zurück zur Übersicht

Google Hacking 2.0

Google Hacking: Was die Suchmaschine Hackern für Angriffspunkte bietetGoogle Hacking ist eine besonders effiziente Methode, um an vertrauliche Informationen im Internet zu gelangen. Mit den verschiedenen Suchoperatoren ist es möglich sehr spezifische Suchen auszuführen, um Webseiten mit Schwachstellen ausfindig zu machen und diese dann angreifen zu können.

In unserem ersten Artikel „Google is watching you!“ haben wir bereits die Grundlagen von Google Hacking beschrieben. Nun möchten wir weiter ins Detail gehen und uns anschauen, wie ein Angriff mit Hilfe von Google Hacking aussehen kann.

Wie sieht ein Angriff aus?

Ein Google Hacking Angriff besteht aus zwei wesentlichen Bestandteilen.

  • Im ersten Schritt wird zunächst über die Suchmaschine nach Sicherheitsschwachstellen im Internet gesucht. Dabei handelt es sich meist um bekannte Vulnerabilities von Anwendungen, die zur Verwaltung von Webseiten und Servern dienen.
  • Im zweiten Schritt erfolgt dann der eigentliche Angriff. Dabei wird die bekannte Schwachstelle ausgenutzt. Eine solche Sicherheitslücke kann sehr unterschiedlich aussehen. Kaum zu glauben, aber eine der der simpelsten (und weit verbreiteten) ist ein unverändertes Standardpasswort.

Stufe 1: Opfer ermitteln

Bei einer solchen Suche sucht der Angreifer wahllos nach verwundbaren Systemen im Internet. Natürlich kann der Angreifer auch ein spezielles Ziel ansteuern und dort nach Schwachstellen suchen. Dabei kann er zum Beispiel direkt den speziellen Google Suchoperator site nutzen, um alle Unterseiten einer Webseite durchsuchen zu können.

google-hacking-2

Wie in den Abbildungen veranschaulicht, kann der Angreifer nach einzelnen Parametern aus der URL suchen. Wenn er dann noch Title, Header oder Texte der Web-Anwendung, die er sucht, hinzufügt, kann er explizit nach Anwendungen suchen, die bekanntermaßen verwundbar sind.

Damit stehen dem Angreifer eine Menge unterschiedliche Varianten und Suchoperatoren zur Verfügung, um spezielle Webseiten aufzuspüren, die als einfaches Opfer in Frage kommen.

 

google-hacking-3Eine kleine Auswahl an Ideen, wie die Google Suche zum Hacken verwendet werden kann, bieten folgende Themengebiete:

Vertrauliche Dokumente ausspionieren

Bei der Suche nach vertraulichen Dokumenten, können die Suchwörter „vertraulich“, „confidential“, „internen Gebrauch“ und „internal use“ bereits ausreichen, um an vertrauliche Dokumente über die Google Suche zu kommen. Bei dem Ausspionieren von Dokumenten bietet sich vor allem der Suchoperator filetype an, da damit die Suche auf Scripte oder Dokumente eingegrenzt werden kann. Dabei können viele verschiedene Dateiformate explizit gesucht werden, wie zum Beispiel:

  • Word: filetype:doc
  • Excel: filetype:xl
  • Powerpoint: filetype:ppt
  • PDF: filetype:pdf

Sofern der Link „HTML-Version“ in den Google Ergebnissen neben dem Treffer erscheint, kann der Angreifer sogar – ohne selbst irgendeinen Kontakt zum Server aufzunehmen – das Dokument anschauen. Denn Google hilft auch hier weiter: die Suchmaschine generiert automatisch eine HTML-Version des Dokuments, damit der Nutzer diese Version im Browser ansehen kann, ohne die notwendige Anwendung zu öffnen.

