Google検索を利用したハッキング ハッカーの阻止法を探して.ppt

Google検索を利用したハッキング～ハッカーの阻止法を探して 「違法な手段に頼らずとも、公然と公共の情報源を利用することで、最低でも8割の敵に関する情報を取得することが可能である」 - アルカイダ トレーニング マニュアルより 論題 Google の仕組み 脅威 ツール 対策 Google の仕組み Google の仕組み Google の仕組み 脅威（絞り込み検索 入力例） intitle:Index of finances.xls Network Vulnerability Assessment Report“ / filetype:pdf Assessment Report nessus not for distribution confidential site:edu grades admin ORA-00921: unexpected end of SQL command“ VNC Desktop inurl:5800 intitle:guestbook advanced guestbook 2.2 powered“ intitle:index of trillian.ini カテゴリ別脅威 非公開情報 ユーザ名 / パスワード 設定管理 / リモート管理インターフェース エラー メッセージ バックアップ ファイル / ログ ファイル 公開されている脆弱性 ＜例１＞　intitle:Index of finances.xls ＜例2＞　not for distribution confidential site:edu ＜例3＞ filetype:pwd service ＜例4＞　 allinurl: admin mdb ＜例5＞　 intitle:Remote.Desktop.Web.Connection inurl:tsweb ＜例6＞　Nessus Reports ＜例7＞　filetype:bak inurl:htaccess|passwd|shadow|htusers ＜例8＞　VNC Desktop inurl:5800 ＜例9＞　filetype:properties inurl:db intext:password ＜例10＞　filetype:properties inurl:db intext:password ＜例11＞　Microsoft-IIS/6.0 intitle:index.of ツール Web インターフェースの使用 GooScan - Google ハッキングにおける最適なリソース Google ハッキング データベース(GHDB)の保守管理者 Athena Webサービス API の使用 SiteDigger – Wikto- ツール - GooScan ツール - Athena ツール - SiteDigger ツール - SiteDigger ツール - SiteDigger バージョン 2 機能 シグネチャ提供オプション 「Raw（生の）」 検索タブ 検索結果の表示件数を設定可能 対策 機密情報をWeb上に置かない!! どのような情報がGoogleで検索可能かを、定期的に評価する robots.txt の更新 meta-tags: NOARCHIVE の使用 /remove.html まとめ Googleは、その利用方法、および悪用する側の想像力によっては、驚異的な攻撃ツールとなり得ることを忘れてはならない… あなたの機密情報は、Google検索による情報漏えいの危険にさらされていませんか?? ご静聴、ありがとうございました。 george.kurtz@ * Copyright ?2004 Foundstone, Inc. All Rights Reserved George Kurtz McAfee, Inc. Senior Vice President Risk Management １．Webサーバはクエリをインデックスサーバに送信する。インデックスサーバ内のコンテンツは、本で言えば索引のようなもので、どのページに問い合わせのあった語が含まれているかを示す。 2. クエリは、実際に保存されているドキュメントを読み出すドキュメント サーバへと送られる。それぞれの検索結果を説明する情報の断片が生成される。 3. 検索結果は、ほんの数秒でユーザのもとへ返される。 特殊検索修飾子 site (.edu, .gov, , ) 特定のドメインのページのみを検索 filetype (txt, xls, mdb, pdf, .log) 特定のファイルタイプのページのみ検索 Datera