You are on page 1of 13

Niebezpieczne Google – wyszukiwanie poufnych informacji

Michał Piotrowski

Artykuł opublikowany w numerze 3/2005 magazynu hakin9 Wszelkie prawa zastrzeżone. Bezpłatne kopiowanie i rozpowszechnianie artykułu dozwolone pod warunkiem zachowania jego obecnej formy i treści. Magazyn hakin9, Wydawnictwo Software, ul. Lewartowskiego 6, 00-190 Warszawa, pl@hakin9.org

hakin9. Najważniejsze i najbardziej przydatne operatory precyzujące. że niektóre odnalezione strony są mocno nieświeże.. ale też bardzo rozbudowanym możliwościom zadawania pytań. jak znajdować w Google publicznie dostępne urządzenia sieciowe. Jednak należy pamiętać o tym.org hakin9 Nr 3/2005 . Zawdzięcza to nie tylko wyjątkowo skutecznemu mechanizmowi generowania wyników. ma wieloletnie doświadczenie w pracy na stanowisku administratora sieci i systemów. prezentuje Rysunek 1. jak odnaleźć informacje o podatnych na ataki systemach i usługach sieciowych. Co powinieneś wiedzieć. • • • jak przy użyciu Google wyszukiwać bazy danych osobowych i inne poufne informacje. Ujawniają je nieświadomie – na skutek niedbalstwa lub niewiedzy – sami użytkownicy. Wystarczy użyć Google. Podstawy O autorze Szukamy ofiary Dzięki wyszukiwarce Google można dotrzeć nie tylko do powszechnie dostępnych zasobów Michał Piotrowski.. wraz z opisem i efektem działania.. bardzo często są dostępne publicznie. że Internet jest bardzo dynamicznym medium. przez co wyniki prezentowane przez Google nie zawsze są aktualne. Efekt jest taki. • • powinieneś potrafić korzystać z przeglądarki internetowej. magister informatyki. powinieneś mieć podstawową wiedzę o protokole HTTP. do których operatory się odnoszą w trakcie przeszukiwania zasobów Sieci (na przykładzie strony magazynu hakin9). 2 www. Przez ponad trzy lata pracował jako inspektor bezpieczeństwa w instytucji obsługującej nadrzędny urząd certyfikacji w polskiej infrastrukturze PKI. Zdarza się.. zaś miejsca w dokumentach. To tylko przykłady – umiejętne zadawanie pytań w Google umożliwia uzyskanie o wiele ciekawszych informacji. Z artykułu dowiesz się. w Internecie.Niebezpieczne Google – wyszukiwanie poufnych informacji Michał Piotrowski Informacje które powinny być chronione. Obecnie specjalista ds. że poufne dane są na wyciągnięcie ręki. G oogle odpowiada na około 80 procent wszystkich zapytań w Sieci. zostały przedstawione w Tabeli 1. W wolnych chwilach programuje i zajmuje się kryptografią. bezpieczeństwa teleinformatycznego w jednej z największych instytucji finansowych w Polsce. a tym samym jest najczęściej i najchętniej wykorzystywaną wyszukiwarką. a jednocześnie wiele podobnych jeszcze nie zostało odwiedzonych przez Googlebota (skrypt-automat przeczesujący i indeksujący zasoby WWW).

