GOOGLE HACKING - Blog da Newton - Newton Paiva

Click here to load reader

  • date post

    09-Feb-2022
  • Category

    Documents

  • view

    3
  • download

    0

Embed Size (px)

Transcript of GOOGLE HACKING - Blog da Newton - Newton Paiva

Sérgio Henrique de Moraes2
RESUMO: O presente trabalho apresenta os mecanismos de busca do Google para localizar vulnerabilidade na segurança na Internet e como explora-las e com
base nessa análise quais os mecanismos de proteção podem ser usados para prevenir ataques através do Google.
PALAVRAS-CHAVE:Google, Hacking, Invasão, Proteção, Ataque, Busca.
1 INTRODUÇÃO
A informação, na visão de Rezende e Abreu (2000), é o
dado com uma interpretação lógica ou natural agregada pelo
usuário. A informação é um ativo que, como qualquer outro ativo
importante para os negócios, tem um valor para a organização
e, consequentemente, necessita ser adequadamente protegido
(NBR ISO/IEC 27001, 2005). Como salienta Dias (2000), a infor-
mação é o principal patrimônio da empresa e está sobre cons-
tante risco. Segundo Lyra (2008) a informação é o bem mais
precioso e estratégico do século XXI. A preocupação com as
ameaças à confidencialidade, integridade e disponibilidade tam-
bém é crescente e o assunto tem sido tratado nas reuniões de
grandes corporações.
ponto de merecer cuidados especiais. Por outro lado, uma de-
terminada informação pode ser tão vital que o custo de sua inte-
gridade, qualquer que seja ainda será menor que o custo de não
dispor dela adequadamente.
mação, podem ser essenciais para preservar a competividade, o
faturamento, a lucratividade, o atendimento aos requisitos legais
e a imagem da organização no mercado.
Diariamente as organizações privadas e públicas ao redor
do mundo são colocadas à prova quanto a sua vulnerabilidade à
segurança da informação de uma variedade de fontes, incluindo
fraudes eletrônicas, espionagem, sabotagem, vandalismo, fogo
ou inundação. Transtornos causados por vírus e hackers estão
se tornando cada vez mais comuns, mais ambiciosos e incrivel-
mente mais sofisticados.
que se refere à conectividade: páginas na web, e-mails, redes
sociais, dispositivos móveis entre outros recursos. Esse movi-
mento não é exclusivo de pessoas, mas também de empresas
de pequeno porte a grandes corporações.
Toda empresa hoje possui o seu site na web, este por sua
vez é indexado pelo Google que provê um excelente buscador
com uma interface com o seu inconfundível Look and Feel3 que
é protegido por direitos autorais e por uma boa razão. É limpa e
simples. O que a maioria não percebe é que a interface é tam-
bém extremamente poderosa.
O Google em 1996 possuía 25 milhões de páginas indexa-
das, contra 40 bilhões em 2010. Colocando essa informação em
perspectiva, para exibir todos os sites indexados pelo Google
em 2010, teríamos que usar um monitor com 9.660,000 quilô-
metros de ponta a ponta ou 241 vezes o comprimento da linha
do Equador.
Se alguém dedicar um minuto a cada página existente no
Google em 2010, esta pessoa levaria 38,026 anos para ver to-
das; o Google leva 0,5 segundos no máximo.
Os números do Google de fato nos impressionam e pode-
mos ficar ainda mais impressionados com a nossa vulnerabilida-
de na internet. Com tantas páginas indexadas diariamente como
podemos tirar aproveito dessas informações?
Existe uma linha tênue entre o bem e o mal principalmente
quando se está na web, onde existe a falsa ideia de que os cri-
mes cometidos pela Internet não são punidos, portanto fica a
cargo do usuário escolher o seu caminho.
2 CONSTRUINDO CONSULTAS NO GOOGLE
Construir consultas no Google é um processo (LONG).
É altamente possível criar uma consulta ineficiente, mas com
o crescimento explosivo da Internet e do tamanho do cache
do Google, uma consulta ineficiente pode prover excelentes
resultados amanhã, ou no mês que vem, ou até mesmo ano
que vem. A ideia por trás de uma consulta realmente efetiva
no Google é ter uma ideia firme sobre a sintaxe básica e, em