Auch Backup Server können häufig über Google gefunden werden. Eine Suchanfrage mit dem Suchbegriff „Index of /“ bringt bereits einige erfolgreiche Treffer. Die in den Ergebnissen abgelegten Backups können nicht nur Bilder und Dokumente sondern auch Software oder vertrauliche Informationen enthalten. Um die Suche noch genauer darauf zu spezialisieren, kann der Nutzer noch zum Beispiel Begriffe wie „+PDF“ oder „+MP3“ der Suchanfrage anhängen, um gezielter Dokumente oder MP3 Dateien aufspüren zu können.

Offene Türen nutzen

Häufig werden Webseiten oder Web-Anwendungen über Content-Management-Systeme (CMS) wie zum Beispiel Contao (https://contao.org/en/), ProcessWire (https://processwire.com/), Solodev (https://www.solodev.com/), WordPress (https://de.wordpress.com) oder Joomla! (https://www.joomla.de/) verwaltet. Die Konfigurationen der Webseite können dann über das CMS, welches häufig ebenfalls über eine URL erreichbar ist, durchgeführt werden. Sollte der Betreiber vergessen haben, den Zugriff hier effektiv zu schützen, können Angreifer auch Schwachstellen dieser Systeme explizit ausnutzen.

Denn auch solche Administrations-Tools kann man speziell über Google suchen. Ein einfaches Beispiel: die Suche nach inurl:“/wp-login.php“ liefert explizit WordPress Login Seiten zurück, sofern diese über das Internet erreichbar sind. Und in aller Regel sind sie das. Damit steht einem Angriff auf den meistens vorhandenen Benutzer „admin“ (z.B. mit dem stets beliebten Passwort „123456“) nichts mehr im Wege.

Anonymous Googling

Google Hacking bietet nicht nur die notwendigen Suchoperatoren um Opfer zu finden. Angreifer haben auch Möglichkeiten einen Angriff zu verschleiern. Prinzip der Methoden ist es, Google gezielt zwischenzuschalten.

Zum einen können Seiten von Google übersetzt werden. Dafür erscheint neben dem Suchergebnis ein Link „Diese Seite übersetzen“. Zum anderen können Seiten aus dem Cache von Google geladen werden, ohne eine direkte Anfrage an den betroffenen Webserver abzuschicken.

Beides kann verhindern, dass der Angreifer direkten (und damit eventuell zurück verfolgbaren) Kontakt mit dem Server des Opfers aufnehmen muss.

Tipps um sich zu schützen

Einige simple Maßnahmen können den Schutz bereits deutlich verbessern:

  • kritische Seiten (wie die Administrationsbereiche des CMS) können über eine htaccess Datei geschützt werden. Ein Zugriff aus dem Internet ist dann nur noch beispielsweise von bestimmten IP-Adressen möglich.
  • über den Metatag <meta name=“robots“ content=“noindex“> oder spezifischer für Google: <meta name=“googlebot“ content=“noindex“> im <head> einer Webseite wird diese von der Indexierung durch Google und andere Suchmaschinen ausgeschlossen. So kann gesteuert werden, welche Seiten im Web sichtbar und durchsuchbar sind und welche nicht.
  • Google selbst empfiehlt diese Methode, um festzulegen welche Details durchsuchbar sein sollen und welche nicht (diese Beschränkungen gelten allerdings nur für Webseiten!)
  • Globaler lassen sich solche Einstellungen über eine robots.txt Datei konfigurieren.
  • Um Dokumente zu schützen kann es bereits reichen, sie in einen Unterordner mit Passwortschutz zu verschieben, wie hier beschrieben.

Professioneller Schutz

  • Die Nutzung eines Reverse Proxy Servers erhöht die Sicherheit ebenfalls massiv. Allerdings ist der Konfigurationsaufwand nicht zu unterschätzen.
  • Eine Web Application Firewall (WAF) ist das Mittel der Wahl, um die eigenen Web Apps zuverlässig zu schützen. Solche Systeme sind zwar nicht gerade günstig zu haben, bieten aber umfassenden Schutz – wenn wie von Experten korrekt konfiguriert und eingerichtet werden.

 


 

Bild: ©iT-CUBE SYSTEMS AG 2017

Schreibe einen Kommentar