nie tylko wyrazy jest zastępowany pojedynczym znakiem jest zastępowany pojedynczym wyrazem logiczne OR Przykład wykorzystania znajdzie wszystkie strony zawierające w tekście wyraz fox.com fox intitle znajdzie strony zawierające wyraz fox w tytule i fire w tekście intitle:fox fire allintitle znajdzie wszystkie strony zawierające w tytule wyrazy fox i fire. które posiadają frazę fire fox tylko w tekście segreguje wyniki zgodnie w dużą ilością występowania wyrazu fire +fire -fire + "" . ext zwróci dokumenty PDF zawierające wyraz fire.0 hakin9 Nr 3/2005 www.org 3 . Jeśli zadamy odpowiednie pytanie. Przypuśćmy. że dotyczy ona serwera Microsoft IIS w wersji 5.google. fire * fox zwróci dokumenty zawierające frazę fire fox lub wyraz firefox "fire fox" | firefox Internetu. fire1fox. że w pewnym powszechnie wykorzystywanym programie zostaje odnaleziona luka. jednak woli skorzystać z Google – wpisuje więc następujące pytanie: "Microsoft-IIS/5. które znajdują się w domenie *.pl link:www.google.fox zwróci dokumenty zawierające frazy fire fox.com site:google. działa podobnie jak allintitle:fox fire intitle:fox intitle:fire inurl znajdzie strony zawierające w tekście wyraz fire i fox w adresie URL inurl:fox fire allinurl:fox allinurl fire znajdzie strony zawierające w adresie URL wyrazy fox i fire. na który wskazują. Zacznijmy od czegoś prostego.. fire-fox itp. które posiadają wyraz fire w opisie (nie w adresie URL.pl inanchor:fire inanchor zwróci dokumenty zawierające odnośniki.google. fire in fox. aby je zaatakować. fire or fox itp. * | zwróci dokumenty nie zawierające wyrazu fire dokumenty zawierające frazę fire fox "fire fox" zwróci fire. często otrzymamy naprawdę zadziwiające wyniki. Operatory zapytań w Google Operator site Przeznaczenie ogranicza wyniki do stron znajdujących się w określonej domenie ogranicza wyniki do dokumentów zawierających podaną frazę w tytule ogranicza wyniki do dokumentów zawierających wszystkie podane frazy w tytule ogranicza wyniki do stron zawierających podaną frazę w adresie URL ogranicza wyniki do stron zawierających wszystkie podane frazy w adresie URL ogranicza wyniki do dokumentów o podanym typie ogranicza wyniki do dokumentów zawierających w treści liczbę z podanego zakresu ogranicza wyniki do stron zawierających odnośniki do podanej lokalizacji ogranicza wyniki do stron z odnośnikami zawierającymi w opisie podaną frazę ogranicza wyniki do dokumentów zawierających podaną frazę w tekście i jednocześnie nie zawierające jej w tytule. Oczywiście mógłby do tego celu użyć jakiegoś skanera.100 fire numrange:1-100 fire link zwróci dokumenty zawierające co najmniej jeden odnośnik do strony www.Google hacking Tabela 1. które nigdy nie powinny zostać ujawnione. Wyobraźmy sobie. Identyczny efekt można uzyskać pytaniem: 1. działa podobnie jak inurl: fox inurl:fire filetype. ale również do takich. ale w podkreślonej części tekstu) allintext:"fire fox" zwróci allintext dokumenty. a filetype:xls fox zwróci dokumenty arkusza Excel zawierające fox filetype:pdf fire numrange zwróci strony zawierające liczbę z zakresu od 1 do 100 i wyraz fire. zwróci dokumenty zawierające frazy fire the fox.hakin9. fireAfox.0 i że hipotetyczny napastnik chce znaleźć kilka maszyn z tym oprogramowaniem. odnośnikach i adresach URL wymusza częste występowanie podanej frazy w wynikach wymusza niewystępowanie podanej frazy w wynikach pozwala wyszukiwać całe frazy.

Wykorzystanie operatorów w wyszukiwaniu na przykładzie witryny magazynu hakin9 Rysunek 2. umożliwiającym przesyłanie plików do serwera oraz tworzenie. który umożliwia dodawanie ksiąg gości do serwisów WWW. W kwietniu 2004 roku została opublikowana informacja o luce dotyczącej wersji 2.of ce swoją nazwę i wersję (widać to na Rysunku 2). w których znaleziono błędy i których leniwi lub nieświadomi administratorzy nie usunęli. WebJeff Filemanager w wersji 1. Może wydawać się to dziwne. które są z nimi dostarczane i dostępne po poprawnej instalacji.Rysunek 1. Za przykład niech posłużą dwa dosyć popularne programy: WebJeff Filemanager i Advanced Guestbook. Można je odnaleźć wykorzystując pytania zaprezentowane w Tabeli 3. Pierwszy z nich jest webowym menadżerem plików. Jest to przykład informacji. że intruz wpisze w podatnym systemie adres /index.6 ma błąd. która sama w sobie jest niegroźna. która w pewnych okolicznościach może mieć dla napastnika istotne znaczenie. Niestety. usuwanie i modyfikowanie plików znajdujących się na serwerze.2 tego programu. Oczywiście aby znaleźć podatne serwery napastnik wykorzysta Google zadając pytanie: "WebJeff-Filemanager 1. Za jej pomocą można uzyskać dostęp do ogromnej ilości różnych serwisów sieciowych czy systemów operacyjnych wykorzystujących aplikacje. Odnalezienie serwera IIS 5.0 przy użyciu operatora intitle i w rezultacie otrzymuje odnośniki do poszukiwanych serwerów. że w standardowej konfiguracji oprogramowanie IIS (i wiele innych) dodaje do niektórych dynamicznie generowanych stron banery zawierająServer at" intitle:index. Więcej przykłado- wych pytań dla Google o inne typy serwerów zawiera Tabela 2. Niestety jest to również informacja. Innym sposobem znalezienia konkretnych wersji serwerów WWW jest szukanie standardowych stron. Dzieje się tak dlatego. Druga aplikacja – Advanced Guestbook – jest napisanym w języku PHP programem korzystającym z bazy danych SQL. a konkretnie do wylistowanych zawartości katalogów.php3?action=telec harger&fichier=/etc/passwd.org hakin9 Nr 3/2005 . Wystarczy więc. z tego powodu bardzo często jest ignorowana i pozostawiana w standardowej konfiguracji.6" Login. który umożliwia odczytanie zawartości dowolnego pliku znajdującego się na serwerze. znajdujących się na tych serwerach. ale w Sieci znajduje się mnóstwo serwerów. a uzyska zawartość pliku /etc/passwd (patrz Rysunek 3).hakin9. Bardzo często są to słabo zabezpieczone. zapomniane maszyny stanowiące łatwy cel dla włamywaczy. do którego ma dostęp użytkownik uruchamiający demona WWW. których domyślna zawartość nie została zmieniona po instalacji. która umożliwia (dzięki wstrzyk- Podstawy 4 www. przeglądanie. Ta metoda jest bardzo prosta i jednocześnie niezwykle użyteczna.