seguida, visando obter resultados melhores é a compreensão
das técnicas de construção de busca visando aprimorar o re-
sultado final da busca.
pesquisar e obter melhores resultados utilizando o Google é
necessário entender algumas regras básicas adotadas pelo
PÓS EM REVISTA l 359
Google em sua ferramenta de busca.
- Consultas no Google não usa case sensitive4: Para o
Google se uma busca for realizada em caixa alta ou não,
por exemplo, a palavra Hacker: hAcKeR ou haCKeR, a
palavra a ser pesquisa é a Hacker. Isso é especialmen-
te importante quando é realizada a procura por códigos
fontes, quando o termo da busca possui um significado
para o programador. A única exceção é com a palavra
or. Quando usado o operador Booleano or este deve ser
escrito em caixa alta, assim OR.
- Curingas: O conceito de curingas do Google não é
o mesmo conceito de curingas de um programador. A
maioria considera que os curingas são representações
simbólicas de qualquer letra (fãs de UNIX logo pensam
no ponto de interrogação) ou qualquer outra série de
letras representadas por um asterisco (*) quando na
verdade o asterisco representa nada mais do que uma
única palavra na frase pesquisada. Usando um asterisco
no início ou no final de uma palavra o Google não irá
exibir mais resultados por si só.
- O Google reserva o direito de ignorar você: O Goo-
gle ignora certas palavras comuns, caracteres e pala-
vras soltas na pesquisa. Podemos chamar isso de stop
words5. Quando o Google ignora qualquer uma das
palavras pesquisadas, na versão anterior do Google,
uma notificação era exibida na página de resultado, logo
abaixo da caixa de busca, mas como houve modifica-
ções na interface de todos os produtos do Google essa
notificação não é mais exibida. Palavras, se pesquisa-
das individualmente, o Google não irá ignora-las. Outra
maneira de incluir palavras ignoradas na pesquisa é in-
cluir o símbolo de + na palavra ignorada. Por exemplo,
a palavra para deve ser pesquisada assim: +para sem
aspas e sem espaço, assim a palavra para não foi igno-
rada e a quantidade de registros encontrados agora é
de 2.520,000 totalizando em 980,000 registros a mais.
O interessante é que mesmo com um número maior de
resultados obtidos o tempo de pesquisa é menor.
3 PESQUISA
No Google, a pesquisa não se baseia na procura de infor-
mações sensíveis como usuários e senhas, mas sim em focar
no que se procura, visando usar essas informações para seus
próprios objetivos. Entretanto os exemplos apresentados repre-
sentam o nível mais baixo de uma árvore de segurança. Encon-
trar esse tipo de dados é parte da rotina básica de um hacker.
Existem várias formas de se conseguir o nome de usuário e
senha utilizando o Google. Um excelente exemplo é o registro do
Windows, responsável por armazenar todo tipo de informações
para autenticação desde nome de usuário até chaves de regis-
tros de programas. Entretanto é raro e muito incomum encontrar
esse tipo de informação ao vivo, visto que é necessário exportar
esse registro e disponibiliza-lo na web. No momento que esse
artigo foi escrito existia cerca de 289 resultados da consulta:
filetype:reg HKEY_CURRENT_USER username, responsável por
localizar arquivos de registro do Windows que contenham a pa-
lavra username e em alguns casos a senha, conforme demostra-
do na figura 1.
360 | PÓS EM REVISTA
Qualquer invasor talentoso ou profissional de segurança
dirá que é raro conseguir acesso a esse tipo de informação dis-
ponibilizada tão facilmente. A maioria das descobertas conside-
ráveis precisam de persistência, criatividade, inteligência e um
pouco de sorte. Por exemplo: considere o portal Microsoft Ou-
tlook Web Access que pode ser localizado pela busca inurl:root.
asp?acs=anon. Nesta pesquisa, pouco mais de 5 registros fo-
ram retornados por essa consulta. Certamente existe mais que
5 sites rodando o webmail da Microsoft. Infelizmente não é in-
comum encontrar empresas que hospedam esse serviço com
