Špionáž s Googlem

148
PRAXE
VYHLEDÁVÁNÍ INFORMACÍ
Google jako nebezpečný nástroj
Špionáž s Googlem
Hesla, čísla platebních karet nebo kopie faxů – před hackery se dnes nic neutají. Plošný průzkum
Chipu ukázal, jak je snadné dostat se i k vysoce „citlivým“ informacím.
oogle je nejnebezpečnější webová
stránka na internetu. Každý ji zná,
každý ji používá k vyhledávání. Ale zdaleka ne každý si je vědom toho, že Google
indexuje všechny soubory, které se bez
ochrany „povalují“ po síti – od primitivních záležitostí, např. hesel, až po přísně
důvěrné dokumenty. Zanechali je tam
nedbalí provozovatelé webových stránek,
kteří na svůj server – často nevědomky –
vystavují citlivé informace bez jakékoli
ochrany. „Google hacking“ – tak se začíná říkat novému trendu, díky němuž se
stále více hackerů dostává k přísně utajovaným firemním informacím, aniž by se
museli uchylovat ke komplikovaným
G
nástrojům, jako jsou třeba „Password
Sniffer“ nebo „Portscanner“.
V redakci Chipu jsme se pokusili zjistit, co
všechno je v tomto směru možné. Při našich
„šťárách“ v internetu jsme narazili na věci až
neuvěřitelné: objevili jsme důvěrné powerpointové prezentace velkých koncernů, zálohované e-maily, faxovací nástroje včetně naposledy
odeslaných dopisů a spoustu hesel a čísel
kreditních karet soukromých osob. Ani jedinkrát jsme přitom nemuseli překonávat bariéru
ochrany heslem. Stačí pár promyšlených jednoduchých vyhledávacích kritérií – a Google
už servíruje výsledky jako na stříbrném tácu...
„Jsem úplně bez sebe, když vidím, jak
jsou kolegové neopatrní,“ vyslechli jsme
nejednou od postižených, když jsme je upozornili na bezpečnostní rizika. Přitom tato
problematika není nová, neboť Google soubory indexoval vždycky. „Google hacking, to
je jako naučit starého psa novému kousku,“
říká Johnny Long, jeden z předních expertů
na tuto problematiku.
Že všechny takové informace vypátrá
právě Google, není žádný div. Vždyť tento
vyhledávač provozuje tisíce „webcrawlerů“,
tj. softwarových robotů, které nepřetržitě –
a legální cestou internet prohledávají.
A k tomu ještě Google dostává odkazy od
partnerů, jako je Opera. Reklamou financovaná verze webového browseru posílá Googlu všechny adresní údaje uživatele. Tam jsou
vyhodnoceny, aby Opera mohla připojit vhodné reklamní bannery. Kromě toho pak další
googlovský robot zadanou URL navštíví, aby
C
H
I
P
B
Ř
E
Z
E
N
2
0
0
5
149
GOOGLE JAKO NEBEZPEČNÝ NÁSTROJ
NECHŤ VÁS PROVÁZÍ SÍLA...
NEJDŮLEŽITĚJŠÍ PŘÍKAZY GOOGLU
Google má v databázi naindexovaných přes 8
miliard stránek, což ve výsledku představuje
přes 40 TB dat. To vše má pod kontrolou 30
klastrů, přičemž v každém klastru se „skrývá“
téměř 2000 počítačů. Více informací na
http://insight.zdnet.co.uk/hardware/servers/0,39020445,39175560,00.htm?sel
allintitle:
Tento operátor omezí výsledky hledání jen na ty
stránky, které mají v titulní řádce browseru
všechna zadaná vyhledávací kritéria.
ji zařadil do databanky. Netrpěliví webmasteři do ní dokonce mohou svou adresu zanést
sami přes sekci podpory na domovské stránce Googlu. Že se přitom na index Googlu
dostanou i věci, které by tam raději být
neměly, ukazují následující příklady.