6 Apache 1.9 Apache 1.11–1.0 IIS 6.of "Apache/* Server at" intitle:index. hakin9 Nr 3/2005 www.of "Apache/2.of "Microsoft-IIS/4.of "Microsoft-IIS/5.of "Netscape/* Server at" intitle:index.of "Oracle HTTP Server/* Server at" intitle:index.28 Apache 2. Wystarczy odnaleźć stronę logowania do panelu (patrz Rysunek 4) i zalogować się pozostawiając pole username puste.0 Microsoft Internet Information Services 5.0 Microsoft Internet Information Services 6.0 a w polu username wpisując ? or 1=1 --.3.0 Apache SSL/TLS Apache w systemie Red Hat Apache w systemie Fedora Apache w systemie Debian IIS 4.Google hacking Tabela 2.28 Server at" intitle:index.of "Microsoft-IIS/* Server at" intitle:index.2.0 IIS 5.33.hakin9. Google – pytania o różne rodzaje serwerów WWW Pytanie "Apache/1. Pytania o standardowe poinstalacyjne strony serwerów WWW Pytanie intitle:"Test Page for Apache Installation" "You are free" intitle:"Test Page for Apache Installation" "It worked!" "this Web site!" intitle:"Test Page for Apache Installation" "Seeing this instead" intitle:"Test Page for the SSL/TLS-aware Apache Installation" "Hey.0!" intitle:"Welcome to Windows 2000 Internet Services" intitle:"Welcome to Windows XP Server Internet Services" Serwer Apache 1.0 Server at" intitle:index. it worked!" intitle:"Test Page for the Apache Web Server on Red Hat Linux" intitle:"Test Page for the Apache Http Server on Fedora Core" intitle:"Welcome to Your New Home Page!" Debian intitle:"Welcome to IIS 4.0 Server at" intitle:index.of Serwer Apache 1.0 Server at" intitle:index.3.0 dowolna wersja Microsoft Internet Information Services dowolna wersja serwera Oracle dowolna wersja serwera IBM dowolna wersja serwera Netscape dowolna wersja serwera Red Hat Secure dowolna wersja serwera HP Tabela 3. lub odwrotnie – pole password zostawiając puste.0 Server at" intitle:index.of "IBM _ HTTP _ Server/* * Server at" intitle:index. a w polu password wpisując ') OR ('a' = 'a.0 dowolna wersja Apache Microsoft Internet Information Services 4. 2.0–1.of "HP Apache-based Web Server/*" intitle:index.of "Red Hat Secure/*" intitle:index.org 5 .of "Microsoft-IIS/6.3.3.3.3. aby znaleźć w sieci podatne witryny. może zadać wyszukiwarce Google jedno z następujących pytań: intitle: nięciu kodu SQL – patrz Artykuł Ataki SQL Injection na PHP/MySQL w hakin9 2/2005) uzyskanie dostępu do panelu administracyjnego. Nasz przykładowy napastnik.

