Suchmaschinen-Hacking: Wenn Google zu viel verrät

Diskutiere Suchmaschinen-Hacking: Wenn Google zu viel verrät im IT-News Forum im Bereich News; So nützlich Suchmaschinen wie Google & Co. auch sind: Aus Sicht der Anwender und Unternehmen sind sie ein latentes Sicherheitsrisiko. Denn Millionen indizierter Seiten offerieren ...


+ Antworten + Neues Thema erstellen

(Um antworten zu können, bitte registrieren oder einloggen)

Ergebnis 1 bis 5 von 5
  1. Suchmaschinen-Hacking: Wenn Google zu viel verrät #1
    Moderator Avatar von Eric-Cartman
    So nützlich Suchmaschinen wie Google & Co. auch sind: Aus Sicht der Anwender und Unternehmen sind sie ein latentes Sicherheitsrisiko. Denn Millionen indizierter Seiten offerieren zahlreiche Schwachstellen. ZDNet erklärt, wie das unfreiwillige Googeln funktioniert und wie sich User davor schützen.

    Von Lothar Lochmaier, 31. Mai 2006

    Suchmaschinen mit der besonderen sozialen Komponente liegen ganz im Trend. Schließlich soll jeder möglichst mit nur einem Mausklick alles sofort finden, bis hin zum gewünschten Traumpartner. Wenn der User sein Ziel nicht direkt kennt, so steuert er meist eine der zahlreichen Suchmaschinen an. Wer schon mal seinen eigenen Namen "gegoogelt" hat, wundert sich aber nicht selten, was er alles über sich erfährt.
    Denn anhand der Eigenrecherche "Vor- und Nachname" erscheinen auf dem Desktop schön bunt und übersichtlich genau die Informationen, die man lieber nicht im weltweiten Netz gefunden hätte. So mancher Rechercheur würde etwa bei einer anstehenden Bewerbungsrunde einige schwarze Flecken in der persönlichen Biographie wieder aus dem Netz tilgen und seine Spuren verwischen.

    Doch was einmal von den Suchrobotern registriert wurde, ist auch Monate und selbst Jahre später noch online, etwa über Googles Cachefunktion. Suchmaschinen indizieren Milliarden von Webseiten, darunter auch diejenigen von Unternehmen. "Durch Verwechselungen und Missgeschicke kann es geschehen, dass Daten ins Internet gelangen, die dort eigentlich gar nicht hingehören", sagt Sebastian Schreiber, Geschäftsführer des auf IT-Penetrationstests spezialisierten Beratungsunternehmens Syss GmbH.

    Suchmaschinen Hacking ist nichts anders, als das gezielte Suchen nach genau solchen Datenbeständen. Bekannt geworden ist diese indirekte Methode an relevante Daten zu gelangen, ohne direkt auf die IT-Systeme zuzugreifen, durch den amerikanischen Hacker und Sicherheitsspezialisten Johnny Long, der dafür den Begriff "Google Hacking" geprägt hat. Reichlich Angriffsmaterial liefert vor allem die unübersichtliche Zahl der in den Unternehmen vorhandenen Webserver. Die einzige Kunst des neugierigen Rechercheurs besteht darin, mit entsprechender Geduld passende Suchanfragen zu produzieren, um die genannten Seiten aufzuspüren.

    Voreilige Kriminalisierung vermeiden

    Google dient dabei zunächst nur zum Auskundschaften von Schwachstellen, nicht zwangsläufig zum unmittelbaren Ausnutzen eines Exploits. Insofern sind "Google-Hacker" zunächst einmal keine "Täter", sondern lediglich die "Finder" von Informationen. Eine voreilige Kriminalisierung ist nicht angebracht. Strafbar ist jedoch der auf Basis einer Google-Recherche mit Hilfe von technischen Angriffswerkzeugen initiierte Einbruchsversuch.
    Grundsätzlich auslesen lassen sich Passwortdateien, Konfigurationsseiten und andere sensitive Daten sowie Services. So stellte ein deutsches Grossunternehmen versehentlich ein ganzes Firewall-Regelwerk ins Internet, eine Art Steilvorlage für einen gezielten Einbruchsversuch.

