Google: prieten sau inamic? Dork-urile din Google pot afișa informații prețioase

Publicat în de

Întotdeauna am fost fascinat de cantitatea imensă de informație ce se află la o căutare distanță iar Google este pentru publicul larg unul dintre cele mai utile instrumente cu ajutorul căruia poți afla aproape orice. Beneficiile indexării unui website în motoarele de căutare sunt cunoscute de către orice deținător al unui website dar hai să vedem și la ce trebuie să fim atenți atunci când definim reguli de indexare.

Google este unul dintre cele mai utilizate motoare de căutare din lume. Conform unui studiu ce a avut loc în luna aprilie 2020 de către reliablesoft în care au fost incluse sursele de trafic raportate de către NetMarketShare, Statista și StatCounter, Google se clasează pe primul loc ca având cea mai mare popularitate la nivel global cu 87,35% market share, urmat de către Bing cu 5,53%, Yahoo, Baidu și Yandex.ru.

Google este instrumentul folosit pentru a căuta informații „pe internet” de foarte mulți ani; poate pentru mulți este singurul instrument folosit. Dar nu a fost la fel dintotdeauna. Țin minte că eram mai mic și strângeam banii de suc ca să mă duc la Grupul de Dialog Social, pe undeva prin spatele pieței Amzei și luam la final de săptămână pachete de câte 4-6 ore de acces în Internet Cafe-ul de acolo. Era o perioada prin ’97 – ’98 când sălile de Internet Cafe erau pline de clienți care descopereau jocurile pe calculator, dar eu eram hipnotizat de Altavista. Browserul de atunci se numea Netscape și motorul de căutare era Altavista, un motor de căutare destul de avansat pentru timpul acela, care mai târziu a fost achiziționat de către Yahoo.

Google dorking

„Google hacking” (numit și „Google dorking”) este o tehnică de hacking, care utilizează motorul Google Search și alte aplicații Google pentru a găsi breșe de securitate în configurația și codul sursă al unui site web.

Conform Wikipedia, conceptul „Google Hacking” datează încă din anul 2002, când cineva a început să colecteze interogări interesante de căutare pe Google, prin care descoperea sisteme vulnerabile și/sau breșe de securitate (cum ar fi neprotejarea informațiilor sensibile) și le-a numit googleDorks. Mai târziu, prin anul 2005, a scris chiar și o carte intitulată Google Hacking for Penetration Testers în care descria metodele folosite.

Google este prietenul nostru, al tuturor, dar în egală măsură este și prietenul unei persoane răuvoitoare ce poate folosi informațiile obținute prin intermediul motoarelor de căutare pentru a exploata o vulnerabilitate sau pentru a extrage informații la care nu ar fi trebuit să aibă acces.

Dork-urile sunt interogările făcute prin intermediul motorului de căutare, interogări făcute astfel încât să poată fi identificare vulnerabilități sau informații sensibile. Lista dork-urilor crește în fiecare zi, pe măsură ce sunt identificate noi metode de interogare în motoarele de căutare.

Cum este compus un dork?

Interogările sunt compuse dintr-un argument și un parametru iar în funcție de gradul de filtrare dorit se pot adăuga până la câteva zeci.

Un potențial atacator rareori are o țintă bine definită pentru care ar putea folosi interogările din motoarele de căutare. Atunci când are o țintă sigură, dork-urile sunt ultima resursă la care apelează un potențial atacator iar acest lucru ar trebui să ne îngrijoreze. De ce? Pentru că dork-urile sunt folosite de regulă ca interogări referitoare la tipuri de fișiere, denumiri de fișiere, căi specifice ale CMS-urilor iar asta înseamnă că dacă am un magazin online ce poate fi exploatat prin simple căutări în Google, atunci atacatorul nu este unul dintre cei mai pricepuți și poate acționa haotic, făcând rău neintenționat.

De multe ori am spus că prefer să fiu „hack-uit” de către o persoană care știe ce face, care a muncit să identifice o vulnerabilitate în aplicațiile mele software, dar să nu fiu „hack-uit” de către un unul care nu a depus niciun gram de efort și folosește scripturi sau căutări „pe Google„.