"Advanced Guestbook Rysunek 3. rodzaju systemu operacyjnego i wersji oprogramowania usługowego. Podatna wersja programu WebJeff Filemanager Aby zapobiec działającemu w opisany sposób wyciekowi danych.2" Username inurl:admin. Zazwyczaj polega to na skanowaniu komputerów – próbie określenia działających usług. że zapyta Google o statystyki programu phpSystem: "Generated by phpSystem" . Informacje o sieciach i systemach Rysunek 4. Możliwości jest bardzo dużo (przykładowe zapytania o statystyki i informacje tworzone przez najpopularniejsze programy zawiera Tabela 4). Statystyki phpSystem które zawierają znacznie więcej informacji o systemie (Rysunek 6). w których występują.hakin9." . Dlatego. Dla włamywacza są to bardzo wartościowe informacje.org hakin9 Nr 3/2005 . Najczęściej wykorzystuje się do tego celu skanery typu Nmap lub amap. informują o zajętości dysków twardych. administrator musi na bieżąco śledzić informacje o wszystkich programach. Advanced Guestbook – strona logowania Prawie każdy atak na system komputerowy jest poprzedzony rozpoznaniem celu. o którą warto zadbać jest usunięcie banerów. by Sysinfo * written Podstawy 6 www. ale istnieje jeszcze inna możliwość.2 Powered" lub 2. które wykorzystuje w utrzymywanych przez siebie serwisach i dokonywać aktualizacji w razie pojawienia się błędu w którymkolwiek z nich. a otrzyma strony podobne do zaprezentowanej na Rysunku 5. Wystarczy. jeśli korzysta- Gamblers. Może również zapytać o strony generowane przez skrypt Sysinfo: intitle:"Sysinfo * " intext: "Generated by The Rysunek 5.Guestbook "Advanced Guestbook 2. Wielu administratorów instaluje aplikacje WWW. nazw i numerów wersji programów ze wszystkich stron lub plików. Zdobycie tego typu informacji może zachęcić intruza do przeprowadzenia ataku na znaleziony system i pomóc mu w dobraniu odpowiednich narzędzi czy exploitów. Drugą rzeczą. zawierają listy uruchomionych procesów lub nawet logi systemowe. które na bieżąco generują statystyki z pracy systemu.

musimy zadbać o to. informacje o odwiedzających. rodzaj systemu operacyjnego. zajętość pamięci i dysków twardych.*" "ASP Stats Generator" "2003-2004 weppos" intitle:"Multimon UPS status page" intitle:"statistics of" "advanced web statistics" intitle:"System Statistics" +"System and Network Information Center" intitle:"Usage Statistics for" "Generated by Webalizer" intitle:"Web Server Statistics for ****" inurl:"/axs/ax-admin. konfiguracja sprzętowa. Szukamy błędów Komunikaty o błędach mogą być dla włamywacza niezwykle wartościowe – właśnie z tych informacji można otrzymać mnóstwo danych o systemie oraz konfiguracji i budowie baz danych. układ plików w systemie statystyki pracy serwera WWW. układzie plików w systemie a czasem również hasła (patrz Rysunek 7).Google hacking my z programów umożliwiających monitorowanie zasoby naszych komputerów. zalogowani użytkownicy. punkty montowania statystyki pracy serwera WWW. informacje o odwiedzających statystyki pracy serwera WWW. logi systemowe "Output produced by SysWatch *" hakin9 Nr 3/2005 www. uruchomione procesy. konfiguracja sprzętowa.pl" -script inurl:"/cricket/grapher.hakin9. otwarte połączenia.org 7 . układ plików w systemie statystyki pracy serwera WWW.html | inurl:apache. punkty montowania. dużo informacji o odwiedzających statystyki pracy urządzeń UPS statystyki pracy serwera WWW. konfiguracja sieci wersja serwera. zalogowani użytkownicy. aby dostęp do nich był chroniony i wymagał podania hasła. informacje o odwiedzających wykresy MRTG z pracy interfejsów sieciowych wersja i konfiguracja serwera WWW. działające usługi statystyki pracy serwera WWW. układ plików w systemie rodzaj i wersja systemu operacyjnego. Programy tworzące statystyki pracy systemu Pytanie "Generated by phpSystem" "This summary was generated by wwwstat" "These statistics were produced by getstats" "This report was generated by WebLog" intext:"Tobias Oetiker" "traffic analysis" intitle:"Apache::Status" (inurl:server-status | inurl:status. aby odnaleźć błędy generowane przez bazę Informix wystarczy zadać wyszukiwarce następujące pytanie: "A syntax error has occurred" filetype:ihtml. Statystyki Sysinfo Tabela 4. rodzaj systemu operacyjnego.html) intitle:"ASP Stats Generator *. Przykładowo.cgi" inurl:server-info "Apache Server Information" Rodzaj informacji rodzaj i wersja systemu operacyjnego. W rezultacie włamywacz odnajdzie komunikaty zawierające informacje o konfiguracji bazy danych. układ plików w systemie statystyki pracy serwera WWW. Aby zawęzić wyniki tylko do stron zawierają- Rysunek 6. lista procesów potomnych i aktualne połączenia aktywność serwera WWW. układ plików w systemie statystyki pracy systemu w postaci wykresów MRTG. zajętość pamięci i dysków twardych. informacje o odwiedzających statystyki pracy systemu w postaci wykresów MRTG.

