Skip to content

Google Hacking: Portale und Netzwerkhardware finden

Einige Möglichkeiten, um Webanwendungen zu finden, haben Sie bereits kennen gelernt. Es gibt aber noch mehr Suchanfragen, mit denen sich bestimmte Webanwendungen über Google finden lassen. Und diese Webanwendungen können zum Beispiel auch Portalseiten oder Netzwerkhardware aller Art wie Router, Drucker oder Webcams sein.

Spezifische Fehlermeldungen führen zum gewünschten Ziel

In der vorherigen Folge haben Sie gesehen, wie die Suche nach Fehlermeldungen zu Webanwendungen führt. Dabei wurden allgemeine Fehlermeldungen verwendet, und als Ergebnis gab es irgend welche Webanwendungen. Man kann aber auch gezielt nach Fehlermeldungen bestimmter Webanwendungen suchen, und erhält dann nur diese Anwendungen (und natürlich Berichte darüber etc.) als Ergebnis.

Betrachten wir mal eines der Beispiele aus der vorherigen Folge:

"Fatal error: Call to undefined function" filetype:php

Diese Fehlermeldung tritt in der Form

Fatal error: Call to undefined function eine_funktion() in /absoluter/pfad/zur/app/pfad/zum/skript.php on line 123

auf, und die zweite Zeile ist dabei der interessante Teil, denn sie verrät uns, um welche Webanwendung es sich handelt. Der erste Teil,
/absoluter/pfad/zur/
ist Server-spezifisch und i.A. für eine Suchanfrage uninteressant. Das Verzeichnis der Webanwendung selbst selbst muss auch nicht zwingend dem Defaultwert bei der Installation entsprechen. Aber der Rest, d.h.
pfad/zum/skript.php
ist i.A. konstant. Bei der Suche nach

"Fatal error: Call to undefined function" filetype:php "/pfad/zum/skript.php"

sollten nur Fehlermeldungen (und Berichte darüber etc.) gefunden werden, die zur gewünschten Webanwendung gehören.

Informative Umgebungsvariablen

Die Umgebungsvariablen eines Servers enthalten viele nützliche Informationen. Teilweise sind die Server falsch konfiguriert und geben sie in Fehlermeldungen aus. Eine Suche nach beispielsweise

"HTTP_FROM=googlebot" googlebot.com "SERVER_SOFTWARE="

liefert eine Vielzahl von informativen Fehlermeldungen. Wie üblich, kann ggf. durch Angabe von site: nach Ergebnissen von einem bestimmten Server gesucht werden.

Gesucht: Login-Portale

Portalseiten mit Login-Funktion sind für einen Angreifer meist von besonderem Interesse. Die einfachste Suche besteht darin, nach entsprechenden Skripten im URL zu suchen:

inurl:login.php
inurl:login.asp
inurl:login.jsp
...

sind gute Kandidaten für erfolgreiche Suchen, ggf. wieder über site: auf einen bestimmten Server eingeschränkt.

Es geht aber auch genauer:

  • Die Startseite von Microsofts Outlook Web Access findet man mit der Suchanfrage
    inurl:exchange/logon.asp
  • und die Admin-Oberfläche von Apache Tomcat Servern erhält man mit der Anfrage
    intitle:"Tomcat Server Administration"
  • die Admin-Oberfläche von ColdFusion mit der Anfrage
    intitle:"ColdFusion Administrator Login"
  • die Lotus Domino Administration mit der Anfrage
    inurl:"webadmin" filetype:nsf
  • den Admin-Zugang für TYPO3 mit der Anfrage
    inurl:"typo3/index.php?u=" -demo
  • und die Registrierungsseite von Invision Power Board über
    "Please re-enter your password It must match exactly"

Die letzte Suchanfrage zeigt gut, wie eine Anfrage zu "falschen" Fundstellen führen kann: Da sie schon seit 2006 in der Google Hacking Database steht, wird sie natürlich auch in Kopien davon gefunden. Wenn Sie die Anfrage ausprobieren, werden Sie feststellen, dass es etliche Seiten im Web gibt, die die Einträge der Google Hacking Database einfach nur auflisten. Sehr sinnvoll, so völlig ohne Informationen darüber, was die Anfrage denn bezwecken soll.

Kommen wir zum Schluss noch zu einer noch nicht so weit verbreiteten Anfrage: Auch phpMyAdmin-Installationen sind manchmal aus dem Web erreichbar und dann über die Anfrage

inurl:"phpmyadmin/index.php" intext:"[ Edit ] [ Create PHP Code ] [ Refresh ]"

über Google zu finden.

