Segurança digital
Quando vemos um ataque a um grande site pensamos que o hacker provavelmente utilizou ferramentas sofisticadas, etc. O que nem todo mundo sabe é que muitas vezes facilitamos tanto o ataque que o hacker só precisa fazer uma pesquisa no Google para descobrir como invadir.
Antes de prosseguir, uma explicação: o Google consegue trazer tantos resultados (incluindo login e senhas) porque seus robôs (também chamados de spiders ou webcrawlers) vasculham constantemente a internet e indexam as páginas. O problema ocorre quando alguém deixa um arquivo TXT com as senhas utilizadas no desenvolvimento do site, por exemplo, e o site está permitindo a indexação desses arquivos. Isso é mais comum do que você imagina, conforme iremos ver mais abaixo.
Esclarecimentos
Não é meu intuito ensinar ninguém a fazer algo ilegal, pelo contrário, o objetivo é dar ferramentas para que você descubra as fraquezas do seu site e dessa maneira, possa fazer os ajustes necessários para diminuir as vulnerabilidades.
O uso indevido é de sua total responsabilidade. Tenha ética!
Google Hacking ou "Pesquisa avançada do Google"
A barra de pesquisa do Google suporta algumas palavras chaves, chamados operadores ou dorks, que permitem você refinar sua pesquisa. Google Hacking é a pesquisa direcionada a encontrar brechas, utilizando esses operadores.
Nem é necessário se aprofundar muito, com somente 3 operadores você já obtém alguns resultados muito interessantes:
site: realiza a pesquisa num site específico. Exemplo: site:br
filetype: pesquisa somente pelo tipo de arquivo. Exemplo: filetype:txt
intext: pesquisa pelo texto especificado. Exemplo: intext:password
Juntando tudo:
Reparem que trouxe 3.690 resultados. São páginas do Brasil (site:br), com arquivos TXT (filetype:txt) e que contém o texto "password" (intext:password)
Por questão de ética vou mostrar só o resultado de 2 páginas, escondendo as informações principais.
Somente nesse arquivo acima, temos 293 emails e senhas.
Já neste site, temos senhas do banco de dados, do FTP, entre outras.
Se isso não é o suficiente para convencer que o Google Hacking é muito poderoso, que tal essa imagem, capturada de uma câmera num oficina qualquer? Dica: apenas usei o operador intitle: e informei o modelo da camera. Mesmo que solicite senha, existe uma boa chance da senha ser a default, portanto, bastaria uma busca pelo manual da câmera para descobrir qual o login/senha padrões.
Para saber mais:
Comentários
Postar um comentário