Google biedt mogelijkheid tot anoniem hacken

The Register komt met het opmerkelijke verhaal dat Google door een of meerdere hackers waarschijnlijk gebruikt is om bij pc's in te breken. Dit werd gedaan door gebruik te maken van zoektermen die bekende exploits bevatten. Hierdoor kon de hacker soms pagina's inzien die op dat moment geladen waren door administrators. Deze mogelijkheid is bij toeval ontdekt toen een medewerker van SecurityFocus via Google op zoek ging naar het voorkomen van een bepaalde exploit op het web. Hij wilde het programma Snort (een open-source Intrusion Detection System of IDS) verbeteren, maar moest hiervoor weten hoe vaak de term voorkwam op het web. Door echter een link te volgen die Google opleverde bevond hij zichzelf ineens op een switch van een amerikaanse .gov website.

Uit een steekproef van The Register blijkt dat veel exploits via Google kunnen worden uitgevoerd, waarbij Google als proxy gebruikt wordt en de hacker dus bescherming biedt. Het was al langer bekend dat search engines hiervoor gebruikt kunnen worden, maar het nieuwe aan deze methode is dat nu de cache van de engine gebruikt wordt om de sporen te wissen. De pagina wordt opgevraagd en vervolgens haalt de hacker de pagina weer uit de cache van Google:

The malicious use of search engines is nothing new, as we reported in a story back in June of 2000; but this does bring it to new levels of finesse. The significant thing here is that the cache can be used to cover one's tracks, assuming there are no graphics to be fetched.

"I was using Google to check how common a particular string is on the Web, to gauge how often a rule might cause a false-positive. Part of the process of deciding how often the rule might cause a false positive is deciding how common the string is that the rule searches for," Russell explains.

So while searching Google for a vulnerability in Cisco IOS Web Server, Russell followed a link and found himself in a switch belonging to a US .gov site.

Met dank aan AMD voor de tip.

Reacties (34)

[Mafioso]

Nou lekker is dat .., voordat je het weet worden zelfs zoekmachines al helemaal verbouwd om te voorkomen dat ze kunnen worden misbruikt, en is het net nog maar afw88 of er dan niet een stuk goede funktienaiteit weg valt

[Anoniem: 39836]

Nah, zal nu wel dicht zitten denk je niet.
Vind het wel opmerkelijk en een beetje schrikbarend.

[Netman768]

ik weet niet of google daar veel aan kan doen, ligt het probleem niet meer bij de sys-admins?

[Cowboy Henk]

Cowboy is wederom niet verbaast.

Er zijn zoveel sites en zoveel bedrijfs- en particuleiren netweken en niet overal zitten tweakers die de boel goed kunnen dichtspijkeren. En al zouden die er zitten dan zijn er ongetwijfeld gebruikers op dat netwerk die weer voor probs (lees openingen) kunnen zorgen.
En aangezien de hele boel wereldwijd aan elkaar geknoopt is, zal je altijd op de een of andere manier wel ergens binnen kunnen komen, of je dit nou opzettelijk deed of per ongeluk, zoals via Google.

[Anoniem: 4283]

Ik moet zeggen dat ik dit niet helemaal begrijp.

Gaat het er nou om dat hackers bepaalde interne sites kunnen vinden, die door google geindexed zijn, maar die eigenlijk niet voor andermans ogen bedoelt zijn? (Laatst stond hier toch ook al een berichtje over op t.net )

Of begrijp ik het nu verkeerd Want dat stuk van Google als proxy / cache misbruiken lijkt me een beetje wazig...

[Anoniem: 35807]

het gaat erover dat hij een exploit sting in google intikte om te zoeken naar de string, deze is omgelijd naar het systeem en daar heengestuurd.

Omdat de proxy, cache een laatste controlle maakte wordt de exploit via google uitgevoerd en kan hij het resultaat vanaf google terug krijgen (niet van de orginele client zodat zijn identiteit beschermt blijft.

zeer indrukwekkend.

