Los buscadores son herramientas muy populares, que todos usamos y que todos necesitamos. Los motores de búsqueda son muy potentes y absorben toda la información que encuentran en su camino que no esté debidamente protegida.
Google es hoy por hoy el buscador más popular en uso, si
endo sus técnicas de recolección de datos y algoritmos de clasificación muy avanzados, lo que proporciona resultados certeros en las búsquedas a poco que sepamos operar con sus múltiples funcionalidades. Google es, con toda probabilidad, el buscador más tecnológicamente avanzado que existe.
Esto facilita que dispongamos de mucha información en la red. Pero también posibilita que podamos hallar información sensible que no ha sido pertinentemente securizada. Veamos en qué consiste esta técnica de minado de datos con fines maliciosos, con ejemplos y con algunos consejos para evitarlo.
¿Qué es el Google Hacking? Ejemplos
Muchos os preguntaréis qué es eso del Google Hacking. Es bien sencillo. Pulsad esta demostración, o si lo preferís, esta otra. ¿Queda claro?
Por si no quedase claro, el Google Hacking consiste en explotar la gran capacidad de almacenamiento de información de Google, buscando información específica que ha sido añadida a las bases de datos del buscador. Si las búsquedas las orientamos a ciertas palabras clave que nos ayuden a encontrar información sensible, puntos de entrada sensibles a posibles ataques, como por ejemplo, este o cualquier otro tipo de información que tuviera carácter de sensibilidad, estaremos ejecutando un Google hack. Resumiendo: Google Hacking es buscar en Google información sensible, generalmente, con fines maliciosos.
Mediante esta técnica, es posible encontrar información sobre (cada familia contiene un ejemplo práctico)
- Productos vulnerables
- Mensajes de error
- Ficheros que contienen información sensible
- Ficheros que contienen claves
- Ficheros que contienen nombres de usuario
- Footholds e información de apoyo al acceso
- Páginas con formularios de acceso
- Páginas que contienen datos relativos a vulnerabilidades
- Directorios sensibles
- Información sensible sobre comercio y banca electrónica
- Dispositivos hardware online
- Ficheros vulnerables
- Servidores vulnerables
- Detección de servidores web
¿Cómo impedir ser víctimas de Google Hacks?
Existen varias alternativas. Las citamos a continuación:
- Aprenda cómo funciona Google. Conozca y experimente las posibilidades de la búsqueda avanzada. Entienda que las búsqued as son muy refinables y que es un motor de búsqueda muy poderoso, que no sólo está pensado para ordenar y encontrar páginas web, sino que también pueden hallarse documentos ofimáticos, informes, faxes, memorandos, notas, fotografías, teléfonos … es decir, absolutamente todo lo que sea accesible puede acabar en las bases de datos de Google.
- Una vez entendido el punto primero, entienda que igual que podemos usar Google para hallar documentos inocuos, podemos emplearlo para obtener documentos con datos sensibles. Grábeselo en la cabeza. Hay gente que vive de este tipo de técnicas y de la información que extrae de ellas.
- Si dispone de página web, asegúrese de comprender lo importante que es tener un fichero de robots.txt correctamente configurado. Tener una página web es algo más que colocar fotos y documentos en la Red para que las vean los amiguetes. Nuevamente incidimos en que todo lo que se coloca en servidores Web es susceptible de acabar siendo indexado en las bases de datos de Google. Esto es aplicable para cualquier objeto accesible desde documentos Web: cámaras web, impresoras, etc.
- No deje de consultar los parámetros que definen el mecanismo de posicionamiento de resultados en Google. Aplique “posicionamiento inverso” a todo aquello que quiera mantener lejos de ojos ajenos. Puestos a aparecer, mejor aparecer en el puesto doscientos que en el quinto. No está de más usar el buscador para aprender cómo funciona el Google hacking y aplicar técnicas de inversión aplicadas a su caso.
- Si usted tiene un buen nivel técnico y administra máquinas corporativas, quizás debería plantearse no sólo la revisión de las políticas de exclusión de robots, sino además, debería probar un honeypot especializado. Le propongo Google Hack Honeypot. Funciona muy bien y le brindará información interesante sobre Google hackers que intenten explotar en sus sitios Web este tipo de técnicas.
Sería recomendable también que leyera documentos con ideas sobre este honeypot, en caso de que opte por emplearlo.
