miércoles, 4 de abril de 2012

Recolectando Información II de V

En esta serie de artículos (Introducción) una de las mejores fuentes de información para mi es Enrique Rando y su libro publicado en Informatica64 Hacking con Buscadores.
Enrique realiza un trabajo excelente de este tema explicando de forma clara muchos aspectos y peculiaridades de cada uno de los distintos elementos, motores de búsqueda, configuraciones, servidores, etc.
Fuente para muchisimos posts y distintas pruebas de concepto os invito a que compréis un ejemplar de este fantástico libro que ya recomendamos hace tiempo. Recomendación de Hacking con Buscadores.

Lo primero que debemos saber es que si no conocemos las sintaxis, el propio buscador nos ayuda con sugerencias XD.

Los buscadores implementan unos programas especializados en buscar, revisar y almacenar información relevante que las empresas publican en sus servidores.

El problema radica en que las configuraciones de los sistemas y maquinas no siempre es adecuada, y en muchas ocasiones los buscadores terminan almacenando información que puede facilitar un ataque o datos que pueden comprometer una empresa.

Este sistema para posicionar las paginas en los buscadores, de forma que sean localizadas por todos los usuarios, es cada día un tema mas complejo de controlar y vulnerabilidades de sistemas, archivos de configuración y gestores de bases de datos quedan expuestos al publico.

Para realizar una búsqueda correcta de esta información hay que conocer como funcionan los elementos implicados, entender que estos sistemas son muy dinámicos, evolucionan y los parámetros que hoy son validos en un futuro pueden ser modificados o sustituidos completamente.

Google
Los buscadores admiten parámetros para realizar búsquedas complejas y así restringir el ámbito de lo que estas buscando, tienes opciones de Búsqueda Avanzada y así configurar o encontrar aquello que te interesa.

Además puedes utilizar en el propio buscador estos parámetros para personalizar la búsqueda, de forma que los resultados sean de algún sitio en concreto, solo un formato de archivo o que la búsqueda se realice solo en el titulo.

Algunos de estos parámetros combinados con palabras o frases especificas devuelven resultados sorprendentes.

Lo importante no es conocer estas búsquedas de memoria, sino el proceso de como se generan estas peticiones.

Un ejemplo seria, si gestiono una base de datos que tiene un archivo de configuración por defecto y en este archivo hay información delicada, debería comprobar si los buscadores lo están publicando, muchos de estos peligros se migarían con una configuración adecuada, pero hoy en día las aplicaciones utilizadas son enormes con muchos archivos que hay que vigilar.

En Google Dorks tienen una excelente base de Datos documentada con la explicación de todos estos fallos y las búsquedas relacionadas.

Puedes crear alertas mediante Google para que te avisen si se indexa una búsqueda especifica, y si quieres estar actualizado de toda la Base de Datos de Google Dork deberías visitar el enlace recomendado por Enrique Rando en su libro.


Nota del Autor: No es intención en este Blog realizar una síntesis de todas las formas de recolectar información mediante buscadores y sus debidas explicaciones técnicas, solo mencionar distintas metodologías y fuentes de información que opinamos se deberían conocer y estudiar con detalle si estas interesado en profundizar en este tema.
 
Seguridad a lo Jabali para Todos!!

1 comentario:

Archivo del blog

Consultor e Instructor de Sistemas y Seguridad Informática en Asturias