodologies OWASP Testing Guide and ASVS and to implement this knowledge into a web application to assist during manual penetration testing. The theoretical part of the thesis describes both methodologies and web technologies used during the development of the application. The practical part of the thesis is about the design of the application based on the specification, its implementation, and security hardening.
|
|
|
Návrh metody pro hodnocení bezpečnostních zranitelností systémů
Pecl, David ; Martinásek, Zdeněk (oponent) ; Gerlich, Tomáš (vedoucí práce)
Práce se zabývá problematikou hodnocení bezpečnostních zranitelností. Cílem práce je vytvořit novou metodu hodnocení zranitelností, která bude lépe prioritizovat kritické zranitelnosti a reflektovat parametry, které v aktuálně využívaných metodách nejsou použity. Nejdříve popisuje současné metody, které se pro hodnocení zranitelností používají, a parametry, které jsou v jednotlivých metodách použity. První popsanou metodou je Common Vulnerability Scoring System, u které jsou popsané i všechny tři typy skóre, které tato metoda používá. Druhou analyzovanou metodou je OWASP Risk Rating Methodology. Druhá část je věnována návrhu vlastní metody, která má za cíl hodnotit zranitelnosti tak, aby bylo snadnější určit ty s vysokou prioritou. Metoda vychází ze třech skupin parametrů. První skupina popisuje technické hodnocení zranitelnosti, druhá vychází z požadavků na zajištění důvěrnosti, integrity a dostupnosti aktiva a třetí skupina parametrů hodnotí implementovaná protiopatření. Všechny tyto tři skupiny parametrů jsou pro prioritizaci důležité. Parametry popisující zranitelnost jsou rozděleny na stálé a aktuální, kdy mezi aktuální patří především informace ze služeb Threat Intelligence a náročnost exploitace. Parametry dopadu na důvěrnost, integritu a dostupnost jsou provázány s požadavky na zajištění těchto parametrů, neboli s prioritou aktiva, a dále s hodnocením protiopatření, která naopak zvyšují ochranu důvěrnosti, integrity a dostupnosti. Priorita aktiva a kvalita protiopatření se hodnotí na základě dotazníků, které jsou předloženy vlastníkům zkoumaných aktiv v rámci hodnocení zranitelností. V třetí části práce je navržená metoda srovnána s v současnosti velmi používanou metodou Common Vulnerability Scoring System. Na několika příkladech jsou ukázány silné stránky navržené metody, kdy je vidět efektivita prioritizace při zohlednění požadavků na zajištění důvěrnosti, integrity a dostupnosti a zvýšená ochrana těchto parametrů díky implementovaným protiopatřením. Metoda byla prakticky testována v laboratorním prostředí, kde byly na několika různých aktivech nasimulovány zranitelnosti. Tyto zranitelnosti byly ohodnoceny navrženou metodou, byla zohledněna priorita aktiva a kvalita protiopatření a vše bylo zahrnuto do výsledné priority zranitelností. V rámci tohoto testování bylo potvrzeno, že navržená metoda efektivněji prioritizuje zranitelnosti, které jsou jednoduše exploitovatelné, v poslední době často zneužívané a jsou přítomny na aktivech s minimální ochranou a vyšší prioritou.
|
|
|
Security Testing of Obfuscated Android Applications
Michalec, Pavol ; Dzurenda, Petr (oponent) ; Malina, Lukáš (vedoucí práce)
The Master´s Thesis is about the security testing of obfuscated Android applications. The theoretical part of the thesis describes the basic theory behind obfuscation and mentions several obfuscators. Impact of obfuscation on penetration testing is also mentioned. Dynamic analysis is proposed as the main tool of this thesis to bypass the obfuscation. The practical part of the thesis describes realtime application self-protection controls and a way to bypass them using dynamic analysis. The second section of the practical part is about advanced obfuscation techniques and their bypassing.
|
|
|
Testování zabezpečení redakčního systému GetSimple
Kadoch, Lukáš ; Veber, Jaromír (vedoucí práce) ; Čermák, Radim (oponent)
Hlavním cílem této práce je otestovat zabezpečení redakčního systému GetSimple pomocí metodiky OWASP. První část se zabývá teorií a objasněním odborných termínů, které se používají v oblasti zabezpečení webových aplikací. Dále se věnuje představení vybraného redakčního systému GetSimple včetně jeho parametrů a požadavků na hostující server. Druhá část je věnována samotnému penetračnímu testování. Každý z testů obsahuje cíl, postup a v případě objevení zranitelnosti i návrh na zlepšení. Testování podléhá standardům metodiky OWASP a je řízeno podle dokumentace OWASP Top Ten. Přínosem této práce je nalezení bezpečnostních rizik ve vybraném systému.
|
|
|
Testování zabezpečení webové aplikace
Kapal, Martin ; Veber, Jaromír (vedoucí práce) ; Luc, Ladislav (oponent)
Tato práce se zabývá bezpečností webových aplikací. Účelem teoretické části je seznámit se s problematikou bezpečnosti webových aplikací v obecné rovině a poukázat na časté způsoby, kterými lze využít bezpečnostních slabin v aplikacích. První část se podrobněji věnuje projektu Open Web Application Security Project (OWASP), se zaměřením na projekt OWASP Top Ten, jež shrnuje deset nejkritičtějších bezpečnostních zranitelností webových aplikací. Praktická část práce se věnuje testování zabezpečení vybrané aplikace pomocí penetračního testování. Nejprve je představena samotná aplikace, následuje výběr vhodných nástrojů pro testování a popis průběhu testů. Výstupem této práce je shrnutí výsledků testů dané aplikace, vyhodnocení a zabezpečení nalezených zranitelností.
|
|
|
Zabezpečení webových portálů veřejné správy
Rašín, Petr ; Tyrychtr, Jan (vedoucí práce) ; Veronika, Veronika (oponent)
Diplomová práce se zabývá problematikou zabezpečení webových portálů, které jsou provozovány veřejným sektorem v České republice. V teoretické části jsou popsány základní pojmy a principy veřejné správy s akcentací na elektronizaci veřejné správy (eGovernment). V souvislosti se zákonem o kybernetické bezpečnosti jsou charakterizovány normy systému managementu bezpečnosti informací ISO/IEC27001 a ISO/IEC27002 a aktuální metodika OWASP, která se zaměřuje na oblast zabezpečení webových aplikací. Zároveň je formulována konkrétní metodika k testování zabezpečení webových portálů obcí České republiky, identifikace zranitelností a interpretace zjištěných výsledků. Metodika je ověřena v rámci případové studie k testování zabezpečení webových portálů konkrétních obcí. Zjištěné výsledky jsou zdokumentovány, vyhodnoceny a vlastníkům webových portálů formulována doporučení ke zlepšení úrovně zabezpečení jejich aplikací.
|
host ::
RSS.