Penetration Testing Methodology
Creators: name: Δασκάλου, Χρήστος Κωνσταντίνου
Publisher: name: Aristotle University of Thessaloniki
Year: 2024
Subjects: Κυβερνοασφάλεια
Δοκιμή Διείσδυσης
Αξιολόγηση Ευπαθειών
Cybersecurity
Penetration Testing
Vulnerability Assessment

description: This study dissects the multifaceted cyber threat landscape and the intricate nuances of penetration testing. It begins by scrutinizing the current cyber threat environment, exploring various threat actors, their motivations, and the spectrum of cyberattacks, including a detailed examination of the OWASP Top 10. The heart of the thesis lies in a thorough analysis of penetration testing. It covers the methodologies employed in penetration testing, offering an in-depth understanding of various types, including Black Box, Grey Box, and White Box testing, while contrasting internal and external penetration testing methodologies, delineating their unique approaches and applications. A section is dedicated to the arsenal of a penetration tester, highlighting the critical role of Kali Linux and other essential tools. This segment underscores the skills and resources imperative for effective penetration testing. The practical aspect is exemplified in a detailed lab exercise using a dual VM setup. This exercise provides a real-world scenario of conducting cyberattacks in a controlled environment, encompassing all stages of a penetration test, from establishing the rules of engagement to scanning, enumeration, and exploitation. It specifically explores four distinct attacks: User Enumeration, XSS, SQL Injection, and a reverse shell leading to privilege escalation. The thesis comes to an end with a comprehensive findings report, analyzing the outcomes of the lab exercise. It offers a nuanced perspective on vulnerabilities discovered, along with strategic recommendations for remediation. The thesis aims to equip readers with both theoretical knowledge and practical skills, bridging the gap between academic study and professional application in the field of cybersecurity.
description: Αυτή η μελέτη αναλύει το πολυδιάστατο τοπίο κυβερνοαπειλών και τις λεπτομέρειες του penetration testing. Αρχικά εξετάζει προσεκτικά το τρέχον περιβάλλον κυβερνοαπειλών, εξερευνώντας διάφορους δράστες απειλών, τα κίνητρά τους, και το φάσμα των κυβερνοεπιθέσεων, συμπεριλαμβανομένης μιας λεπτομερούς εξέτασης των Κορυφαίων 10 απειλών του OWASP. Το επίκεντρο της διατριβής βρίσκεται σε μια λεπτομερή ανάλυση της διαδικασίας του penetration testing. Καλύπτει τις μεθοδολογίες που χρησιμοποιούνται, προσφέροντας μια εμβαθυμένη κατανόηση διαφόρων τύπων, συμπεριλαμβανομένων των δοκιμών Black Box, Grey Box, και White Box, ενώ αντιπαραβάλλει τις εσωτερικές και εξωτερικές μεθοδολογίες διείσδυσης, διαχωρίζοντας τις μοναδικές τους προσεγγίσεις και εφαρμογές. Μια ενότητα είναι αφιερωμένη στην εργαλειοθήκη ενός penetration tester, τονίζοντας τον κρίσιμο ρόλο του Kali Linux και άλλων βασικών εργαλείων. Αυτό το τμήμα υπογραμμίζει τις δεξιότητες και τους πόρους που είναι απαραίτητοι για αποτελεσματικό penetration testing. Η πρακτική πλευρά επιδεικνύεται σε ένα λεπτομερές εργαστηριακό πείραμα χρησιμοποιώντας ένα διπλό σύστημα VM. Αυτό το πείραμα παρέχει ένα πραγματικό ελεγχόμενο περιβάλλον εκτέλεσης κυβερνοεπιθέσεων, καλύπτοντας όλα τα στάδια μιας δοκιμής διείσδυσης, από την καθιέρωση των κανόνων της συμμετοχής μέχρι τη σάρωση, την αρίθμηση, και την εκμετάλλευση. Εξετάζει ειδικά τέσσερις διακριτές επιθέσεις: Αρίθμηση Χρηστών, XSS, Εισαγωγή SQL, και ένα reverse shell που οδηγεί σε privilege escalation. Η διατριβή κλείνει με μια εκτενή αναφορά ευρημάτων, αναλύοντας τα αποτελέσματα του εργαστηριακού πειράματος. Προσφέρει μια διακριτή οπτική γωνία σχετικά με τις ευπαθείς που εντοπίστηκαν, μαζί με στρατηγικές συστάσεις για την αντιμετώπισή τους. Η διατριβή στοχεύει στο να εξοπλίσει τους αναγνώστες τόσο με θεωρητικές γνώσεις όσο και με πρακτικές δεξιότητες, γεφυρώνοντας το χάσμα μεταξύ ακαδημαϊκής μελέτης και επαγγελματικής εφαρμογής στον τομέα της κυβερνοασφάλειας.