algum diretório público conforme demostrado na figura 2.
Um diretório público permite acesso a página de busca que
por sua vez pode ser utilizada para encontrar usuários pelo nome.
Na maioria dos casos, buscas utilizando curingas não são permi-
tidas nos diretórios públicos, portanto pesquisas usando * não
retornaram a lista de usuários. Procurar por espaços é uma ideia
interessante, devido a grande maioria, se não em sua totalidade,
possuir espaço na descrição do nome, entretanto em diretórios
grandes a mensagem de erro “Essa consulta retornou muitos en-
dereços” será apresentada. Aplicando um pouco de criatividade,
um invasor pode começar a pesquisa procurando por letras indi-
viduais comuns como A, E, I, O, U, R, S, T, L e N. Eventualmente
uma dessas pesquisas irá retornar vários registros. Uma vez que
a lista de usuários é acessível.
Uma consulta realmente efetiva no Google é ter uma ideia
firme sobre a sintaxe básica e, em seguida, visando obter resulta-
dos melhores, é a compreensão das técnicas de construção de
busca visando aprimorar o resultado final da busca.
3.1 PROCURANDO POR SENHAS
Senhas, um dos segredos mais desejados durante uma in-
vasão, deveriam ser protegidas. Infelizmente é possível usar vá-
rias formas de pesquisa no Google para localizar senhas na Web.
Na maioria dos casos, senhas descobertas na Web são crip-
tografadas ou codificadas de alguma maneira. Na maioria dos
casos essas senhas podem ser quebradas usando algumas fer-
ramentas de quebra criptografica, permitindo que a senha seja
usada em uma invasão.
pesquisa 178 registros, ao clicar no primeiro registro foi possível
ver o nome de usuário, senha, nome e o e-mail conforme figura 3.
PÓS EM REVISTA l 361
3 .2 PROCURANDO POR NOMES, TELEFONES, E-MAILS
A quantidade de informações sensíveis disponíveis na internet
é assustadora. A preocupação com dados sensíveis não deve par-
tir somente das empresas mas de seus empregados. Ao pesquisar
pelo termo filetype:xls inurl:”email.xls” o Google retornou na pes-
quisa 914 resultados. Em poucos cliques é possível ter acesso a
conversas de e-mail, telefone residencial, nome completo, número
de registro de empregado, ramal e etc. O grande problema é que
a maioria desconhece que seus dados estão visíveis na internet.
Pode-se supor que um funcionário em sua residência toma algu-
mas precauções visando não se expor na internet, mas por uma fa-
lha da empresa em que trabalha, as informações mais detalhadas
estarão disponíveis.
A figura 4 é uma planilha que registra o envio e recebimento de
e-mails incluindo o remetente, destinatário bem como as primeiras
palavras do e-mail e do seu conteúdo de uma instituição de ensino.
A figura 5 é uma planilha de uma empresa de engenharia e manufatura no segmento de energia e infraestrutura. A planilha
contem o número do empregado, nome completo e o e-mail. A planilha contem 668 registros.
A figura 6 é uma planilha de um conselho de pesquisa agrícola onde é possível saber o telefone comercial, residencial, celular
e e-mail dos empregados inclusive dos diretores gerais.
362 | PÓS EM REVISTA
parc.gov.pk/Ph-Dir.html um documento com o telefone comer-
cial e alguns e-mails conforme demonstrado na figura 7, repare
que o público não tem acesso ao e-mail do diretor geral e o
telefone listado não é o seu ramal direto, possivelmente ao ligar
no telefone uma secretaria atenderá a ligação.
Conforme demostrado na figura 6 é possível ter acesso ao telefo-
ne residencial do diretor geral bem como o seu celular e a partir dessas
informações é possível descobrir o endereço de sua residência.
3.3 INVASÃO DE PRIVACIDADE
Nem mesmo as câmeras de segurança interna de empresas
ao redor do mundo estão a salvo da privacidade. Ao pesquisar pelo
termo inurl:IndexFrame.shtml “Axis Video Server” várias câmeras
de segurança são expostas. A figura 8 exibe as 4 câmeras de se-
gurança de uma loja de conveniência.
As câmeras da figura 9 estão foram monitoradas desde o início