Jedynym sposobem ochrony naszych systemów przed publicznym informowaniem o błędach jest przede wszystkim szybkie usuwanie nieprawidłowości oraz. serwerów FTP czy nawet kont shellowych. W standardowej konfiguracji tego programu nazwy użytkowników. Rozważmy przykład WS_FTP.ini" Rysunek 8. Widać to choćby na przykładzie zapytania "Access denied for user" "Using password" – Rysunek 8 przedstawia jedną ze stron odnalezionych tym sposobem. Niestety nie wszyscy zdajemy sobie sprawę z tego. Wystarczy zatem zna- Podstawy 8 www. Dzięki pytaniom "Index of/ " "Parent Directory" "WS _ FTP. ale też z niedbalstwa producentów oprogramowania. którzy albo nieodpowiednio chronią dane użytkowników. Należy przy tym pamiętać. hasła i inne dane są przechowywane w pliku duclassified. Inne przykładowe pytania wykorzystujące takie błędy znajdują się w Tabeli 5. Co prawda hasła przechowywane w pliku WS_FTP. Wystarczy.hakin9. Szukamy haseł Rysunek 7. że strony wskazywane przez Google będą już nieaktualne). które w swojej niewiedzy sami wkładamy mu w ręce (Rysunek 9).mdb. kopie są przechowywane w cache przez krótki okres. dobrze znanego i powszechnie używanego klienta FTP. ale nie jest to wystarczające zabezpieczenie – mając plik konfiguracyjny. WS_FTP zapisuje swoją konfigurację i informacje o kontach użytkownika w pliku WS_FTP.ini. albo nie informują ich o konieczności modyfikacji standardowej konfiguracji swoich produktów. Inny przykład to aplikacja webowa o nazwie DUclassified. włamywacz może skorzystać z narzędzi pozwalających hasła odszyfrować lub po prostu zainstalować program WS_FTP i uruchomić go z naszą konfiguracją. który znajduje się w niechronionym przed odczytem podkatalogu _private. Błąd bazy MySQL lub filetype:ini WS _ FTP PWD otrzyma mnóstwo odnośników do interesujących go danych.org hakin9 Nr 3/2005 . to intruz może obejrzeć kopię strony przechowywaną przez cache wyszukiwarki Google. ze względu na ogromną ilość zasobów internetowych.ini są zaszyfrowane. aby informacje o błędach były zapisywane w przeznaczonych specjalnie do tego celu plikach. a nie wysyłane na strony dostępne użytkownikom. który podobnie jak większość oprogramowania użytkowego umożliwia zapamiętywanie haseł do kont. że każdy. Na szczęście. Wynika to głównie z niewiedzy użytkowników nieświadomie umieszczających hasła w publicznie dostępnych miejscach.cych hasła. A w jaki sposób włamywacz może dotrzeć do tysięcy plików konfiguracyjnych klienta WS_FTP? Oczywiście przez Google. filetype:ihtml intext: Równie ciekawe informacje można uzyskać z błędów bazy danych MySQL. Błąd bazy danych Informix W sieci można znaleźć mnóstwo haseł do wszelkiego rodzaju zasobów – kont pocztowych. że nawet jeśli błędy będziemy usuwać dosyć szybko (a tym samym powodować. można nieco zmodyfikować pytanie: "A syntax error has occurred" LOGIN. która umożliwia dodawanie i zarządzanie reklamami w serwisach internetowych. kto uzyska dostęp do konfiguracji klienta FTP będzie miał jednocześnie dostęp do naszych zasobów. że na liście z wynikami kliknie w odnośnik do kopii witryny. jeśli mamy taką możliwość. skonfigurowa- nie oprogramowania w taki sposób.

