Penetration Testing – A Case Study of Khon Kaen University Networks

งานนำเสนอเรื่อง: "Penetration Testing – A Case Study of Khon Kaen University Networks"— ใบสำเนางานนำเสนอ:

1 Penetration Testing – A Case Study of Khon Kaen University Networks
การทดสอบเจาะระบบ - กรณีศึกษาเครือข่ายของมหาวิทยาลัยขอนแก่น

2 Kitt Tientanopajai, D.Eng Assoc.Prof. Arnut Chaosakul
COE Advisor Kitt Tientanopajai, D.Eng Co-Advisor Assoc.Prof. Arnut Chaosakul Assoc.Prof. Pichate Chiewthanakul Member Mr. Pongphop Laochaikun Miss Arttaporn Pansamdang

3 Agenda Progress Result of Penetration Introduction to WeVSA
WeVSA Operational Procedure Problem Future work Demo

4 Progress Activities Study network system Study old vulnerability
JUN JUL AUG SEP OCT NOV DEC JAN FEB Study network system Study old vulnerability Study penetration testing Design testing step Penetrate systems Improve technique Design WeVSA(program) Implement WeVSA Recommendation Comment: In Progress Not started Finished

5 Result of Penetration 1/4
51 servers tested 7 Critical Vulnerabilities

6 Result of Penetration 2/4

7 Result of Penetration 3/4
1 2 3

8 Result of Penetration 4/4
1 2

9 Introduction to WeVSA

10 WeVSA Operational Procedure 1/3
Server’s name Scan Attack

11 Server’s name Signal for Start Result

12 <script>alert(Document.cookie);</script>
SQL Injection Etc.. [T’ or 1=1 --] Cross-Stie Scripting <script>alert(Document.cookie);</script> Java Script Injection Hidden filed Attack

13 IP Address page Result vulnerability ทดสอบ SQL Injection ที่ ช่องรับ input จะสามารถเข้าสู่ระบบในนาม admin ได้ YES ทดสอบ XSS ผลคือสามารถรัน script ได้ ทดสอบ SQL Injection ที่ ช่องรับ input โดยใช้ username เป็นได้หลากหลาย แต่ที่ password ให้ใส่เป็น space จะสามารถ access ในระดับ admin ได้ เมื่อเข้าสู่หน้านี้ก็จะได้สิทธิ์เป็น admin ทันที ทดสอบ SQL Injection ที่ ช่องรับ input โดยใช้ admin' or '1=1 สามารถใช้ user = root และ password เป็นช่องว่างได้ สามารถ access เป็น root ได้ Yes สามารถเข้าเป็น root ได้ sever name IP Address page Result vulnerability ทดสอบ SQL Injection ที่ ช่องรับ input จะสามารถเข้าสู่ระบบในนาม admin ได้ YES ทดสอบ XSS ผลคือสามารถรัน script ได้ ams.kku.ac.th ทดสอบ SQL Injection ที่ ช่องรับ input โดยใช้ username เป็นได้หลากหลาย แต่ที่ password ให้ใส่เป็น space จะสามารถ access ในระดับ admin ได้ เมื่อเข้าสู่หน้านี้ก็จะได้สิทธิ์เป็น admin ทันที ora.kku.ac.th ทดสอบ SQL Injection ที่ ช่องรับ input โดยใช้ admin' or '1=1 สามารถใช้ user = root และ password เป็นช่องว่างได้ สามารถ access เป็น root ได้ Yes สามารถเข้าเป็น root ได้

14 WeVSA Operational Procedure 2/3
Target Attack

15 Penetrate by technique
Target Result http response

16 WeVSA Operational Procedure 3/3

17 Problem WeVSA waiting for scanning from scanner solved by use Thread. WeVSA must clear results from last scanning. First program cannot delete results because objects was connected with file. We solved by clear garbage collection before deleted.

18 Future work Implement WeVSA Documentation Penetrate network systems

19 Thank you for your listening
Anyone has any question? Thank you for your listening