Download - GOOGLE HACKING - Blog da Newton - Newton Paiva

358 | PÓS EM REVISTA

GOOGLE HACKINGAlex Sander de Oliveira Toledo 1

Sérgio Henrique de Moraes2

RESUMO: O presente trabalho apresenta os mecanismos de busca do Google para localizar vulnerabilidade na segurança na Internet e como explora-las e com

base nessa análise quais os mecanismos de proteção podem ser usados para prevenir ataques através do Google.

PALAVRAS-CHAVE:Google, Hacking, Invasão, Proteção, Ataque, Busca.

1 INTRODUÇÃO

A informação, na visão de Rezende e Abreu (2000), é o

dado com uma interpretação lógica ou natural agregada pelo

usuário. A informação é um ativo que, como qualquer outro ativo

importante para os negócios, tem um valor para a organização

e, consequentemente, necessita ser adequadamente protegido

(NBR ISO/IEC 27001, 2005). Como salienta Dias (2000), a infor-

mação é o principal patrimônio da empresa e está sobre cons-

tante risco. Segundo Lyra (2008) a informação é o bem mais

precioso e estratégico do século XXI. A preocupação com as

ameaças à confidencialidade, integridade e disponibilidade tam-

bém é crescente e o assunto tem sido tratado nas reuniões de

grandes corporações.

Entretanto nem toda informação é crucial ou essencial a

ponto de merecer cuidados especiais. Por outro lado, uma de-

terminada informação pode ser tão vital que o custo de sua inte-

gridade, qualquer que seja ainda será menor que o custo de não

dispor dela adequadamente.

Confidencialidade, integridade e disponibilidade da infor-

mação, podem ser essenciais para preservar a competividade, o

faturamento, a lucratividade, o atendimento aos requisitos legais

e a imagem da organização no mercado.

Diariamente as organizações privadas e públicas ao redor

do mundo são colocadas à prova quanto a sua vulnerabilidade à

segurança da informação de uma variedade de fontes, incluindo

fraudes eletrônicas, espionagem, sabotagem, vandalismo, fogo

ou inundação. Transtornos causados por vírus e hackers estão

se tornando cada vez mais comuns, mais ambiciosos e incrivel-

mente mais sofisticados.

Por necessidade o mundo caminha na mesma direção no

que se refere à conectividade: páginas na web, e-mails, redes

sociais, dispositivos móveis entre outros recursos. Esse movi-

mento não é exclusivo de pessoas, mas também de empresas

de pequeno porte a grandes corporações.

Toda empresa hoje possui o seu site na web, este por sua

vez é indexado pelo Google que provê um excelente buscador

com uma interface com o seu inconfundível Look and Feel3 que

é protegido por direitos autorais e por uma boa razão. É limpa e

simples. O que a maioria não percebe é que a interface é tam-

bém extremamente poderosa.

O Google em 1996 possuía 25 milhões de páginas indexa-

das, contra 40 bilhões em 2010. Colocando essa informação em

perspectiva, para exibir todos os sites indexados pelo Google

em 2010, teríamos que usar um monitor com 9.660,000 quilô-

metros de ponta a ponta ou 241 vezes o comprimento da linha

do Equador.

Se alguém dedicar um minuto a cada página existente no

Google em 2010, esta pessoa levaria 38,026 anos para ver to-

das; o Google leva 0,5 segundos no máximo.

Os números do Google de fato nos impressionam e pode-

mos ficar ainda mais impressionados com a nossa vulnerabilida-

de na internet. Com tantas páginas indexadas diariamente como

podemos tirar aproveito dessas informações?

Existe uma linha tênue entre o bem e o mal principalmente

quando se está na web, onde existe a falsa ideia de que os cri-

mes cometidos pela Internet não são punidos, portanto fica a

cargo do usuário escolher o seu caminho.

2 CONSTRUINDO CONSULTAS NO GOOGLE

Construir consultas no Google é um processo (LONG).

É altamente possível criar uma consulta ineficiente, mas com

o crescimento explosivo da Internet e do tamanho do cache

do Google, uma consulta ineficiente pode prover excelentes

resultados amanhã, ou no mês que vem, ou até mesmo ano

que vem. A ideia por trás de uma consulta realmente efetiva

no Google é ter uma ideia firme sobre a sintaxe básica e, em

seguida, visando obter resultados melhores é a compreensão

das técnicas de construção de busca visando aprimorar o re-

sultado final da busca.