TAJNÉ DOKUMENTY
FIREM I SOUKROMNÍKŮ
Soubory s důvěrnými informacemi najde
Google při vhodném zadání za pár
sekund. Jediným předpokladem je správná volba a kombinace vyhledávacích
pojmů a operátorů. Abychom to vyzkoušeli, vyšli jsme z následující úvahy: své nové
strategie firmy většinou předvádějí pomocí prezentací v PowerPointu; tyto soubory
mají nejčastěji příponu PPT. Aby bylo zřejmé, že v nich obsažené informace nejsou
určeny pro veřejnost, bývá každá stránka
opatřena poznámkou „Confidential“ nebo
„For internal use only“. Hledáme proto
tyto řetězce a do normální zadávací řádky
Googlu píšeme následující řetězec:
ext:ppt "for internal use only"
Za pouhých 0,37 sekundy na nás Google
vychrlil seznam více než stovky souborů,
které přesně odpovídají zadaným podmínkám – mezi nimi dokumenty velkých a známých koncernů.
intitle:
Na rozdíl od „allintitle:“ hledá v titulní řádce jen
první vyhledávací kritérium. Ostatní zadaná
slova hledá v textu.
allinurl:
Tento operátor se používá, mají-li se všechna
jeho vyhledávací kritéria vyskytovat v adrese URL.
inurl:
Podobně jako „intitle:“ hledá tento operátor
v adresní řádce jen první vyhledávací kritérium.
znamenají datum v juliánském formátu.
cache:
Tímto příkazem stahujete nalezenou stránku
přímo z cache Googlu. Je to praktické v případě, že příslušný server už neexistuje.
ext:
Tento operátor omezuje hledání jen na soubory
se zadanou příponou. Alternativně lze použít
také „filetype:“.
site:
Tento příkaz umožňuje hledání na jedné jediné
stránce.
related:
S tímto prefixem vám Google ukáže podobné
webové stránky.
.. (numrange)
Při hledání čísel umožňuje definovat jejich rozsah. Například vyhledávací kritérium
„100..150“ najde všechny stránky s čísly mezi
sto a sto padesáti.
info:
Při zadání tohoto příkazu obdržíte krátký popis
webové stránky.
daterange:123-456
Tímto operátorem můžete zúžit množinu
výsledků na určité časové rozmezí. Parametry
link:
Všechny webové stránky, které odkazují na
zadanou stránku.
vystopovali. První pokus – použití operátoru
ext: – přinesl jen málo uspokojivé výsledky.
Využíváme proto skutečnosti, že adresáře
začínají na „Index of /“. Tak ovšem Google
najde přes 20 milionů webových stránek.
Rešerši proto omezujeme pouze na složky
se soubory MP3 a náš „Google hack“ spouštíme zadáním
"Index of /" +MP3
Po tomto požadavku (který se pochopitelně
dá upřesnit např. zadáním oblíbeného titu-
lu hledajícího) nabídl Google skoro 800
000 výsledků...
NEZAJIŠTĚNÉ INTERNETOVÉ OBCHODY NECHRÁNÍ ZÁKAZNICKÁ DATA
Vzdor stále sofistikovanějším autentizačním systémům zejí v mnoha „webshopech“
bezpečnostní mezery velké jako vrata od
stodoly. Odnášejí to zákazníci, neboť hackeři pak hravě zjistí jejich hesla, adresy
a čísla platebních karet.
Snažíme se Google přimět, aby pro nás
nějaká čísla platebních karet vypátral. Nejprve
ILEGÁLNÍ MP3 V ARCHIVNÍCH
A ZÁLOŽNÍCH SLOŽKÁCH
Google nám však na internetu najde nejen
jednotlivé dokumenty. Mnozí vlastníci
„webového prostoru“ využívají místo na síti
také jako praktické řešení pro zálohování
dat. Pak se ovšem řada uživatelů může
ocitnout v zaměřovači lovců pirátských
kopií IFPI (International Federation of the
Phonographic Industry) a BSA (Business
Software Alliance) – a to tehdy, mají-li na
svém webovém serveru „empétrojky“
a software a tak je nevědomky dávají
k dispozici pro stažení.