nazwy plików. fragmenty kodu SQL oraz hasła błędy autoryzacji – mogą zawierać nazwy użytkownika.com by DUclassified" -site: Rysunek 9. Tymczasem sporo ludzi zapisuje hasła w plikach i umieszcza je w swoich katalogach domowych.org 9 . aby otrzymać plik z hasłami i tym samym uzyskać nieograniczony dostęp do aplikacji (pokazuje to Rysunek 10).Google hacking Tabela 5.mdb. Komunikaty o błędach Pytanie "A syntax error has occurred" filetype: ihtml "Access denied for user" "Using password" "The script whose uid is " "is not allowed to access" "ORA-00921: unexpected end of SQL command" "error found handling the request" cocoon filetype:xml Rezultat Błędy bazy Informix – mogą zawierać nazwy funkcji. informacje o układzie plików i fragmenty kodu SQL błędy PHP związane z kontrolą dostępu – mogą zawierać nazwy plików. Plik konfiguracyjny programu WS_FTP hakin9 Nr 3/2005 www. które również są podatne na podobne nadużycia. Natomiast w znalezieniu witryn. są osiągalne z Internetu. nazwy funkcji. informacje o układzie plików. nazwy użytkowników." "#mysql dump" filetype:sql leźć serwis korzystający z DUclassifield o przykładowym adresie http://<host>/duClassified/ i zmienić go na http://<host>/duClassified /_ private /duclassified. nazwy plików i informacje o układzie plików błędy skryptów CGI – mogą zawierać informacje o rodzaju systemu operacyjnego i wersji oprogramowania. producent DUclassified – firma DUware – stworzyła kilka innych aplikacji. wbrew oczekiwaniom. które korzystają z omawianej aplikacji może pomóc następujące pytanie zadane w Google: "Powered (aby uniknąć wyników dotyczących witryny producenta).hakin9. nazwy plików. Co ciekawe. że nie należy przylepiać haseł do monitora lub ukrywać ich pod klawiaturą. nazwy funkcji i informacje o układzie plików błędy bazy Oracle – mogą zawierać nazwy plików. nazwy funkcji i informacje o układzie plików błędy forum dyskusyjnego Invision Power Board – mogą zawierać nazwy funkcji. nazwy funkcji. Teoretycznie wszyscy wiemy. które. nazwy plików oraz informacje o układzie plików w systemie błędy bazy MySQL – mogą zawierać informacje o strukturze i zawartości bazy danych "Invision Power Board Database Error" "Warning: mysql _ query()" "invalid query" "Error Message : Error loading required libraries. nazwy funkcji i informacje o układzie plików błędy programu Cocoon – mogą zawierać numer wersji Cocoon. W dodatduware. nazwy plików. informacje o układzie plików w systemie oraz fragmenty kodu SQL błędy bazy MySQL – mogą zawierać nazwy użytkowników.

mdb serwisy WWW korzystające z aplikacji Bitboard2. DUdirectory.com "Powered by DUdownload" -site:duware. zamiast domyślnego adresu http://<host>/ forum/forum.com "Powered by DUdirectory" -site:duware.hakin9.com Podstawy serwisy WWW..of trillian.php należy wpisać http://<host>/forum/admin/ data_passwd. która w standardowej konfiguracji umożliwia pobranie pliku zawierającego hasła.of "Index of/" "Parent Directory" "WS _ FTP.com intitle:dupics inurl:(add.conf inurl:"wvdial.asp | voting.conf" intext:"password" ext:ini eudora.com "Powered by DUpaypal" -site:duware.org hakin9 Nr 3/2005 .asp | default. zamiast domyślnego adresu http://<host>/journal/ należy wpisać http://<host>/journal/ journal. które mogą zawierać informacje o hasłach pliki pwd.db inurl:admin inurl:backup intitle:index.ini" filetype:ini WS _ FTP PWD ext:pwd inurl:(service|authors|administrators| users) "# -FrontPage-" filetype:sql ("passwd values ****" | "password values ****" | "pass values ****" ) intitle:index.mdb intext:"powered by Web Wiz Journal" "Powered by DUclassified" -site:duware.ini Rezultat hasła do strony site. zamiast domyślnego adresu (dla DUclassified) http://<host>/duClassified/ należy wpisać http://<host>/duClassified/_private/ duclassified. Hasła – przykładowe zapytania w Google Pytanie "http://*:*@www" site filetype:bak inurl:"htaccess|passwd|shadow|htusers" filetype:mdb inurl:"account|users|admin| administrators|passwd|password" intitle:"Index of" pwd. która w standardowej konfiguracji umożliwia pobranie pliku zawierającego hasła.db mogą zawierać nazwy użytkowników i zakodowane hasła katalogi zawierające w nazwie słowa admin i backup pliki konfiguracyjne programu WS_FTP. DUclassmate. które mogą zawierać informacje o kontach serwisy WWW korzystające z aplikacji Web Wiz Journal. DUpaypal." kopie zapasowe plików. DUdownload.com "Powered by DUforum" -site:duware.com "Powered by DUclassmate" -site:duware.Tabela 6.asp) -site:duware. zapisane w postaci "http://username: password@www. DUforum lub DUpics.mdb filetype:mdb inurl:users.. w których mogą znajdować się informacje o nazwach użytkowników i hasła pliki typu mdb. DUcalendar. które w standardowej konfiguracji umożliwiają pobranie pliku zawierającego hasła.com "Powered by DUcalendar" -site:duware.asp | view. korzystające z aplikacji DUclassified.ini eggdrop filetype:user user filetype:conf slapd.0" "BiTSHiFTERS Bulletin Board" 10 www.dat intext:"BiTBOARD v2. które mogą zawierać hasła do serwerów FTP pliki zawierające hasła programu Microsoft FrontPage pliki zawierające kod SQL i hasła dodawane do bazy danych pliki konfiguracyjne komunikatora Trillian pliki konfiguracyjne ircbota Eggdrop pliki konfiguracyjne aplikacji OpenLDAP pliki konfiguracyjne programu WV Dial pliki konfiguracyjne programu pocztowego Eudora pliki Microsoft Access.

