Google-hack для маленьких

Докучаев Дмитрий aka Forb

Хакер, номер #076, стр. 076-056-2

Но напороться на красивый шестизнак с помощью Google-hack не так-то и просто. Обычно злоумышленники ищут не симпатичные аськи, а какие-нибудь конфиги. К примеру, тебе захотелось проверить наличие ссылки на небезызвестный wcx_ftp.ini. Этот конфиг от Total Commander сохраняет в себе пароли на различные FTP-архивы. И надо сказать, что расшифровать эти пассворды не составляет особого труда. Узнать все ссылки на wcx_ftp.ini поможет запрос вида «filetype:ini inurl:wcx». Пришло время разобраться в премудростях этих выражений.

Конструкция filetype позволяет указывать искомое расширение файла. Она имеется в арсенале многих поисковиков, однако только Google позволяет задавать любое расширение для поиска. Второе выражение inurl проверяет наличие подстроки в целой ссылке. То есть логическое обоснование поискового запроса можно сформулировать как «Я хочу увидеть все ссылки, оканчивающиеся на .ini и имеющие подстроку wcx». Таким образом хакер находит нужные ему конфиги. Никто не мешает злоумышленнику поискать конфиг с зашифрованным паролем от Edialer’а, ключи WebMoney и т.д.

Поиск уязвимостей

Наконец, мы подошли к самым распространенным запросам, которые задаются хакерами. Это ручной поиск уязвимостей в Google-ссылках. Представим ситуацию: некий взломщик нашел баг в голосовалке vote.php. Суть дыры в том, что скрипту передается параметр answer, изменив который, можно подключить к сценарию любой текстовый файл. Но вот беда: хакер не может найти применение свежей дырке. Писать телегу в багтрак неохота, так как есть желание взломать ряд серверов с активной голосовалкой. Приходится идти на Google и искать заразные ссылки там. По всей видимости, злоумышленник воспользуется запросом «filetype:php inurl:answer». Большинство этих ссылок покажет серверы, на которых установлен искомый скрипт.

Но все это только в теории. На практике ситуация может быть не очень красивой. Представь, что помимо бажной голосовалки существует еще один скрипт vote.php, который более распространен, нежели предыдущий. И что же, прикажешь бедному хакеру перерывать тысячи запросов Google и искать нужный? Вовсе нет :). Достаточно отфильтровать левые ссылки с помощью добавочной подстроки. Скажем, если ненужному скрипту передается еще один параметр client=номер, достаточно дописать в окно с запросом ключевое слово -client, и взломщик уже не увидит тех ссылок, которые ранее надоедали хакерскому глазу :). В такой ситуации важно найти коренное отличие, которое затем задается в виде исключающего слова. Кстати, таких слов может быть несколько, что еще раз доказывает мощность поисковика.