    Eine der unterschiedlichen Varianten besteht darin, dass Angreifer mit Suchmaschinen gezielt nach Servern suchen, die etwa ein spezifisches Softwareprodukt einsetzen wie "phpbb2", ein auf PHP und zumeist MySQl basierendes Open Source-Forensystem. "Identifizierte Systeme kann ein Angreifer leicht in seine Gewalt bringen", gibt Sebastian Schreiber zu bedenken.

    Ein weiteres Beispiel: Ein Angreifer sucht nach Diensten, die zur Verwaltung von Servern und Webseiten dienen. Findet er einen solchen Dienst, der beispielsweise nicht mit einem Passwort geschützt ist, so benötigt er nur noch den entsprechenden Client, um darauf zuzugreifen, etwa via Dateierweiterungen beim Frontpage-Server.

    In der Vergangenheit lief dieses Angriffsmuster meist so ab: Sehr alte Versionen der Erweiterungen legen die gehashten Passworte der Anwender und Administratoren in verschiedenen Dateien auf dem jeweiligen Webserver ab. Ohne entsprechende manuelle Änderungen vorzunehmen, sind die entsprechenden Verzeichnisse für jeden zugänglich, da von den Dateierweiterungen selbst nach der Installation keine einschränkenden Berechtigungen gesetzt werden konnten.

    Der Angreifer benötigt für seine Versuche dabei nur ein rudimentäres professionelles Wissen, es genügen erweiterte Suchoperatoren. Beliebt ist die Variante, ganze Passwortlisten über Suchmaschinen auszulesen. Beispielsweise bringen folgende Suchanfragen Passwortlisten zutage:

    inurl:/_vti_pvt/user.pwd
    inurl:/_vti_pvt/administrators.pwd
    inurl:/_vti_pvt/service.pwd

    Suchparameter wie "inurl:", die für das Hacking benötigt werden, werden nicht nur von Google, sondern auch von nahezu allen anderen Suchmaschinen unterstützt. Mit diesen Informationen alleine kann der Angreifer zwar noch nicht viel anfangen, doch ermöglichen diese kombiniert mit illegalen Passwortknackern wie Openwall einen Erfolg versprechenden Angriff. Genau an dieser Stelle endet der Spieltrieb der Script Kiddies. Es beginnt die kriminelle Grauzone.

    Die Risiken des Social Engineering

    Neben softwarebasierten Mustern sind auch Schwachstellen in der Hardware ausnutzbar. Integrierte Webserver verraten zumindest die URL. Ein Zugriff ist beispielsweise über die Webseiten der HP Jetdirect-Printserver möglich (PDF-Download: "Penetrante Suchmaschinen"). Der Angreifer sucht dabei nach den in die Jetdirect-Systeme integrierten Webservern. Sind diese über das Internet erreichbar, so lassen sich auch weitere Clients direkt ansteuern.
    Da sich die Operatoren "inurl:" und "intitle:" miteinander kombinieren lassen, hat der Angreifer eine große Bandbreite an Kombinationen für diverse Anwendungen und Geräte zur Verfügung. Offene Ports sind eine weitere unfreiwillige Zielscheibe, da sie ebenfalls Teil der URL sind. VVNC-Server ermöglichen über den Java-Client den Zugriff auf den TCP-Port 5800.

    Ein größeres Risiko als technische Schwachstellen stellt aber das Social Engineering dar. User hinterlassen nicht selten auf Websites komplette Anschriften, Geburtsdaten oder Bankverbindungen. Diese Daten lassen sich als Rohdatenmaterial für gezielte Phishing-Betrugsversuche nutzen. Dennoch gilt es publikumswirksame Google-Hacks nicht zu überschätzen. Die Eintrittsbarriere für das Suchmaschinen-Hacking ist gering, so dass sich in diesem grauen Markt vor allem unzählige sogenannte "Skript-Kiddies" tummeln, die unterste Stufe in der Hacker-Hierachie.