Antes de aprofundar nas várias maneiras possíveis de

pesquisar e obter melhores resultados utilizando o Google é

necessário entender algumas regras básicas adotadas pelo

PÓS EM REVISTA l 359

Google em sua ferramenta de busca.

- Consultas no Google não usa case sensitive4: Para o

Google se uma busca for realizada em caixa alta ou não,

por exemplo, a palavra Hacker: hAcKeR ou haCKeR, a

palavra a ser pesquisa é a Hacker. Isso é especialmen-

te importante quando é realizada a procura por códigos

fontes, quando o termo da busca possui um significado

para o programador. A única exceção é com a palavra

or. Quando usado o operador Booleano or este deve ser

escrito em caixa alta, assim OR.

- Curingas: O conceito de curingas do Google não é

o mesmo conceito de curingas de um programador. A

maioria considera que os curingas são representações

simbólicas de qualquer letra (fãs de UNIX logo pensam

no ponto de interrogação) ou qualquer outra série de

letras representadas por um asterisco (*) quando na

verdade o asterisco representa nada mais do que uma

única palavra na frase pesquisada. Usando um asterisco

no início ou no final de uma palavra o Google não irá

exibir mais resultados por si só.

- O Google reserva o direito de ignorar você: O Goo-

gle ignora certas palavras comuns, caracteres e pala-

vras soltas na pesquisa. Podemos chamar isso de stop

words5. Quando o Google ignora qualquer uma das

palavras pesquisadas, na versão anterior do Google,

uma notificação era exibida na página de resultado, logo

abaixo da caixa de busca, mas como houve modifica-

ções na interface de todos os produtos do Google essa

notificação não é mais exibida. Palavras, se pesquisa-

das individualmente, o Google não irá ignora-las. Outra

maneira de incluir palavras ignoradas na pesquisa é in-

cluir o símbolo de + na palavra ignorada. Por exemplo,

a palavra para deve ser pesquisada assim: +para sem

aspas e sem espaço, assim a palavra para não foi igno-

rada e a quantidade de registros encontrados agora é

de 2.520,000 totalizando em 980,000 registros a mais.

O interessante é que mesmo com um número maior de

resultados obtidos o tempo de pesquisa é menor.

3 PESQUISA

No Google, a pesquisa não se baseia na procura de infor-

mações sensíveis como usuários e senhas, mas sim em focar

no que se procura, visando usar essas informações para seus

próprios objetivos. Entretanto os exemplos apresentados repre-

sentam o nível mais baixo de uma árvore de segurança. Encon-

trar esse tipo de dados é parte da rotina básica de um hacker.

Existem várias formas de se conseguir o nome de usuário e

senha utilizando o Google. Um excelente exemplo é o registro do

Windows, responsável por armazenar todo tipo de informações

para autenticação desde nome de usuário até chaves de regis-

tros de programas. Entretanto é raro e muito incomum encontrar

esse tipo de informação ao vivo, visto que é necessário exportar

esse registro e disponibiliza-lo na web. No momento que esse

artigo foi escrito existia cerca de 289 resultados da consulta:

filetype:reg HKEY_CURRENT_USER username, responsável por

localizar arquivos de registro do Windows que contenham a pa-

lavra username e em alguns casos a senha, conforme demostra-

do na figura 1.


Qualquer invasor talentoso ou profissional de segurança

dirá que é raro conseguir acesso a esse tipo de informação dis-

ponibilizada tão facilmente. A maioria das descobertas conside-

ráveis precisam de persistência, criatividade, inteligência e um

pouco de sorte. Por exemplo: considere o portal Microsoft Ou-

tlook Web Access que pode ser localizado pela busca inurl:root.

asp?acs=anon. Nesta pesquisa, pouco mais de 5 registros fo-

ram retornados por essa consulta. Certamente existe mais que

5 sites rodando o webmail da Microsoft. Infelizmente não é in-

comum encontrar empresas que hospedam esse serviço com

algum diretório público conforme demostrado na figura 2.

Um diretório público permite acesso a página de busca que

por sua vez pode ser utilizada para encontrar usuários pelo nome.

