Google-hack для маленьких

Докучаев Дмитрий aka Forb

Хакер, номер #076, стр. 076-056-4

Я думаю, ты убедился, что Google-hack можно выделить в отдельное течение. Уж очень много людей пользуется поисковиком в корыстных целях. Существует целый ресурс http://johnny.ihackstuff.com/, который содержит множество поисковых запросов для нахождения уязвимых страниц. Обязательно посети этот сайт и, быть может, откроешь для себя много нового.

Кстати, чтобы автоматизировать свои действия, необходимо заключить специальное соглашение с Гуглом. Внимательно почитай текст www.google.com/terms_of_service.html и все поймешь сам.

Защити свой ресурс!

Владеть информацией о взломе с помощью Google – это, конечно, здорово. Но нужно научиться защищаться от хакеров, которых хлебом не корми – дай что-нибудь поломать. А для защиты требуется знать три простых правила.

1. Запрещение индексирования сайта.

Никакой поисковый ресурс не будет индексировать сайт без разрешения владельца. Но бывает всякое: то какой-то недоброжелатель вывесит на своем сайте линк на сторонний ресурс, то подпишет его в google.com. Если ты наотрез отказываешься от индексирования, просто создай в корне своего сайта файл robots.txt. В нем напиши две строки:

User-agent: *

Disallow: /

Теперь Google и все остальные поисковики перестанут заносить в базу страницы с твоего сайта. Все подобные системы обладают искусственным этикетом. Они ищут, перечитывают файл robots.txt и подчиняются его содержимому. В моем примере описывается запрещение индексации всего ресурса для всех User-Agent’ов.

2. Отказ от индексирования ресурса.

Можно пойти другим путем для отказа от индексирования страниц сайта. Зайди на страницу www.google.com/remove.html и оформи заявку на отказ от использования поисковика. Правда, от тебя потребуется доказать, что ты являешься хозяином сайта. Для этого нужно вставить на определенную страницу некоторые тэги. Только тогда Google перестанет индексировать твой ресурс.

3. Самое простое правило.

Чтобы не стать добычей для хакеров, возьми себе за правило: не храни на сервере важной информации, даже если тебе кажется, что она достаточно хорошо защищена. Используя Google, хакер легко обнаружит нужный документ, который вполне может оказаться конфиденциальным. Помимо этого, старайся не использовать публичных и незащищенных скриптов – они могут подвести тебя в самый неподходящий момент.

Лакомые запросы

Приведу несколько запросов, с помощью которых хакер без труда добывает нужную информацию. Естественно, что только Google помогает ему в этом нелегком деле.

Index.of master.passwd – поиск паролей во FreeBSD

Index.of /admin – почувствуй себя админом!

Index.of ws_ftp.ini – а теперь найдем конфиг для WS_FTPD

Index.of "amount.xls" – или важную банковскую базу

filetype:sql inurl:users – кстати, о базах...

intitle:Usage Statistics for Generated by Webalizer – смотрим статистику

intitle:Index of dbconvert.exe chats – а также логи ICQ-чата

site:jp filetype:pl inurl:txt – это мы уже проходили. Special for Japan :)

filetype:php inurl:file – поиск инклуд-файлов к PHP

inurl:main.php Welcome to phpMyAdmin – дырявый phpMyAdmin