Opět se pokoušíme vymyslet nějaké klíčové slovo, jímž bychom na síti takové složky
C
H
I
P
B
Ř
E
Z
E
N
2
0
0
5
Zvláště úřady
v USA nasazují
webmailové servery, které ještě
stále vykazují bezpečnostní mezery.
150
PRAXE
VYHLEDÁVÁNÍ INFORMACÍ
to zkoušíme s operátorem „numrange“. Rozhodujeme se pro karty Visa a zadáváme „visa
4060000000000000..4060999999999999".
Všechna čísla Visa karet začínají čtyřčíslím
4060, takže zadaným intervalem jsou pokryty všechny možné číselné kombinace. Akce
zůstává bez úspěchu, neboť Google mezitím
tento pojem odfiltroval. Existují však další
možnosti: hledáme přímo databanky a webové stránky s uživatelskými daty – a nalézáme.
Prohledávat jednotlivé URL adresy podle
„loginů“ se nám daří s docela nevinně vyhlížejícím zadáním:
ZABEZPEČTE SVŮJ SERVER PROTI „GOOGLE HACKINGU“
inurl:"login.asp"
Předpokladem pro instalaci Wikto je
.NET-Framework od Microsoftu a platný
klíč pro Google API. Zmíněný .NET-Framework
najdete na www.microsoft.com/downloads/
nebo na CD se Service Packem 2 ve složce
„dotnetfx“.
Objevujeme tak přes tři miliony webových
stránek – a všechny představují potenciální
cíle pro tzv. SQL Injection Attack. Výsledkovou
listinu redukujeme pomocí operátoru intitle:,
který umožňuje cílené hledání určitých verzí
softwaru internetových obchodů. Šokujícím
zjištěním bylo, že pomocí známého „exploitu“
jsme se dokázali „vloupat“ hned do prvního
webshopu. Kromě hesel pro přístup administrátorů jsme tam našli i všechna data zákazníků se seznamy nákupů, a nechyběla dokonce
ani čísla jejich platebních karet.
ŠPIONÁŽ POMOCÍ FAXSERVERŮ,
TISKÁREN A WEBOVÝCH KAMER
Nesčetné faxové přístroje, kopírky a především webové kamery jsou k síti připojeny
bez ochrany heslem. Chceme zjistit, jaká
tajemství mohou takové přístroje „vyžvanit“.
Při zátahu na „Network Attached Devices“,
jako jsou webové kamery, faxy a kopírky, se
opět uchylujeme k operátoru intitle: a zkoušíme to s hledacím pojmem
intitle:"Home" "Xerox Corporation" "Refresh Status"
Nechcete-li se stát další obětí hackerů útočících
pomocí Googlu, nejlepší možností je freeware
Wikto od firmy Sensepost. Tento program využívá
„Google Hacking Database“ Johnnyho Longa
a její pomocí poznává všechny známé „googlovské finty“. Nástroj i zmíněnou databázi získáte na
webové stránce www.sensepost.com/research/wikto/. Pokud si nástroj stáhnete, najděte
s ním nejprve všechny bezpečnostní díry, které
vám hrozí, a pak je můžete podle našeho návodu
spolehlivě „ucpat“.
1
by hackerům mohly posloužit jako vstupní
brána útoku.
Abyste zabránili „Google hackingu“,
každopádně byste měli ohrožené soubory ze serveru odstranit – pokud je to možné.