Google hacking Rysunek 10. wiedzę i doświadczenie. http://insecure. jak i w Stanach Zjednoczonych istnieją odpowiednie regulacje prawne. W Internecie można znaleźć mnóstwo dokumentów tego typu. Aby je odszukać. Elektroniczna książka adresowa zdobyta dzięki Google W Sieci • • • http://johnny. Standardowo skonfigurowany program DUclassified ku wielu z nich piastuje funkcje administratorów sieci lub podobne. . Przykładowe pytania o dane związane z hasłami można znaleźć w Tabeli 6. należy zadać następujące pytanie: intitle: "curriculum vitae" "phone * * *" "address *" "e-mail" Łatwo rów. Wystarczy. Niestety zdarza się. że wszelkiego rodzaju poufne dokumenty zawierające nasze dane są umieszczane w publicznie dostępnych miejscach lub przesyłane przez sieć bez właściwego zabezpieczenia. przebieg edukacji. musimy przede wszystkim myśleć o tym. Trudno podać konkretną zasadę szukania takich danych. numerów telefonów i adresów e-mail (Rysu- hakin9 Nr 3/2005 www. http://thc. Zarówno w Polsce czy Unii Europejskiej. .org 11 . Jeśli opiekujemy się serwisem internetowym.org/nmap/ – skaner sieciowy Nmap. powinniśmy przeanalizować konfigurację wykorzystywanych aplikacji. przez co pliki te osiągają pokaźne rozmiary. Warto również zwrócić uwagę na katalogi zawierające w nazwie słowa admin. password itp. users. gdzie i po co je wpisujemy. jak są przechowywane oraz co się z nimi dzieje. odnaleźć słabo chronione lub wrażliwe dane i odpowiednio je zabezpieczyć.of. datę urodzenia.pdf. W połączeniu z typami plików .hakin9.xls. Aby utrudnić intruzom dostęp do naszych haseł. backup lub podobne: inurl:admin intitle: index.doc. ale dobrze sprawdzają się kombinacje słów account. passwd. które mają za zadanie ochraniać naszą prywatność. nież znaleźć dane teleadresowe w postaci list nazwisk. administrators. Dane osobowe i dokumenty poufne Rysunek 11. numer telefonu.mdb i . .txt. a pozna nasz adres. że intruz uzyska dostęp do poczty elektronicznej zawierającej nasze Curriculum Vitae wysłane podczas poszukiwania pracy. admin.org/thc-amap/ – skaner amap.ihackstuff.com – największe repozytorium informacji o Google hacking.

które mogą zawierać wiadomości e-mail raporty z badania bezpieczeństwa sieci. camera intitle:"active webcam page" nek 11).LCDispatcher intitle:liveapplet inurl:LvAppl intitle:"EvoCam" inurl:"webcam.html" intext:"settings" intitle:"Dell Laser Printer" ews intext:centreware inurl:status inurl:hp/device/this. że prawie wszyscy użytkownicy Internetu tworzą różnego rodzaju elektroniczne książki adresowe – mają one niewielkie znaczenie dla 12 www. zwłaszcza jeśli dotyczą kontaktów w obrębie jednej firmy.xls" które wyszu. zestawienia finansowe i numery kart kredytowych pliki maillog.of finances.xml filetype:ctt "msn" filetype:QDF QDF intitle:index. ale już wprawiony socjotechnik będzie potrafił wykorzystać zawarte w nich dane. Dosyć dobrze w tym przypadku sprawdza się na przykład pytanie: filetype: xls inurl:"email. Wynika to z faktu. Tabela 8.of mystuff.blt intitle:index.hakin9.html" inurl:"ViewerFrame?Mode=" (intext:"MOBOTIX M1" | intext:"MOBOTIX M10") intext: "Open Menu" Shift-Reload inurl:indexFrame. ka arkusze kalkulacyjne o nazwie email. Ciągi charakterystyczne dla urządzeń sieciowych Pytanie "Copyright (c) Tektronix.xls.org hakin9 Nr 3/2005 . Podstawy SNC-RZ30 HOME intitle:"my webcamXP server!" inurl:":8080" allintitle:Brains. które mogą zawierać informacje o kontach bankowych. Inc.xls. Corp. testów penetracyjnych itp.Tabela 7. Szukanie danych osobowych i poufnych dokumentów Pytanie filetype:xls inurl:"email.xls." "printer status" inurl:"printer/main. które mogą zawierać dane teleadresowe dokumenty CV dokumenty opatrzone klauzulą confidential listy kontaktów komunikatora AIM listy kontaktów komunikatora Trillian listy kontaktów MSN baza danych programu finansowego Quicken pliki finances.shtml Axis Urządzenie drukarki PhaserLink drukarki Brother HL drukarki Della z technologią EWS drukarki Xerox Phaser 4500/6250/8200/8400 drukarki HP kamery Canon Webview kamery Evocam kamery Panasonic Network Camera kamery Mobotix kamery Axis kamery Sony SNC-RZ30 kamery dostępne przez aplikację WebcamXP Server kamery dostępne przez aplikację mmEye kamery z interfejsem USB przeciętnego intruza.xls" "phone * * *" "address *" "e-mail" intitle: "curriculum vitae" "not for distribution" confidential buddylist.xls intitle:"Index Of" -inurl:maillog maillog size "Network Vulnerability Assessment Report" "Host Vulnerability Summary Report" filetype:pdf "Assessment Report" "This file was generated by Nessus" Rezultat pliki email.