Nu întotdeauna căutările pot avea un scop malițios. Mi s-a întâmplat să caut informații serioase folosind un motor de căutare și am descoperit înregistrările telefonice real time ale unei companii de taxi din București. Altă dată am găsit indexate biletele în format .pdf pentru unele dintre cele mai mari festivale de muzică din România.

Sfatul meu este că dacă vreodată găsiți informații la care credeți că nu ar fi trebuit să aveți acces, folosind motoare de căutare, luați legătura cu administratorul site-ului și explicați-i modalitatea prin care ați găsit acele informații astfel încât să poată lua măsuri imediat. Nu riscați libertatea folosind acele informații pentru că legislația din România este destul de severă.

Exemple:

Acestea fiind spuse, ce poate fi atât de sensibil la o simplă căutare? Cele mai frecvent utilizate dork-uri dintre ele sunt următoarele:

  • site: returnează rezultatele doar de la anumite site-uri sau domenii. De exemplu, căutând site:magazinulmeu.ro, vei obține toate informațiile din Google referitoare la site-ul magazinulmeu.ro.
  • filetype: sau ext: este folosit pentru a căuta tipul exact de fișier. De exemplu, filetype:php site:magazinulmeu.ro va oferi lista de fișiere php de pe site-ul magazinulmeu.ro.
  • inurl: căutări de text specific în adresa URL indexată. De exemplu, site:magazinulmeu.ro inurl:admin va căuta panoul de administrare de pe site-ul magazinulmeu.ro.
  • intitle: căutarea termenilor din titlul paginii. De exemplu, magazinulmeu.ro intitle:”Index of” va returna documente de pe site-ul web magazinulmeu.ro care menționează cuvântul „index of” în titlurile lor.
  • cache: căutări în cache Google. De exemplu, cache:magazinulmeu.ro va afișa versiunea aflată în cache-ul Google pentru site-ul magazinulmeu.ro

Din păcate, crawlerii motoarelor de căutare nu pot determina tipul și gradul de confidențialitate al informațiilor. Prin urmare, tratează în mod egal articolele dintr-un site de știri, care sunt publicate pentru o audiență largă și copiile de rezervă ale bazei de date stocate neprotejat pe un server web.

Datorită funcțiilor de căutare bazate pe dork-uri, atacatorii reușesc să detecteze vulnerabilități, resurse ascunse, cum ar fi panoul de administrare deschis fără autentificare și mecanisme de autorizare încorporate. Spuneam că interogările sunt compuse dintr-un argument și un parametru iar în funcție de gradul de filtrare dorit se pot adăuga până la câteva zeci. Iată mai jos un exemplu:

  • site:magazinulmeu.ro . Folosind această căutare vor fi afișate toate paginile și fișierele indexate de către motorul de căutare ce corespund site-ului magazinulmeu.ro.
  • site:magazinulmeu.ro filetype:xls . Folosind această căutare vor fi afișate toate fișierele de tip excel ce au extensia .xls existente în site-ul magazinulmeu.ro si au fost indexate de către motorul de căutare.

Acum să trecem la câteva exemple un pic mai înfricoșătoare.

  • inurl:parola filetype:txt . Folosind această căutare sunt afișate link-urile ce au în URL cuvântul parola și sunt de fapt fișiere de tip .txt. Scopul cred că este destul de explicit. 🙂
  • intitle:index.of afișează în rezultate site-uri indexate ce prezintă o vulnerabilitate de tip directory listing. De regulă, site-urile ce nu protejează afișarea fișierelor dintr-un folder riscă să aibă vizibil și fișiere sensibile cum ar fi arhive ce conțin backup-uri, exporturi ale bazei de date până la exceluri cu liste de clienți. Dacă vrei să mergi un pic mai specific în căutare, puteți folosi o syntaxa de forma site:magazinulmeu intitle:index.of și în acest caz vei afla dacă magazinul tău are prezent în rezultatele din Google vreun folder neprotejat.
  • comenzi filetype:sql sau comenzi ext:sql afișează rezultate ce conțin fișiere de tip .sql (baze de date) și undeva în conținutul acestora se regăsește și cuvântul comenzi.
  • factura filetype:pdf afișează rezultate ce conțin fișiere de tip .pdf avand in conținut cuvântul factură