[XTerm]

Ja, dat is dan toch echt wel niet de schuld van google, maar van slecht beveiligde routers etc.
het is de taak van de systeembeheerder om ervoor te zorgen dat zijn site/server niet gekraakt akn worden door een zoekengine.
Enfin, de fabrikanten zullen asap staan drummen met patches van dit is wel een flagrante flappende exploit.

[Anoniem: 26415]

DIt lijkt wel erg veel op het vorige bericht, maar zoals al terecht opgemerkt ligt de verantwoordelijkheid bij de beheerder. Als een directory index.html bevat schiet je browser daar heen, maar ze een zoekmachine heeft daar lak aan blijkbaar, die ziet gewoon een listable directory (was dat geen chmod 755 ) Kijk hier eens hoeveel apache dirs er open staan http://www.google.com/ie?hl=nl&q=description+size+la st+modified+Apache+Server&num=100

[Anoniem: 15604]

Voor zover ik heb begrepen gaat het hier niet om echt hacken maar meer om het toevallig vinden van evt. andere typen bestanden waarin dingen als passwords vermeldt staan. Hier gaat Google niet mee de fout in; zij indexeren slechts wat ze tegenkomen. De fout ligt imho bij de beheerders van desbetreffende bestanden die permissies etc niet goed hebben staan.

[N0FX]

Ten 1e google rulezz wat searchengine op het web betreft, maaaaaaaarrrrrrrrrrrrrr

ff een reply van Lennart ... het is de taak van de systeembeheerder om ervoor te zorgen dat zijn site/server niet gekraakt akn worden door een zoekengine

da's nu makkelijk lullen ... zo van .. 1 van de bekendste searchengines op het web laat ff hackers anoniem sniffen op het web ... so what ?

Nou ik kan je gerust zeggen dat dit dus wel een probleem van google mag worden aangerekend.

Want ff dicht timmeren van een website staat haaks op de mogelijkheden wat website kan bieden (een dummy/noob website met wat html ingeflikkerd kan ofcourse iedereen).

Ik denk dat systeembeheerders al genoeg gerotzooi krijgen met andere zaken ... blijkbaar moet een systeembeheerder van tegenwoordig verscheidene firewalls/proxy's/virus definitielijsten gaan bij houden, en dan praat ik niet eens over programmeertalen van php/asp/xml (en wie geeft nu de 100% zekerheid dat d.m.v. een dergelijk firewall/proxy een website 100% dicht is ? ... ze verkopen het wel zo ... maar in het praktijk ).

Ben gelukkig geen webmaster (heb er soms wel mee temaken .. maar ala) maar om nou het voorbeeld van Lennart te volgen ... moet de webmaster maar de ip of dnsnaam van google keihard blokken

[Luxx]

da's nu makkelijk lullen ... zo van .. 1 van de bekendste searchengines op het web laat ff hackers anoniem sniffen op het web ... so what ?

Nou ik kan je gerust zeggen dat dit dus wel een probleem van google mag worden aangerekend.

Als hackers via google niet meer te traceren zijn, dan moet het dus zo zijn dat het duidelijk is dat een hackattac vanaf een google computer komt. Aangezien iedereen verantwoordelijk is voor wat er op zijn/haar computer gebreurt, is google dus wel aansprakelijk voor schade die door deze hackers wordt gemaakt.

Het is aan google om die schade dan weer te verhalen bij de hackers. Maar als google niet in staat is om die hackers op te sporen, dan is google zeg maar "de lul".

Als google kan aantonen dat ze gebruikt zijn en door wie, dan kan dat gewoon worden meegenomen en kan de schuld dus worden doorgeschoven. zolang ze dat niet kunnen, hebben ze een dik probleem zodra ze door hackers gebruikt worden.