    Denkbare Motive sind hier ein gewisser sportlicher Ehrgeiz, Lust an der Zerstörung, Geltungsdrang oder einfach nur Langeweile. "Mit bestimmten Suchanfragen ein Passwort aufzuspüren und dann an gegebener Stelle auszuprobieren, setzt weder besonderen Elan noch großes Know-how voraus", sagt Raimund Genes, CTO Anti-Malware bei Trend Micro.

    Grundregel der Datensparsamkeit

    Darüber hinaus nutzt aber auch der stärker professionalisierte Teil der Hacker-Szene die Möglichkeiten des Suchmaschinen-Hackings. Diese verfolgen im Gegensatz zu neugierigen Script Kiddies ganz konkrete finanzielle beziehungsweise kriminelle Interessen. "Denkbar ist zum Beispiel die Manipulation von Web-Rankings als Auftragsarbeit", gibt Genes zu bedenken. In diesem Fall sucht der Angreifer nach Forum-Seiten, die eine bekannte Sicherheitslücke haben oder Passwörter preisgeben, um diese Seiten dann mit Verweisen auf die gewünschte Website zu überschwemmen.
    Die Sicherheitsexperten von McAfee sehen sogar einen Zusammenhang zwischen Suchmaschinen und der Verbreitung von Spyware, Viren und anderen Online-Schädlingen. Eine Studie von der zum Unternehmen gehörenden Siteadvisor zeigt, dass die Ergebnislisten der größten Suchmaschinen Links zu Webseiten beinhalten, die einen Rechner infizieren oder den Weg für Spam-Mails frei machen können. Die ersten fünf Seiten der Ergebnisliste enthalten demnach durchschnittlich fünf Prozent riskante Links. Dabei seien unter den bezahlten Werbeanzeigen neben den Ergebnislisten dreimal mehr gefährliche Links vorzufinden als in der Ergebnisliste selbst.

    Natürlich lässt sich Suchmaschinen-Hacking auch zu Zwecken der Datenspionage oder Angriffsvorbereitung einsetzen. Dies setzt aber ein höheres Maß an technischem Know-how voraus. So lassen sich über gezielte Anfragen oftmals eingesetzte Applikationen inklusive Versionsnummer finden. Mit dem entsprechenden Client und dem Wissen über bekannte Schwachstellen der Applikation ausgerüstet, kann der Angreifer seinen Einbruchsversuch mit Aussicht auf Erfolg lancieren.

    Googelt der Angreifer per Suchmaschinen-Hacking zum Beispiel die Web-Interfaces von Print-Servern, kann der Hacker davon ausgehen, dass wahrscheinlich auch andere Clients im Netzwerk direkt über das Internet erreichbar sind. "Das kann unter anderem für den Aufbau von Botnetzen nützlich sein", gibt Genes zu bedenken.

    Als problematisch in der interaktiven Google-Welt erweisen sich einige neue Features: So bietet zum Beispiel der Google-Desktop die Möglichkeit, Daten an einen Google-Server zu übertragen, damit andere Anwender die lokale Maschine durchsuchen können. "Hier entsteht natürlich ein Gefahrenpotenzial, wenn Anwender Art und Umfang der übertragenen Daten nicht genauestens kontrollieren", so Genes.

    Schutzbedarf nicht auf die leichte Schulter nehmen

    Generell sollten Anwender nicht allzu sehr auf das Motto "Security by Obscurity" (Sicherheit-durch-Unklarheit-Prinzip) vertrauen. Dieses bezeichnet eine kontrovers diskutierte Grundregel in der Computer- und Netzwerksicherheit, nach der versucht wird, Sicherheit durch absolute Geheimhaltung zu erreichen. Auf den ersten Blick scheint dies zu funktionieren: Oftmals werden Dateien auf einem Webserver abgelegt, ohne dass darauf verlinkt wird. Die URL wird natürlich nur vertrauenswürdigen Personen per Email mitgeteilt.
    Normalerweise sollte es zwar für Google & Co. unmöglich sein, diese Seite zu finden. Aber fast überall werden Webserver-Statistiken geführt, etwa die Top Ten der meistbesuchten Dateien oder die Top Ten der Dateien, die aufgrund ihrer Größe den meisten Traffic verursachen. Im schlechtesten Fall landet genau die versteckte Datei in dieser Statistik, inklusive Link zu der Seite. Über diesen Umweg finden auch Suchmaschinen wieder die "geheime" Datei.

