Mobile penetration testing on Windows subsystem for Android

Abstract

Τα κινητά τηλεφωνά αποτελούν αναπόσπαστο κομμάτι του ανθρώπου την σημερινή εποχή. Η καθημερινή τους χρήση τα καθιστά ως ένα βασικό στόχο κυβερνοεπίθεσης από κακόβουλους χρήστες, οι οποίοι προσπαθούν να εκμεταλλευτούν τυχόν κενά ασφαλείας είτε στην ίδια την συσκευή είτε σε κάποια εφαρμογή της συσκευής. Το Penetration Testing ορίζεται ως μια δοκιμαστική εισβολή σε ένα πληροφοριακό σύστημα με σκοπό την αξιολόγηση της ασφάλειάς του και αποτελεί ένα σημαντικό μέτρο ασφαλείας έναντι κακόβουλων επιθέσεων. Στην υπάρχουσα εργασία, πραγματοποιήθηκε η διαδικασία του penetration testing σε δύο εφαρμογές Android, πιο συγκεκριμένα την InsecureBankV2 και την HpAndro. Η μεθοδολογία που ακολουθήθηκε για την εύρεση των ευπαθειών, βασίστηκε τόσο στην ανάλυση του πηγαίου κώδικα (Static Application Security Testing) πριν την εκτέλεση των εφαρμογών, όσο και στην διαδικασία πραγματοποίησης επιθέσεων κατά την διάρκεια εκτέλεσης των εφαρμογών (Dynamic Application Security Testing) σύμφωνα με τα OWASP Top 10 Security Risks του 2021. Η πλατφόρμα, στην οποία έγινε η εγκατάσταση των δύο εφαρμογών, είναι το Windows Subsystem for Android (WSA), που δημιουργήθηκε από την Microsoft με σκοπό την εκτέλεση Android εφαρμογών μέσα από τα Windows 11.