Gesucht: Netzwerkhardware

Nicht nur Webanwendungen und -server haben Administrationsoberflächen. Auch die meiste Hardware im Netz kann über webbasierte Oberflächen konfiguriert werden. Das betrifft zum Beispiel Router und Switches, aber auch Drucker und Webcams. Während alle Geräte manchmal ohne Authentifizierung interessante Informationen über "ihr" Netz verraten, geben Drucker unter Umständen auch Informationen über Druckjobs preis, und Webcams erlauben den Zugriff auf ihre Aufnahmen.

Einige Beispiele:

  • Die Oberfläche von SpeedStream-Geräten findet man über die Anfrage
    intitle:"SpeedStream * Management Interface"
  • und Belkin Router über die Anfrage
    intitle:"Setup Home" "You will need * log in before * * change * settings"
  • Die verschiedenstens Gateways lassen sich über Suchanfragen wie zum Beispiel
    inurl:RgFirewallRL.asp
    inurl:RgDmzHost.asp
    inurl:RgMacFiltering.asp
    inurl:RgConnect.asp
    inurl:RgEventLog.asp
    inurl:RgSecurity.asp
    inurl:RgContentFilter.asp
    inurl:wlanRadio.asp
    finden.
  • CyberGuard-Systeme findet man zum Beispiel über
    "Welcome to the CyberGuard unit!"
  • und NetBotz-Statusseiten über
    intitle:"Device Status Summary Page" -demo
  • und Barracuda Spam Firewall Appliances findet man mit der Suchanfrage
    intitle:"Spam Firewall" inurl:"8000/cgi-bin/index.cgi"

Drucker

Kommen wir nun zu einigen Druckern:

  • Die Weboberfläche von HP Laserjets findet man über
    intitle:"hp laserjet" inurl:info_configuration.htm
  • Samsung-Geräte über
    allintitle:"SyncThru Web Service"
  • Xerox-Drucker über
    "display printer status" intitle:"Home"
  • und die Anfrage
    intitle:"Lantronix Web Manager"
    führt zu Administrationsoberflächen von Lantronix-Printservern

Webcams

Verschiedene Webcams findet man zum Beispiel über die Anfragen

  • intitle:"EvoCam" inurl:"webcam.html"
  • inurl:wrcontrollite
  • allintitle: Axis 2.10 OR 2.12 OR 2.30 OR 2.31 OR 2.32 OR 2.33 OR 2.34 OR 2.40 OR 2.42 OR 2.43 "Network Camera "
  • intitle:"MOBOTIX for PDAs"
  • intitle:"MOBOTIX PDA-Seiten"
  • intitle:"active webcam page"
  • inurl:view/view.shtml
  • intitle:"Live View / - AXIS"

Und damit ist das Thema "Google Hacking " auch fast abgeschlossen. In der nächsten Folge geht es zum Abschluss noch um interessante Dateien, oder genauer: Dateien mit interessanten Inhalten.

Carsten Eilers


Übersicht über alle Artikel zum Thema

Google Hacking, ganz einfach
Google Hacking - The Next Generation
Google Hacking: Verzeichnislisten und Intranets
Google Hacking: Webserver finden
Google Hacking: Webanwendungen finden
Google Hacking: Portale und Netzwerkhardware finden
Google Hacking: Interessante Dateien finden
Google Hacking verhindern: Verzeichnisse schützen
Google Hacking verhindern, Teil 2

Trackbacks

Dipl.-Inform. Carsten Eilers am : Ein paar kommentierte Links zum Wochenanfang

Vorschau anzeigen
Heute gibt mal wieder "nur" ein paar mehr oder weniger kommentierte Links statt eines "Standpunkts" zu einem Thema. Los geht es mit einem Text von Paul Ducklin von Sophos: "Anatomy of a brute force attack - how important is password complexity?".

Dipl.-Inform. Carsten Eilers am : Drucksache: windows.developer Magazin 10.2013 - Embedded (In)security

Vorschau anzeigen
Im windows.developer 10.2013 ist ein Artikel über die Sicherheit von Embedded Devices erschienen. Vorgestellt werden theoretische und praktische Angriffe auf verschiedene Embedded Devices wie zum Beispiel die Steuerrechner von Druck

Dipl.-Inform. Carsten Eilers am : Ein paar Kommentare zum "Internet der Dinge", neuer Schadsoftware und XSS

Vorschau anzeigen
Heute gibt es nicht viel, was sich zu kommentieren lohnt. Denn zum BSI und dessen Umgang mit den gefundenen Daten haben andere bereits alles relevante gesagt und geschrieben, zum Beispiel Fefe. Mit der Aktion hat sich das BSI wirklich nicht mit Ruh