    Eine andere offene Türe besteht in der Suche nach Applikationen mit bekannten Schwachstellen. Weltweit setzen Unternehmen eine Vielzahl von Anwendungen ein, die sich bequem über das Web-Frontend nutzen lassen. Dabei sind auch Webserver im Spiel, die von den Suchmaschinen infiziert werden. Für Angreifer sind alle Dienste interessant, die zur Verwaltung von Servern und Webseiten dienen und dokumentierte Schwachstellen aufweisen.

    Alte Versionen der Frontpage-Extensions legen Passwörter in verschiedenen Dateien auf dem Webserver ab. Die entsprechenden Standard-Verzeichnisse sind frei zugänglich, wenn sie nicht manuell geändert werden. Daher werden sie natürlich auch von Suchmaschinen gefunden. Der Angreifer muss dann nur noch einen Passwortknacker einsetzen.

    Ob Hacker mithilfe eines solchen Tricks wirklich in den Kern des Systems eindringen können, ist umstritten. Sind veraltete Applikationsversionen im Einsatz und über Google auffindbar, so lässt dies zumindest auf eine mangelhafte Gesamtsicherheit des IT-Systems schließen. Für welche Zwecke das Suchmaschinen-Hacking zukünftig noch einsetzbar ist, bleibt abzuwarten.

    In erster Linie wird Suchmaschinen-Hacking aber wohl ein Werkzeug zur einfachen Identifikation besonders argloser Ziele bleiben. Denkbar ist zum Beispiel auch die gezielte Suche nach veralteten Software-Versionen durch den Hersteller, um so den eigenen Vertrieb bei der Kundenansprache zu unterstützen. Auf diesem Wege könnten auch nicht-lizenzierte Produkte identifiziert werden.

    Quelle: CNET Networks Deutschland GmbH/ZDNet.de und CNET.de

  2. Hi,

    schau dir mal diesen Ratgeber an. Dort findet man viele Hilfestellungen.
    Registrieren bzw. einloggen, um diese und auch andere Anzeigen zu deaktivieren
  3. Suchmaschinen-Hacking: Wenn Google zu viel verrät #2
    höhö, mein name taucht zwar zuhauf auf aber nicht ein einziges mal bin ich es selbst der gemeint ist.
    safety first

  4. Suchmaschinen-Hacking: Wenn Google zu viel verrät #3
    Grüßt die Winboarder Avatar von Fireblade
    ZITAT(Maximus1 @ 31.05.2006, 23:24) Quoted post
    höhö, mein name taucht zwar zuhauf auf aber nicht ein einziges mal bin ich es selbst der gemeint ist.
    safety first
    [/b]
    Ist bei mit genauso.
    Habs gerade mal ausprobiert.

  5. Suchmaschinen-Hacking: Wenn Google zu viel verrät #4
    Gast
    Gast Standardavatar
    Mein Name taucht 8 Mal auf,und immer bin ich selbst gemeint. Ich weißvon diesen Homepages. Aber das der Quelltext meines Scherzprogrammes auftaucht
    ( siehe http://www.winboard.org/index.php?showtopi...hl=Nullchecker),
    hätte ich nicht gedacht.