Na maioria dos casos, buscas utilizando curingas não são permi-

tidas nos diretórios públicos, portanto pesquisas usando * não

retornaram a lista de usuários. Procurar por espaços é uma ideia

interessante, devido a grande maioria, se não em sua totalidade,

possuir espaço na descrição do nome, entretanto em diretórios

grandes a mensagem de erro “Essa consulta retornou muitos en-

dereços” será apresentada. Aplicando um pouco de criatividade,

um invasor pode começar a pesquisa procurando por letras indi-

viduais comuns como A, E, I, O, U, R, S, T, L e N. Eventualmente

uma dessas pesquisas irá retornar vários registros. Uma vez que

a lista de usuários é acessível.

Uma consulta realmente efetiva no Google é ter uma ideia

firme sobre a sintaxe básica e, em seguida, visando obter resulta-

dos melhores, é a compreensão das técnicas de construção de

busca visando aprimorar o resultado final da busca.

3.1 PROCURANDO POR SENHAS

Senhas, um dos segredos mais desejados durante uma in-

vasão, deveriam ser protegidas. Infelizmente é possível usar vá-

rias formas de pesquisa no Google para localizar senhas na Web.

Na maioria dos casos, senhas descobertas na Web são crip-

tografadas ou codificadas de alguma maneira. Na maioria dos

casos essas senhas podem ser quebradas usando algumas fer-

ramentas de quebra criptografica, permitindo que a senha seja

usada em uma invasão.

Ao pesquisar por inurl:auth_user_file.txt o Google retornou na

pesquisa 178 registros, ao clicar no primeiro registro foi possível

ver o nome de usuário, senha, nome e o e-mail conforme figura 3.


3 .2 PROCURANDO POR NOMES, TELEFONES, E-MAILS

A quantidade de informações sensíveis disponíveis na internet

é assustadora. A preocupação com dados sensíveis não deve par-

tir somente das empresas mas de seus empregados. Ao pesquisar

pelo termo filetype:xls inurl:”email.xls” o Google retornou na pes-

quisa 914 resultados. Em poucos cliques é possível ter acesso a

conversas de e-mail, telefone residencial, nome completo, número

de registro de empregado, ramal e etc. O grande problema é que

a maioria desconhece que seus dados estão visíveis na internet.

Pode-se supor que um funcionário em sua residência toma algu-

mas precauções visando não se expor na internet, mas por uma fa-

lha da empresa em que trabalha, as informações mais detalhadas

estarão disponíveis.

A figura 4 é uma planilha que registra o envio e recebimento de

e-mails incluindo o remetente, destinatário bem como as primeiras

palavras do e-mail e do seu conteúdo de uma instituição de ensino.

A figura 5 é uma planilha de uma empresa de engenharia e manufatura no segmento de energia e infraestrutura. A planilha

contem o número do empregado, nome completo e o e-mail. A planilha contem 668 registros.

A figura 6 é uma planilha de um conselho de pesquisa agrícola onde é possível saber o telefone comercial, residencial, celular

e e-mail dos empregados inclusive dos diretores gerais.


Entretanto o conselho disponibiliza em seu site http://www.

parc.gov.pk/Ph-Dir.html um documento com o telefone comer-

cial e alguns e-mails conforme demonstrado na figura 7, repare

que o público não tem acesso ao e-mail do diretor geral e o

telefone listado não é o seu ramal direto, possivelmente ao ligar

no telefone uma secretaria atenderá a ligação.

Conforme demostrado na figura 6 é possível ter acesso ao telefo-

ne residencial do diretor geral bem como o seu celular e a partir dessas

informações é possível descobrir o endereço de sua residência.

3.3 INVASÃO DE PRIVACIDADE

Nem mesmo as câmeras de segurança interna de empresas

ao redor do mundo estão a salvo da privacidade. Ao pesquisar pelo

termo inurl:IndexFrame.shtml “Axis Video Server” várias câmeras

de segurança são expostas. A figura 8 exibe as 4 câmeras de se-

gurança de uma loja de conveniência.

As câmeras da figura 9 estão foram monitoradas desde o início

da pesquisa. O fator preocupante é que desde então a empresa

permanece fechada sem nenhuma movimentação ao longo do dia

e noite. É possível ver o nome da empresa escrito no tapete na

porta de entrada. Pelo IP das câmeras é possível localizar o en-

dereço, site e telefone da empresa.


SITES PRIVADOS

O indexador do Google é bastante eficaz, sendo possível

informar quais páginas não devem ser indexadas pelo Goo-

gle. Empresas e governos optam por fazer esse processo por

que algumas páginas não devem ser acessadas pelo público.

A consulta que retorna esses registros é “robots.txt” “disallow:”

filetype:txt.

Na figura 10 podemos ver alguns sites que foram ocultos.


