구글해킹

 

01 구글해킹 [Googling hacking]

 

구글해킹은 검색 서비스를 이용하여 서비스를 해킹하는 기술입니다. 정확히는 해킹에 필요한 정보를 얻기 위한 기술들로 단순히 데이터를 검색하는 것 뿐만 아니라 검색 연산자를 이용하여 원하는 데이터를 세밀하게 식별할 수 있습니다. 
구글은 봇을 이용해 네트워크로 연결된 모든 웹 페이지들의 정보를 수집하는데 이렇게 수집된 데이터들을 서버에 캐시 상태로 저장하게 됩니다.
그래서, 이미 저장된 웹 페이지가 이동되거나 삭제된 경우에도 오랜 시간이 지나기 전까지는 검색결과에 해당 웹 페이지의 정보를 찾을 수 있습니다. 이렇게 모은 데이트로 웹 페이지의 취약점을 찾습니다.

 

 

 

02 구글 해킹 키워드 종류 및 사용방법

Filetype:[filetype]

• filetype을 이용하면 특정 파일 타입만 검색 할 수 있다.
• ex) hacking filetype:pdf라고 검색을 하면 hacing을 담은 pdf 파일만 구글에 검색된다. 특정한 파일을 찾을 때 유용하다.

 

Site:[URL]

• site를 이용하면 특정 사이트 내에서만 검색 할 수 있다.
• ex) hacking site:naver.com라고 검색하면 naver.com 내의 hacking만 검색 결과로 나온다.

 

intitle:[문자열] or alltitle:[문자열]

• intitle, alltitle을 이용하면, 타이틀에 키워드가 있는사이트에서만 검색이 가능하다.
• intitle은 부분만 일치해도 되지만, alltitle은 모든 키워드가 일치하는 사이트만 표시한다.
• intitle을 이용한 공격중에 가장 흔한 공격은, 디렉토리 리스팅인데 intitle:"index of"라고 검색하면 디렉토리 리스팅 취약점이 있는 사이트가 뜬다.

 

inurl:[문자열]

•  inurl 명령어는 검색어가 포함된 URL 및 웹 문서를 찾아준다.
• 조금 더 정확한 검색을 위해선 큰 따옴표("") 명령어도 함께 써주면 된다. 주의해야 할 점은 info 명령어와 :(콜론) 기호 그리고 검색어 이 모두를 바로 붙여 입력해야 한다.
• inurl 명령어 뒤에 it와 naver를 입력해본 결과 it 또는 naver가 URL로 들어간 웹 페이지 및 naver를 포함한 웹 문서를 보여준다.

 

intext:[문자열]

• intext:키워드를 입력하면 본문에 키워드가 존재하는 사이트를 검색하여 보여준다.

 

 

03 구글 검색을 이용하여 찾을 수 있는 취약점

 

관리자 페이지 노출 취약점

• 해당 취약점은 말 그대로 관리자 페이지가 '노출'된 경우 취약하다 판단한다.
• 취약점 이름에서 짐작할 수 있듯이 말그대로 관리자 페이지가 노출되면 취약이다.
• 일반사용자나 웹상에 관리자 페이지가 노출된 경우/ 관리자 페이지 주소를 추측해 URL로 외부에서 접근 가능한 경우 취약하다.
• 실제로 관리자 페이지여서 추측 가능한 admin, manager, master 등으로 설정된 경우 노출 위험성이 높아진다.
• 관리자 페이지의 접속 후 ID, PW를 추측 불가능한걸로 설정해서 괜찮다고 생각하는 경우가 있는데, 이런 경우에도 단순히 관리자 페이지가 노출되었으므로 취약하다 판단하니 애초에 노출되지 않도록 하는것이 중요하다.

 

관리자 페이지 노출이 위험한 이유

• 관리자 페이지가 노출될 경우 공격자의 주 타겟이 되기 때문에 위험하다 판단한다.
• 만약 노출이 된경우 무차별 대입 공격(brute force)등의 공격으로 관리자의 비밀번호가 노출 될 가능성이 존재한다.
• 이를 통해 개인정보가 노출, 문서 및 홈페이지 운영에 필요한 중요 정보가 노출될 수 있다.

 

디렉터리 리스팅 취약점

• 취약한 웹 서버 설정으로 인해 인해 인덱싱(리스팅)기능이 활성화 되어, 서버 내 모든 디렉터리 및 파일목록을 볼 수 있는 취약점
• 수많은 웹 사이트들이 아직도 관리자 페이지를 /admin/ 이나 /manager/와 같이 사용하고 있다. 메인 URL 뒤에 디렉토리로 붙여만 주면 쉽게 관리자 페이지에 접근할 수 있다.
• 대응책으로는 디렉터리 인덱싱 기능을 제거가 있다.(시스템 별 설정 상이)