Уверена, каждый из нас хотя бы раз использовал Google для поиска необходимой информации. А вы пробовали вводить в посиковую строку что-то сложнее обычного «текста запроса»? Google хранит огромное количество информации о доступных в сети веб приложениях. Кроме содержания веб страниц в поле зрения поисковика зачастую попадают документы и файлы, не предназначенные для всеобщего доступа. Google Hacking – это способ получения этой информации и обнаружения дыр в безопасности с помощью лишь правильно сформулированного запроса в Google. В докладе я расскажу, какие данные можно узнать о вашем приложении из Google и покажу как это сделать практически, а также предложу способы защиты от подобных «поисковых атак». Доклад будет полезен всем, так как единственное необходимое умение - это умение пользоваться Google.

1. Катерина Овеченко, Itera
Google Hackingудивительное рядом

2. Как работает Google?
04.11.2014 / 2
1 2
3
45
6
7
8

3. Поисковые слова
intitle:”Index of”, allintitle: “index of” “backup files”
inurl:ftp://, allinurl:admin index.php
filetype:txt config , ext:xls passwords
site:example.com, site:mail.example.com
link:facebook.com
cache:www.qafest.com/
info:blackhat.com
04.11.2014 / 3

4. Поиск в кеше Google
Искать в кеше Google можно также с помощью запроса:
• webcache.googleusercontent.com/search?q=cache:example.com
Закешированные страницы хранятся на сервере Google. Поэтому хакеры
могут могут получить всю доступную информацию о веб-приложении, не
посылая ни единого запроса на ваш сервер.
04.11.2014 / 4

5. Bingo!
04.11.2014 / 5

6. Bingo!
04.11.2014 / 6

7. Логины, пароли…
04.11.2014 / 7
• inurl:admin inurl:userlist
• filetype:reg reg HKEY_CURRENT_USER
username
• filetype:wab wab
Логины
• filetype:xls username password email
• filetype:netrc password
• intitle:”Index of” “.htpasswd” htpasswd.bak
• inurl:passlist.txt
• inurl:server.cfg rcon password
• “http://*:*@www” bob:bob
Пароли
• filetype:pst inurl:”outlook.pst”
• intitle:”Index Of” cookies.txt “size”
• inurl:ssl.conf filetype:conf
Другая личная
информация

8. Логин и админские интерфейсы
Администраторские интерфейсы могут присутствовать в самом
приложении или на сервере приложения, чтобы гарантировать
определенным пользователям привилегированный доступ на сайт.
Запросы:
• inurl:/admin
• inurl:/admin/login.asp
Логин портал – это веб страница, которая служит «входной дверью» на
веб-сайт. Google хакеры ищут логины порталы, с помощью которых можно
профилировать программное обеспечение, использующееся на сервере.
Запросы:
• inurl:login.asp
• inurl:”exchange/logon.asp”
• allinurl:”exchange/logon.asp”
04.11.2014 / 8

9. Админ интерфейсы
If you are administrator, please, don’t do this…
04.11.2014 / 9

10. Конфигурационные файлы
04.11.2014 / 10

11. Конфигурационные файлы и логи
04.11.2014 / 11
• intitle: index.of config
• inurl:conf OR inurl:config OR inurl:cfg
• filetype:conf inurl:firewall
Конфигурационные
файлы
• filetype:log inurl:log
• ext:log log
Логи
• filetype:mdb site:com
• filetype:mdb inurl:users.mdb
Файлы базы
данных

12. Листинг директорий
Листинг директорий - это тип веб страницы, которая отображает файлы и
директории, существующие на веб-сервере.
Запросы:
• intitle:index.of
Универсальный запрос для поиска Apache директорий
• intitle:index.of “parent directory”
• intitle:index.of name size
• intitle:index.of inurl:admin
04.11.2014 / 12

13. Листинг директорий
04.11.2014 / 13

14. GOOGLE DORK
http://www.exploit-db.com/google-dorks/
04.11.2014 / 14

15. Контрмеры
• Не храните конфиденциальные данные на внешних серверах
• Листинг директорий, раскрывающий файл htaccess
• Правильно составленный robots.txt защитит вас от индексирования
конфиденциальных директорий и файлов
04.11.2014 / 15
#robots.txt for the site
#Do not delete this file
User-agent: Google
Disallow: /cgi-bin/
Disallow: /tmp/
Disallow: /junk/
User-agent: *
Disallow: /

16. Контрмеры (cont.)
• Механизм защиты паролей
• Стандартные настройки серверов и аккаунтов
• Взлом собственного приложения
– Ручной
• Site Yourself
– Автоматический
• Gooscan
• Athena
• Wikto
• Google Rower
04.11.2014 / 16

17. 04.11.2014 / 17

18. Контакты
04.11.2014 / 18
kateryna.ovechenko@iteraconsulting.com
kateryna.ovechenko
Ekaterina Ovechenko
kateryna.ovechenko@owasp.org