4
Avšak ani složky a soubory, které nemohou být tak snadno vymazány, se
v Googlu nemusí bezpodmínečně objevit. Už
před delším časem formulovaná „síťová etiketa“ požaduje, aby si každý vyhledávací robot
nejprve z kořenového adresáře webového serveru načetl soubor „robots.txt“ a dbal jeho
údajů. V tomto souboru definujete, které adresáře nesmějí být indexovány. Jeho přesnou syntaxi najdete na www.robotstxt.org. Nezapomeňte ale na to, aby tyto složky a soubory byly pro
veřejnost nepřístupné!
5
Klíč pro Google API potřebujete k tomu,
abyste měli automatický přístup
k vyhledávací službě. Klíč je zdarma, musíte se
však nejprve přihlásit na
www.google.com/apis/. Tam pak obdržíte klíč,
který následně sdělíte nástroji Witko pod SystemConfig / Google Key. Poté otevřete položku
menu Google Hacks a pod Load GHDB si stáhněte XML soubor „Google Hacking Database“.
Jakmile se jednou webová stránka ocitne v indexu Googlu, je možné se ještě
pokusit o její odstranění z cache vyhledávače.
K tomu však musí administrátor domény podniknout jisté kroky, které Google dokumentuje
na www.google.com/remove.html. Nejdůležitějším předpokladem přitom však je, aby dotyčná
stránka už nebyla na webovém serveru.
Tím jsou všechny přípravy dokončeny.
Do pole Target zadejte svou doménu
a prostřednictvím Start GH odstartujte „pátrací
akci“. Asi po pěti minutách je nástroj hotov
s „pročesáváním“ hledacích pojmů a nabídne
kompletní seznam všech nalezených URL, které
Tip Chipu: K zabezpečení svých souborů
nepoužívejte metody jako Java Check nebo
JavaScript Check. Tyto klientsky orientované
prostředky rozlousknou hackeři během několika minut. Používejte raději kontroly heslem,
které vám poskytuje webový server.
2
3
jímž na internetu napoprvé nalézáme 21
kopírek firmy Xerox. V několika případech se
dokonce daří prohlédnout si dříve kopírované dokumenty. Jako špionážní nástroj
6
mohou fungovat i webové kamery. Ty se
často využívají pro střežení místností a dalších prostorů. Bereme si na mušku software
WebcamXP a zároveň využíváme operátor
inurl: takto:
intitle:"my webcamXP server!"
inurl:":8080"
Alarmující výsledek: na síti nacházíme 45
webových kamer, některé bez ochrany heslem. Ty pak dovolují nahlížet do cizích bytů
nebo sledovat lidi při práci. Dalších 49
„hacků“ s on-line přístroji uvádí „Google
Hacking Database“ Johnnyho Longa –
a stále jich přibývá.
U mnoha přístrojů
je možné stáhnout
tiskové úlohy
a manipulovat
s nimi.
PRŮNIK DO CIZÍHO
POČÍTAČE PŘES EMULE & CO.
Stále více uživatelů internetu objevuje
funkce pro vzdálenou správu, které nabízí dokonce klient pro sdílení souborů
C
H
I
P
B
Ř
E
Z
E
N
2
0
0
5
GOOGLE JAKO NEBEZPEČNÝ NÁSTROJ
ALTERNATIVY GOOGLU
Nemusí to být pořád jenom Google. Tento
oblíbený program sice nabízí nejlepší operátory, které vyhledávání zefektivňují, ale také
s jinými vyhledávači, jako je Altavista,
a dokonce i s P2P programy, jako je Kazaa
a eMule, se dá najít mnoho zvláštností.