da pesquisa. O fator preocupante é que desde então a empresa
permanece fechada sem nenhuma movimentação ao longo do dia
e noite. É possível ver o nome da empresa escrito no tapete na
porta de entrada. Pelo IP das câmeras é possível localizar o en-
dereço, site e telefone da empresa.
PÓS EM REVISTA l 363
SITES PRIVADOS
gle. Empresas e governos optam por fazer esse processo por
que algumas páginas não devem ser acessadas pelo público.
A consulta que retorna esses registros é “robots.txt” “disallow:”
filetype:txt.
Na figura 10 podemos ver alguns sites que foram ocultos.
364 | PÓS EM REVISTA
3.4 IMPRESSORAS
Através do Google é possível monitorar, configurar e imprimir documentos. A pesquisa que retorna esses registros é
inurl:”port_255” –htm. A figura 11 mostra uma impressora localizada no campus de uma Universidade.
Ao clicar no botão Print é possível selecionar um documento no computador local e imprimi-lo conforme demostrado na figura 12.
PÓS EM REVISTA l 365
A figura 13 mostra que o documento foi enviado e impresso com sucesso.
3.5 CARTÃO DE CRÉDITO
veis para encontrar números de cartões de créditos será descri-
to. Não existe uma palavra mágica que retorne os números de
cartão de crédito, é necessário percorrer falhas vasculhando por
esse tipo de informação. O termo utilizado nessa pesquisa foi:
intitle:index.of balance.xls+x. As figuras abaixo demonstram o
nome completo, endereço, telefone, itens comprados e o núme-
ro do cartão de crédito, que por questões de segurança não são
exibidos em sua integridade.
366 | PÓS EM REVISTA
tidade expressiva de informações sigilosas e sensíveis que de-
veriam ser de acesso restrito, porém estão expostas ao mundo
através de simples consultas no Google. A exposição de infor-
mações contempla desde governos, grandes empresas e usu-
ários comuns. Funcionários estão sendo expostos sem o seu
consentimento e conhecimento.
de segurança da informação. A facilidade de acesso à tecnolo-
gia é louvável, mas a falta de capacitação técnica por parte de
seus usuários é preocupante.
Não é necessário ser um hacker para ter acesso a essas in-
formações basta ser uma pessoa curiosa e com habilidade para
pesquisar e investigar. Hoje com o advento das redes sociais,
informações que antes eram difíceis de conseguir podem ser
acessadas a alguns cliques como, por exemplo: quem são os
familiares de determinada pessoa? Onde ela trabalha? Estuda?
e etc.
seus próprios usuários sem levar em considerações questões
de segurança da informação e o mais perigoso, a sua própria
segurança.
REFERÊNCIAS DIAS, Cláudia. 2000. Segurança e Auditoria da Tecnologia da Infor- mação. Rio de Janeiro: Axcel Books.
LONG, Johnny. 2007. Google Hacking for Penetration Testers. Google Hacking: Teste de Invasão. Rockland, Massachusetts, EUA: Syngress.
LYRA, Maurício Rocha. 2008. Segurança e Auditoria em Sistemas de Informação. Primeira Edição. São Paulo, Ciência Moderna.
NBR ISSO/IEC 27001. 2005. Tecnologia da Informação. Técnicas de Segurança – Sistemas de Gerência da Segurança da Informação. Asso- ciação Brasileira de Normas Técnicas. Rio de Janeiro.
REZENDE, Denis Alcides e ABREU, Aline França. 2000. Tecnologia da Informação Aplicada a Sistemas de Informação Empresariais. São
Paulo: Altas
NOTAS DE RODAPÉ 1 Professor/Coordenador do Curso de Sistemas de Informação do Cen- tro Universitário Newton Paiva. [email protected]
2 Graduando do curso de Sistemas de Informação do Centro Universitá- rio Newton Paiva. [email protected]
3 Look and Feel é um termo usado na descrição dos produtos e áre- as, como a concepção de produtos, marketing e etc. Na concepção do software o termo Look and Feel é utilizado em relação a interface gráfi- ca do usuário e compreende os aspectos da sua concepção, incluindo elementos como cores, formas, disposição e tipos de fonte (o “Look”), bem como o comportamento de elementos dinâmicos tais como botões, caixas, e menus (o “Feel”). Look and Feel também pode referir-se aos aspectos de uma API.
PÓS EM REVISTA l 367