3.4 IMPRESSORAS

Através do Google é possível monitorar, configurar e imprimir documentos. A pesquisa que retorna esses registros é

inurl:”port_255” –htm. A figura 11 mostra uma impressora localizada no campus de uma Universidade.

Ao clicar no botão Print é possível selecionar um documento no computador local e imprimi-lo conforme demostrado na figura 12.


A figura 13 mostra que o documento foi enviado e impresso com sucesso.

3.5 CARTÃO DE CRÉDITO

Por questões de segurança somente um dos termos possí-

veis para encontrar números de cartões de créditos será descri-

to. Não existe uma palavra mágica que retorne os números de

cartão de crédito, é necessário percorrer falhas vasculhando por

esse tipo de informação. O termo utilizado nessa pesquisa foi:

intitle:index.of balance.xls+x. As figuras abaixo demonstram o

nome completo, endereço, telefone, itens comprados e o núme-

ro do cartão de crédito, que por questões de segurança não são

exibidos em sua integridade.


4 CONCLUSÃO

Conforme demonstrado nessa pesquisa, existe uma quan-

tidade expressiva de informações sigilosas e sensíveis que de-

veriam ser de acesso restrito, porém estão expostas ao mundo

através de simples consultas no Google. A exposição de infor-

mações contempla desde governos, grandes empresas e usu-

ários comuns. Funcionários estão sendo expostos sem o seu

consentimento e conhecimento.

O alarmante é perceber que erros primários cometidos por

pessoas da área de informática comprometem toda a estrutura

de segurança da informação. A facilidade de acesso à tecnolo-

gia é louvável, mas a falta de capacitação técnica por parte de

seus usuários é preocupante.

Não é necessário ser um hacker para ter acesso a essas in-

formações basta ser uma pessoa curiosa e com habilidade para

pesquisar e investigar. Hoje com o advento das redes sociais,

informações que antes eram difíceis de conseguir podem ser

acessadas a alguns cliques como, por exemplo: quem são os

familiares de determinada pessoa? Onde ela trabalha? Estuda?

e etc.

Rotinas que antes eram privadas estão sendo expostas por

seus próprios usuários sem levar em considerações questões

de segurança da informação e o mais perigoso, a sua própria

segurança.

REFERÊNCIASDIAS, Cláudia. 2000. Segurança e Auditoria da Tecnologia da Infor-mação. Rio de Janeiro: Axcel Books.

LONG, Johnny. 2007. Google Hacking for Penetration Testers. Google Hacking: Teste de Invasão. Rockland, Massachusetts, EUA: Syngress.

LYRA, Maurício Rocha. 2008. Segurança e Auditoria em Sistemas de Informação. Primeira Edição. São Paulo, Ciência Moderna.

NBR ISSO/IEC 27001. 2005. Tecnologia da Informação. Técnicas de Segurança – Sistemas de Gerência da Segurança da Informação. Asso-ciação Brasileira de Normas Técnicas. Rio de Janeiro.

REZENDE, Denis Alcides e ABREU, Aline França. 2000. Tecnologia da Informação Aplicada a Sistemas de Informação Empresariais. São

Paulo: Altas

NOTAS DE RODAPÉ1 Professor/Coordenador do Curso de Sistemas de Informação do Cen-tro Universitário Newton Paiva. [email protected]

2 Graduando do curso de Sistemas de Informação do Centro Universitá-rio Newton Paiva. [email protected]

3 Look and Feel é um termo usado na descrição dos produtos e áre-as, como a concepção de produtos, marketing e etc. Na concepção do software o termo Look and Feel é utilizado em relação a interface gráfi-ca do usuário e compreende os aspectos da sua concepção, incluindo elementos como cores, formas, disposição e tipos de fonte (o “Look”), bem como o comportamento de elementos dinâmicos tais como botões, caixas, e menus (o “Feel”). Look and Feel também pode referir-se aos aspectos de uma API.


4 Case sensitive é um termo em Inglês que significa sensível ao tama-nho, sendo que esse tamanho refere-se a maiúsculas e minúsculas na definição de variáveis, métodos e comandos de um programa ou compi-lador, faz a distinção entre os tamanhos de letras.5 Stop words (ou palavras de parada – tradução livre) são palavras que podem ser consideradas irrelevantes para o conjunto de resultados a ser exibido em uma busca realizada em um buscador. Exemplos: as, e, os, de, para, com, sem, foi.