Nootropic.me

再考:GoogleHacking

検索エンジンというとGoogle、Yahoo、Bing....様々な検索エンジンが存在する。

今回はそんな検索エンジンの一つであるGoogleを使ったGoogleHackingについて再考していきたいと思う。

尚、本ページ内の表現や内容に誤りがある可能性については事前に陳謝しておく。


  1. GoogleHackingとは
  2. GoogleHackingとは検索エンジンGoogleを使ってアプリケーションの脆弱性やサーバに置かれている見られたくないファイルを探し出す手法である。

    例えば「filetype:bak intext:php」などと検索するとphpのバックアップファイルが検索に引っかかってしまう。

    これは、phpファイルのソースコードが読めてしまうため現在稼働しているPHPアプリケーションに脆弱性が存在した場合比較的容易に脆弱性を見つけることが出来るのだ。

    また「intitle:”Index of/”」と検索するとサーバのディレクトリに置かれているファイルを参照することが出来てしまう。

    下の記事では「検索一発で3分ハッキング」と題されている。Googleの検索エンジンを使えば脆弱性を見つける時間はカップラーメンを作る時間とさして変わらないのかもしれない。

    検索一発で3分ハッキング

  3. 手法
  4. GoogleHackingの手法は先程紹介したものだけではない。

    「intext:"Warning: pg_connect(): Unable to connect to PostgreSQL server: FATAL" filetype:php」

    PostgreSQLに接続する際に発生したエラーから脆弱性を見つけ出す。

    「filetype:bak intext:php」

    開発者は古いphpファイルのソースコードをbak拡張子やold拡張子で保存していることがある。中には現在サーバで稼働しているPHPアプリケーションのものがあるかもしれずそれらは攻撃者にヒントを与えることになる。

    「inurl:php?id=1」

    クエリパラメータがSQLに使われていて尚且つSQLインジェクションの脆弱性があった場合パラメータに特定の文字列を入力することで攻撃を行うことが出来る。また稀にXSSやFullPathDisclosureの脆弱性を孕んでいる可能性もある。

    「intitle:"index of/" <filename>」

    サーバのディレクトリに置かれている<filename>を検索する。

    etc...
  5. 逮捕事例
  6. いくらファイルが公開されているからと言って不用意にアクセスすると最悪逮捕されてしまうことがある。

    2013年3月、AT&T社のウェブサイトから、意図無く公開されていた情報を入手したとしてアンドルー・「ウイーヴ」・オーレンハイマーが有罪になり、3年半の禁錮を命じられた。

    ただGoogleの検索オプションは正しく使えばユーザの味方になってくれる。

    「filetype:pdf 検索ワード」で調べれば検索ワードに関するPDFファイルを効率的に探すことが出来るし、「related:URL」を使えばURLに関連したサイトを検索することが出来る。

    包丁は料理に使えて便利だが使い方次第では人を殺せる道具になるようにGoogle検索も使い方次第ではどちらにでも転ぶのだ。

  7. GoogleHacking対策
  8. GoogleHackingへの対策として必要なのが不用意にサーバに見られては困るファイルを置かないのとサーバの設定をしっかりとすることだと思われる。

    例えばサーバにbakファイルやincファイルなんかを置いていたらそこからWebアプリケーションの脆弱性を探されるし、サーバの設定が杜撰であればサーバのディレクトリに置いてある見られたくないファイルを参照されてしまう。(見られたくないファイルを置いておくなという意見もあるかもしれないが・・・)


Author:ラロ