    Google-Suchergebnisse:

    <span style="font-size:8pt;line-height:100%">WinBoard - Die Windows Community > Kleine Verar***ung&#33; PC SCHOCk ...
    Auf www.josua-vieten.de findet man noch nicht viel, ich werde das aber bald fertigprogrammieren ... http://www.josua-vieten.de/sounds/Pc...r-Geräusch.wav ...
    http://www.winboard.org/lofiversion/...hp/t49488.html - 30k - Im Cache - Ähnliche Seiten


    Profil eines Mitglieds
    Homepage (leider nicht fertig): http://www.josua-vieten.de/ Haupt-PC: Windows 2000 Pro und XP Pro AMD Athlon 1900+ (1,6 GHz), 760 MB RAM, GeForce FX5500 256 ...
    www.winboard.org/index.php?showuser=22521 - 47k - 30. Mai 2006 - Im Cache - Ähnliche Seiten


    Herzlich willkommen beim Gästebuch von Klasse 8e&#33; Wir freuen uns ...
    [1] Josua Vieten schrieb am 08.02.2006. Test&#33;&#33; Servus&#33; Hier könnt ihr euch ins Gästebuch eintragen&#33; Anmerkung: Servus-test. [2] ich schrieb am 16.02.2006 ...
    gb.mimedia.de/gb.php3?user=8e&action=show - 23k - Im Cache - Ähnliche Seiten


    Astronomie.de - Fotogalerie
    Astronomie.de Astronomie.de - der Astronomietreff im Internet Fotogalerie. Besuchen Sie unseren Sponsor:. Bilder von Josua Vieten ...
    http://www.astronomie.de/galerie/fgs...&frmint_next=0 - 6k - Im Cache - Ähnliche Seiten


    Astronomie.de - Fotogalerie
    Josua Vieten, Welche kamera wurde benutzt? Olympus SP500UZ, 6.3 mm, f2.8. Welches Teleskop? Was für ein Film wurde benutzt? ...
    http://www.astronomie.de/galerie/fgs...t_FOTO_ID=3469 - 11k - Im Cache - Ähnliche Seiten


    A05A.CPP *************************************** #include ...
    //*********** A05A.CPP *************************************** #include <iostream. h> #include <conio.h> #include <dos.h> #include <bios.h> #include ...
    www.josua-vieten.de/program/SYSVIRE.CPP - 4k - Im Cache - Ähnliche Seiten


    Meine Homepage - Home
    Informationen über mich (Josua Vieten, Moosburg, 14 Jahre alt). Informationen über meine Hobbies Computer, Astronomie und Chemie ...
    www.josua-vieten.de/ - 3k - Im Cache - Ähnliche Seiten


    StopLinux.de - Gegen das freie Betriebssystem&#33;
    http://www.josua-vieten.de. The Hood, Geschrieben am: Fre 12 Mai 2006 10:28:25 CEST. Da es hier nirgendwo als Scherz-Seite gekennzeichne ist, könnte man die ...
    http://www.stoplinux.net/index.php?o...21&startpage=2 - 27k - Im Cache - Ähnliche Seiten</span>

  6. Suchmaschinen-Hacking: Wenn Google zu viel verrät #5
    Also mein Name taucht zwar auch zu hauf auf, aber nix was mit mir zu tun hat. Aber einige Leute die da mit meinem Namen auftauchen haben echt tolle Berufe und verdienen damit bestimm en haufen Geld, von daher tausch ich gern&#33;

Ähnliche Themen zu Suchmaschinen-Hacking: Wenn Google zu viel verrät


  1. Suchmaschinen: bing führt die Google-Verfolger an: Quelle und ganzer Bericht bei Heise.de



  2. PC verbraucht im Standby genauso viel Strom wie wenn er aus ist?: Moin, moin 13Watt im Standby kann das sein??? 13Watt wenn er aus ist! Asus P5W DH Deluxe + E6320



  3. Bitte lesen, wenn ihr euch fragt, warum Vista so viel RAM nutzt!!!: Hallo, Ich lese zur Zeit sehr oft, das Vista schon ohne Programme ach so viel vom RAM nutzt und Windows XP ja viel weniger genutzt hat. Ich...



  4. König Google herrscht über das Suchmaschinen-Reich: Gestern berichteten wir über die Marktanteile bei den Suchmaschinen in den USA. Dabei zeigte sich, dass Googles Dominanz größer ist denn je. Doch die...



  5. Hacking per Google: http://www.siliconvalleysleuth.com/2006/02...s_you_dont.html