有關Pentest但貢獻很爛的三篇論文

Posted on | Post modified | In |

Risk analysis and Android application penetration testing based on OWASP 2016

:::info Borja, T., Benalcázar, M. E., Valdivieso Caraguay, Á. L., & Barona López, L. I. (2021). Risk analysis and Android application penetration testing based on OWASP 2016. In Information Technology and Systems: ICITS 2021, Volume 1 (pp. 461-478). Springer International Publishing. :::

Introduction

嚴格來說，這一篇不是完全沒用，但真的貢獻超級低，他基本上就是照著之前寫過的1流程和動機甚至實驗方法做而已，最後再加上自己的一些見解(也就是所謂的風險評估矩陣和針對每一個Risk寫出自己的建議或是mitigation)，就這樣沒了，詳細對比如下 圖片 Reference 8就是1

Proposed Method

作者自行創立一個Score Scale如下 圖片1 總共有四個向度，前三個向度相加取平均後*最後一個向度就是該Risk的分數， 圖片2 實驗後的級距分野如下 圖片

Experiment

按照類似1的方式分析每個OWASP公布的漏洞類別，就可以得到以下風險矩陣，並根據上述的計算方式得出風險的分數 圖片3 最後自行提出一個漏洞分析以及建議的表格可自行查閱原文，對於研究不是那麼重要

Security Analysis on Android Application Through Penetration Testing using Reverse Engineering

:::info Katoch, S., & Garg, V. (2023, March). Security Analysis on Android Application Through Penetration Testing using Reverse Engineering. In 2023 3rd International Conference on Smart Data Intelligence (ICSMDI) (pp. 216-222). IEEE. :::

Introduction

這一篇就真的爛，根本是高中生寫出來交差的，他只傳達一個觀念，App Releases之前一定要做混淆，否則很容易被逆向，就這樣沒了

Background

滲透測試通常分為四類之一：外部、內部、盲測(Blind)或雙盲測(Double Blind)

  • 外部測試重點在於公司可公開存取的伺服器和設備，例如防火牆、電子郵件伺服器、網域名稱伺服器 (DNS) 和 Web 伺服器
  • 內部測試中，具有普通存取憑證的合法使用者模擬對防火牆的內部攻擊
  • 盲測嚴重限制了預先提供給進行測試的個人或團隊以模仿真實攻擊者的活動和過程的資訊量。
  • 雙盲測大大擴展了盲測，因為只有組織中選定的少數成員才會知道測試正在進行中。

Experiment

他的實驗過於naive，他就是拿兩個App(其中一個以混淆)，丟到Jadx中進行decompile，然後看能不能夠分析出個所以然

  • App1 圖片 進行查找會發現API key被暴露出來 圖片

  • App2 可以看奧App2被decompile之後並沒有直接顯示code，而是出現MyWrapperProxyApplication這個class，這其實就是利用ProGuard進行混淆的結果 圖片 圖片

A Suggested Model for Mobile Application Penetration Test Framework

:::info ÖZGÜR, B., DOĞRU, İ. A., Göksel, U. Ç. T. U., & Alkan, M. (2021, December). A Suggested Model for Mobile Application Penetration Test Framework. In 2021 International Conference on Information Security and Cryptology (ISCTURKEY) (pp. 18-21). IEEE. :::

Introduction

這一篇內容也是頗貧乏，主要就只是提出一個framework，講的多好有多好，但僅限在提出一個概念而已，我也知道把所有不同的工具整合起來可以打造出一個非常厲害的pentest framework，但只是提出概念沒有實作，貢獻度真的大打折扣

Proposed Framework

下圖呈現了一個pentest可以做的所有事情 圖片 並且提出如果自動化的時候可以怎麼做，範例如下 圖片 最後，如果應用在App上會是什麼樣子 圖片

Reference

  1. Alanda, A., Satria, D., Mooduto, H. A., & Kurniawan, B. (2020, May). Mobile application security penetration testing based on OWASP. In IOP Conference Series: Materials Science and Engineering (Vol. 846, No. 1, p. 012036). IOP Publishing. ↩ ↩2 ↩3