Căutările bazate pe tipuri de fișiere specifice sau cuvinte cheie precum „factura, invoice, download, export, import, .zip, .tar.gz, clienți, parola, arhiva” pot naște suprize chiar și pentru magazine mari, mai ales dacă sunt construite custom și nu pe baza unui CMS precum Prestashop, Woocommerce, Opencart etc pentru că cele mai frecvente brele de securitate sunt datorate erorilor umane iar dezvoltatorii unor platforme custom sunt mult mai expuși la erori umane față de comunitățile de sute de mii de dezvoltatori ale platformelor de tip CMS.

Fun facts: dincolo de sfera atacurilor asupra site-urilor web, interogările în motoarele de căutare pot afișa chiar și informații mai puțin plăcute precum fișierul în care sunt stocate parolele unor browsere web, precum „key3.db” intitle:”index of” (în Mozilla Firefox fișierul key3.db conține cheia cu care este criptat fișierul ce conține parolele salvate în browser, numit logins.json). Acum, de ce ar încărca cineva părți din conținutul calculatorului într-un server web este enigmatic. 🙂

Și totuși, activitatea unui proprietar de magazin online nu se desfășoară exclusiv în ecosistemul acelui magazin și cu toții folosim o sumedenie de instrumente online, platforme de facturare, de curierat, uneori și de management al taskurilor din cadrul companiei. Problema apare atunci când trebuie să ai grijă ce documente distribui în spațiul virtual și ce grad de confidențialitate oferă fiecare platformă.

De exemplu, Trello care este una dintre cele mai cunoscute și utilizate platforme de management al proiectelor oferă în mod implicit posibilitatea de a crea board-uri private astfel încât să nu poată fi accesate de către persoane neautorizate. Totuși, în funcție de context, mulți aleg să utilizeze boardul public (probabil pentru că distribuie lista de taskuri cu persoane care nu doresc să își creeze cont). Dar motoarele de căutare indexează tot ce reușesc și o simplă căutare de forma site:trello.com/b/ returnează nu mai puțin de 255.000 board-uri publice.

Instrumente utile

Pentest-Tools.com este un serviciu online care permite utilizatorilor să își facă singuri o testare a securității site-urilor web și infrastructurii de rețea expusă în internet. Acesta are un instrument gratuit numit Google Hacking prin intermediul căruia un utilizator poate să caute informații referitoare la site-ul său, pe Google, folosind cele mai cunoscute dork-uri.

Un Google Dork cheatsheet bun regăsești aici dacă dorești să cauți manual în motoarele de căutare. Tot spun generic motoare de căutare deși terminologia implică și denumirea motorului de căutare Google, pentru că majoritatea dork-urilor sunt disponibile și în alte motoare precum Bing.

Concluzie

Verifică cel puțin de două ori pe an care este gradul de confidențialitate al informațiilor sensibile disponibile pe magazinul tău online. Încearcă să privești magazinul prin ochii potențialilor clienți dar și prin ochii potențialilor atacatori. Motoarele de căutare indexează orice le este permis sau mai bine spus, indexează orice nu este explicit interzis!

#StaySafe 🔒

 

cristi iosubCristian Iosub

Digital Platforms Manager Conversion Marketing

Cristian Iosub este Digital Platforms Manager la Conversion și are o experiență de peste 15 ani în dezvoltare software si auditor pentru sistemul de management al securității informației. Cu numeroase proiecte la activ, Cristian a coordonat și a dezvoltat software pentru peste 100 de clienți internationali din domenii precum eCommerce, Banking și Retail.

Pe lângă proiectele pe care le coordonează, Cristian administrează principalele platforme dezvoltate de Conversion. Mai exact: Profitshare, platforma de marketing afiliat cu cele mai mari vânzări din România, Conectoo, platforma de email marketing, prin care se trimit lunar in inbox peste 150.000.000 emailuri si CookieBox, platforma de management a cookie-urilor.

 

Nu rata seria de articole cu conținut #CraftedToInspire semnate de specialiști în eCommerce și Digital Marketing, abonează-te la Newsletter-ul GPeC!