google. aby uniknąć ujawniania naszych pry- Dzisiejszy świat jest światem informacji. który włamywacz zdobywa w pierwszej kolejności. Co ciekawe. kiedy takie dane miałyby znaczenie (szpiegostwo przemysłowe. plany projektowe. dosyć dużo danych osobowych można znaleźć we wszelkiego rodzaju dokumentach urzędowych – raportach policyjnych. Zastrzeżony dokument odnaleziony przez wyszukiwarkę Wielu administratorów nie traktuje poważnie bezpieczeństwa takich urządzeń. hasła. Wszystko można odnaleźć pod adresem http://www.com. Urządzenia sieciowe Rysunek 12. gdyż bardzo często zawierają wyraz confidential. prezentacje i całe mnóstwo innych wewnętrznych dokumentów firmowych. W Sieci można również odnaleźć dokumenty. napad rabunkowy).org 13 .hakin9. wewnętrzne dokumenty firmowe. procedury oraz zasady postępowania określające wewnętrzny obieg informacji. Włamywaczy interesuje specyficzny rodzaj informacji – dane handlowe. Tabela 7 zawiera kilka przykładowych pytań o dokumenty mogące zawierać dane osobowe i informacje poufne. którym nadano jakąś klauzulę tajności i które tym samym zawierają zastrzeżone informacje.. w wyszukiwarce i jednocześnie zbiorze odnośników do wszystkiego. dokumentacja techniczna. Informacja sama w sobie przybiera bardzo zróżnicowaną postać. zaufanie klientów lub przewaga nad konkurencją. Trzeba tylko pogooglać. takie jak pieniądze. numery kart płatniczych.. jednak nietrudno wyobrazić sobie sytuację. coraz częściej elektroniczną. Firmy i instytucje powinny (a w wielu przypadkach nawet muszą) opracować i wdrożyć odpowiednie regulaminy. pismach sądowych czy nawet kartach przebiegu choroby. więc można je traktować jako rozrywkę. raporty. Odnaleziona przez Google strona konfiguracyjna drukarki HP Podobnie wygląda sytuacja z komunikatorami sieciowymi i zapisywanymi w nich listami kontaktów – po zdobyciu takiego zestawienia intruz będzie mógł próbować podszyć się pod naszych przyjaciół.Google hacking watnych informacji możemy jedynie zachować ostrożność i panować nad publikowanymi danymi. w którym wiedza jest cennym towarem – jej posiadanie przekłada się na realne korzyści. dane teleadresowe. frazę Not for distribution lub podobne (patrz Rysunek 12). Kamery internetowe oczywiście nie są aż tak niebezpieczne. odpowiedzialność i konsekwencje za ich nieprzestrzeganie. Mogą to być plany projektowe. Można je znaleźć. Poufne w indeksie Rysunek 13. jak drukarki sieciowe czy kamery webowe. co może być dostępne w Sieci dla zwykłego użytkownika.n hakin9 Nr 3/2005 www. Tak jak w przypadku haseł. różne ankiety. zaś Rysunek 13 prezentuje znalezioną w sieci stronę konfiguracyjną drukarki. Tymczasem źle zabezpieczona drukarka może być przyczółkiem. Pytania o drukarki i kamery zawiera Tabela 8. a potem wykorzystuje do przeprowadzania ataków na pozostałe systemy w sieci lub poza nią.