Google-hack для маленьких

Докучаев Дмитрий aka Forb

Хакер, номер #076, стр. 076-056-3

Многие хакеры и простые скрипткидисы часто бродят по Гуглу в поиске очередной жертвы. По некоторым признакам они сами тестируют скрипты на общеизвестные баги и тем самым проводят атаку. Я не буду перечислять список ошибок, а лишь приведу простой пример. Ты знаешь, что большинство cgi-скриптов, подключающих txt-файлы, делают это через функцию open(). Таким образом, в некоторых сценариях хакер может легко подключить файл /etc/passwd либо вообще вывод /usr/bin/id (все зависит от его фантазии :)). Как ты думаешь, каким способом взломщик находит подобный баг? Я тебе отвечу не задумываясь – через google.com. Недоброжелатель просто вводит в поисковое окно запрос «filetype:cgi inurl:txt», и, если нужно, еще несколько признаков. В ответ поисковик возвращает тысячи ссылок с сотнями уязвимых скриптов. А ведь я привел пример лишь с cgi и txt. Если учитывать бажный инклуд html-файлов, а также то, что скрипты могут иметь расширения pl, php и asp, то число найденных ссылок будет стремиться к бесконечности. Не забывай, что база Google регулярно обновляется, и не исключено, что набор линков, показанных сегодня, будет отличаться от завтрашних ссылок.

Нередко хакеры выбирают для взлома серверы в определенной зоне. Скажем, захотелось спамеру Пете найти французский прокси-сервер. Но вот беда, на всех публичных источниках он не обнаружил анонимного проксика. Пришлось просить помощи у google.com. Петр зашел на Гугл и ввел в окно запроса «powered.by.phpBB site:fr». Поисковик выдал пару сотен ссылок на французские ресурсы со старой версией форума, и уже через полчаса негодяй Петя активно спамил интернет через безопасный прокси-сервер. И все благодаря силе Google.

Часто бывает, что хакеры выкладывают в public-источник эксплойты для определенной версии Web-сервера. А те, кто решился его заюзать, лезут на Google и ищут уязвимые релизы через ответы поисковика. Как они это делают? Очень просто! Злоумышленники пользуются директивой intitle, которая указывает на информацию, расположенную в заголовке страницы. К примеру, чтобы найти все серверы под управлением Apache 2.0.48, необходимо сформировать условие intitle:index.of Apache/2.0.48.

И еще один твик, которым пользуются хакеры. Можно использовать поисковик для обнаружения определенного скрипта, который установлен в фиксированном каталоге. Например, взломщик хочет отыскать скрипт аукциона main.php и точно знает, что сценарий находится в папке /myauction. Запрос будет выглядеть следующим образом: «allinurl:/myauction/main.php».

Средства автоматизации

Не так давно несколько добрых людей написали замечательную утилиту, которая автоматизирует процесс поиска. Точнее, делает его удобнее. Теперь любой желающий может искать нужные ссылки прямо в консоли. Достаточно скомпилировать сишный файл http://packetstormsecurity.nl/UNIX/audit/lgool.c и запустить бинарник с параметром поискового запроса. Радует, что эта утилита поддерживает прокси и легко портируется под многие системы.