S vhodnými vyhledávacími údaji
najde Google tajné
dokumenty
a důvěrné prezentace, které by na
internetu vlastně
vůbec neměly být.
eMule. Pro hackery jsou takové programy
často vstupní branou do cizích sítí. Typickými „remote loginy“, které jsme nacházeli velmi často, byly „eMule“, vzdálená
správa „VNC Desktop“ a „Windows Remote Workplace“. K vyhledání takových
stránek hackeři i zde typicky používají
operátor intitle:, případně allintitle:,
poněvadž se služby dají identifikovat
podle titulní řádky. Přes tisíc stránek
obsahujících „Outlook Web Access“ jsme
našli po zadání
hackeři nasadit nástroje, které jako
hesla prostě zkoušejí všechny možné
znakové řetězce.
WEBMAILOVÉ ÚČTY PRO SPAMMERY A PODVODNÍKY
Pár tuctů VNC loginů nám přinesla řádka
Vzdálená správa také zajišťuje mnohým
administrátorům klidnou cestu na víkend.
Ať už se jedná o poštovní server nebo
směrovač, všechno už dnes lze konfigurovat přes internet. Hledáme poštovní server firmy Argosoft. Víme totiž, že kvůli
chybě v softwaru mailserveru je možné
získat přistup k webové stránce pro zřízení nových účtů, aniž by bylo nutno se předem autentizovat. Po zadání jednoduchého „Google hacku“
intitle:vnc.desktop inurl:5800
"adding new user" inurl:addnewu-
allintitle:microsoft outlook web
access - logon
ser -"there are no domains"
Vzhledem k tomu, že desktop VNC běží
na portu 5800, operátor „inurl:5800“
omezí hledání jen na ty stránky, které
jsou pod tímto portem také k dispozici.
Poněvadž mnohé programy nijak nelimitují počet chybných pokusů, mohou zde
ihned nalézáme kolem 40 domén, u nichž si
můžeme zřídit mailový účet. Což je zjištění
téměř skandální, uvážíme-li, že se účty dají
zneužít nejen k podvodným trikům, ale i pro
anonymní spam.
Altavista: Tento nestor mezi vyhledávači se
osvědčuje především při vyhledávání zvukových dat. Google totiž mnohé nalezené soubory s příponou MP3 odfiltruje; hledání
s operátorem „filetype:“ je proto bezúčelné.
Naproti tomu Altavista nabízí pro hledání
audioformátů vlastní rubriku.
Sítě P2P: Rešerše v odpovídajících sítích
„peer-to-peer“ může být také hodně podnětná. Kolik jen nedbalých uživatelů dává
„všanc“ namísto jednoho souboru hned celý
pevný disk – se všemi konsekvencemi! A tak
se např. s eMule dají najít celé stovky zálohovaných e-mailů a důvěrných dokumentů.
CO GOOGLE HACKERŮM NEŘÍKÁ –
A PŘECE PROZRAZUJE
Pokud chce webmaster zabránit prohledávání některých oblastí, může určité adresáře vyloučit pomocí „robots.txt“. To byl
pro nás dostatečný důvod, abychom právě
takové adresáře důkladněji prozkoumali.
Soubor „robots.txt“ je zcela normální textový soubor, v němž je za klíčovým slovem
"Disallow:" v každé řádce popsán podadresář, který roboty nemají prohledávat. Jde
přitom o složky, které jsou sice veřejně přístupné, ale ve velkých vyhledávačích, jako
je Google, se nikdy neobjevují. Abychom
přesto vypátrali, co se v takových adresářích skrývá, zadáváme do adresní řádky
prohlížeče jméno domény, např. www.whitehouse.gov, následované skrytým adresářem /911/patriotism/text/, jak nám ho
prozradil náš poslední hack:
ext:txt robots
Proč tam však Bílý dům ukrývá vlastenecké
dopisy dětí, ovšem přece jen zůstalo tajemstvím...
Valentin Pletzer, [email protected]
Na nekorektních
webmailových serverech si mohou
hackeři a spammeři zřizovat mailové účty.
C
H
I
P
B
Ř
E
Z
E
N
2
0
0
5
DALŠÍ INFORMACE
http://johnny.ihackstuff.com
www.google.com/apis/
www.searchlores.org
151