[TD-er]

LIjkt me niet, want hackers lezen de berichten uit de cache van google.
voor Google is het ondoenlijk om bij te gaan houden wie er welke links heeft aangeklikt, want dan zijn ze aan logfiles net zoveel kwijt als aan data wat ze van het internet geïndexeerd hebben.
Verder is de informatie die google bevat niet verkregen op een manier die als inbreken omschreven kan worden.
Ze hebben gewoon de informatie die op dat moment vrij toegankelijk was opgeslagen.
Ik denk dat dat niet strafbaar is, in welk land dan ook.
Google is hoe dan ook dus niet strafbaar en ze kunnen ook niet worden verplicht tot het geven van informatie omtrend hun gebruikers.

De manier waarop het inbreken min of meer anoniem kan is door dat de inbreker de benodigde informatie van een publiek toegankelijke plaats vandaan weet te halen.
Het feitelijke inbreken gaat niet via google, maar als je eenmaal binnen bent is het uitwissen van je sporen een stuk eenvoudiger.

Vergelijk het met het vinden van alle gegevens (blauwdrukken) van een bank in de openbare bibliotheek. Dan is de bibliotheek toch ook niet strafbaar?

[Tijger]

Consequentie hiervan zou kunnen zijn dat Google om zich in te dekken tegen eventuele schade claims of slecht publiciteit het cache systeem af gaat schaffen.

Zou een hele slechte zaak zijn imho.

[Anoniem: 808]

Met google kan bijvoorbeeld ook de site van de MAKRO gehacked worden. Voer folder en makro als zoekwoord in en klik dan op: in cache

Vervolgens kom je in de makrofolder terecht, waarvoor normaliter een markopasnummer nodig is.

[Anoniem: 35807]

normaal stel je een timeout in voor geauthentiseerde gebruikers. dus langer dan X sec weg = uitgelogd.
Als je dat niet insteld ja.... dan kan iedereen via de cache erbij en meer.

[Anoniem: 37027]

mm ik ben niet helemaal zeker waar ze nou over zeuren?

is het nu (gewoon) zo dat google niet alleen de site indext maar alles wat er aanhangt?

of de site maar ook dir's waar niet naar gelinkt is op die site?....

en wat is het probleem dan????
ben zelf ff aan het zoeken geweest op google...
en na wat prutsen kom ik met dit.
http://uvisun.msfc.nasa.gov/data/2001/331/
is dit wat ze bedoelen?
dus dir's in gaan waar je via html normaal geen toegang toe zou hebben omdat er geen link van af het 'openbaare' site gedeelte?.... snap niet waar al die ophef over is...

[Anoniem: 30107]

mooie plaatjes op die site in ieder geval

[Anoniem: 14829]

Pagina is blijkbaar ondertussen dichtgegooid:

"You don't have permission to access /data/2001/331/ on this server."

[bartvb]

Google indexeert alleen maar openbare gegevens. Enige probleem is dat Google ALLES indexeert (dat niet afgeschermt is). Dus ook links die systeembeheerders op een handige admin pagina hebben gevonden die maar 1 publiek (en ook nog verborgen) linkje heeft. B.v. een transparant gifje met daaraan een link naar een simpele admin site.. Brak, slordig en slecht van de beheerder maar dat weet Google niet.

Anyway, alles dat jij via je browser niet aan kan, kan google ook niet aan..

[Anoniem: 32081]

Door echter een link te volgen die Google opleverde bevond hij zichzelf ineens op een switch van een amerikaanse .gov website.

Dus als ik dit goed lees, dan was die switch compleet niet beveiligd. Lijkt mij een slechte zaak. Dit had dan dus voorkomen kunnen worden door in de root directory van het webinterface van die switch een simpele robots.txt file te plaatsen die zegt dat zoekrobots hier niets te zoeken hebben. De grote zoekrobots houden zich hier prima aan, dus zou deze informatie niet in de database van Google terecht zijn gekomen.