8. August 2008 - Sicherheitsrisiko Suchmaschinen

Kinderspiel Google-Hacking

Google findet mehr, als vielen lieb ist. Neben einfachen Suchergebnissen fördert die Suchmaschine auch geheime Kundendaten, Passwörter und jede Menge Adressen zutage. Auch Videos, MP3s und Software findet Google in den Tiefen des Webs. Längst dient die Suchmaschine daher Hackern dazu, Lecks auf Webservern aufzuspüren. Wir zeigen Ihnen, wie einfach die Suche nach geheimen Informationen, also das sogenannte Google Hacking, sein kann.

Datenschutzkonzept ist Grundlage der Datenschutzorganisation (Bild: Mathias Rosenthal / iStock / Thinkstock)

Fast neunzig Prozent der Internet-Surfer suchen täglich über Google. Diesen Umstand macht sich Google zunutze, um neue Seiten in seinem Katalog anzumelden.

Wer Google besucht, wird sozusagen mit einem Peilsender versehen

Das Prinzip dabei ist einfach: Wer mit seinem Browser die Google-Seite aufruft, bekommt erst einmal einen Cookie verpasst, der jede Bewegung im Netz aufzeichnet und an Google übermittelt.

Auf diese Weise gelingt es dem Suchdienst, auch Seiten und Dateien zu indexieren, die noch nicht angemeldet wurden, und so in seinen Katalog aufzunehmen.

Weitere Beiträge zu Google

Der Google-Cookie findet auf diese Weise auch geheime Daten

Dieses scheinbar praktische Prinzip nutzt nicht allen Beteiligten.

Zwar müssen Sie durch dieses System Ihre Seite nicht aufwendig in Google eintragen – dafür werden aber auch Dateien auf Ihrem Webserver gefunden, die nicht von Ihrer Webseite aus verlinkt sind und für Surfer nicht zugänglich sein sollten.

Der Google-Cookie findet diese geheimen Daten, indexiert sie und stellt die Informationen zum Abruf bereit. Wer also weiß, wonach er suchen muss, der wird vielleicht auch bei Ihnen fündig.

Stichwort „Google Hacking“
Der Begriff „Google Hacking“ wurde von dem amerikanischen Security-Spezialisten Johnny Long begründet. Er bezieht sich nicht nur auf Google, sondern auch auf alle anderen Suchmaschinen.

Da Google von rund 85 Prozent aller Surfer zur Suche genutzt wird, steht der Begriff jedoch beispielhaft für alle Suchdienste.

Hacken mit Google & Co. bringt interessante Inhalte zutage

Hacker haben die Möglichkeiten der Suchmaschinen schon lange erkannt und nutzen sie, um nach Passwortdateien, Konfigurationsseiten oder anderen sensitiven Daten und Services im Netz zu suchen.

Die Suche nach diesen Inhalten ist kinderleicht. Ein paar geschickte Eingaben in Google genügen, und schon landen in der Ergebnisliste versteckte Dateien, Zugänge zu Firmen-Intranets, frei zugängliche Netzwerkdrucker, Verzeichnisse von Netzwerkrechnern und auch jede Menge Passwortlisten.

Oft stoßen Hacker sogar auf IP-basierte Überwachungskameras, die sie über ihren Browser nach Belieben steuern können.

Der Ablauf eines Hackerangriffs über Suchmaschinen

Ein Google Hacking läuft fast immer gleich ab:

  • Zunächst sucht der Angreifer mithilfe von Suchmaschinen nach Sicherheitslücken, die sich ohne großen Aufwand ausnutzen lassen. In erster Linie handelt es sich dabei um Dienste, die zur Verwaltung von Servern und Webseiten dienen.
  • Wird er fündig und ist der Dienst nicht passwortgeschützt, so benötigt er nur noch den entsprechenden Client, um darauf zuzugreifen.

Der Klassiker: frei zugängliche Passwörter bei Frontpage-Servern

Ein klassisches Beispiel sind ältere Versionen der Frontpage-Server-Extensions, bei denen die Schlüssel zu den Passwörtern der Anwender und Administratoren in Dateien auf dem Webserver abgelegt werden.

Ohne manuelle Änderungen sind diese Verzeichnisse für jeden zugänglich.

Deaktivieren Sie „Directory Browsing“!

Mithilfe von Google und anderen Suchmaschinen lassen sich angreifbare Programme finden, deren Schwachstellen den Hackern bekannt sind. Haben Sie ein solches Programm auf Ihrem Rechner und die nötigen Sicherheits-Updates nicht aufgespielt, kann es kritisch werden.

Das gilt v.a. dann, wenn es sich um einen Webserver handelt. Ist dort z.B. „Directory Browsing“ aktiviert, kann Google den gesamten Rechner durchstöbern und alle Inhalte registrieren.

Auch Würmer nutzen Google

Doch auch Würmer lassen sich nutzen, wie im Fall des Internet-Wurms „Santy.A“. Dieser suchte über Google nach Rechnern, auf denen in PHP geschriebene Online-Bulletin-Boards gehostet wurden, und griff diese an.

Machen Sie den Selbstversuch mit Google Hacking!

Jeder kann mit Google die unglaublichsten Dinge anstellen.

Wir wollen Ihnen zeigen, was alles möglich ist. Um die Suche nachzuvollziehen, müssen Sie nur die entsprechenden Suchparameter in Google eingeben (Geben Sie bitte die Zeichen „<>“ nicht mit ein).

So finden Sie Informationen aus Datenbanken …

Zunächst testen wir, wie einfach es ist, Datenbanken aus dem Netz zu laden. Dazu wird der Suchstring <inurl:*db filetype:mdb> genutzt.

Mithilfe dieses Suchstrings finden Sie mdb-Dateien im Internet. Das sind Datenbanken, die sich mit MS Access öffnen lassen und Termine sowie vertrauliche Informationen enthalten.

Wir haben die Suche auf deutsche Webseiten beschränkt und gleich viele Treffer gelandet. Ein Klick auf den Link genügt: Sie können sich die Datenbank aus dem Internet laden und mit Access öffnen.

Der Abfragestring bedeutet, dass mit dem Befehl <inurl> nur die URLs der Seiten nach dem angegebenen Begriff durchsucht werden. Mit <filetype:> wird dann die Art der Datei gesucht. Die Endung „mdb“ steht z.B. für Datenbanken.

… und hier sind Passwörter gespeichert

Ebenfalls möglich ist die Suche nach Passwörtern. Geben Sie dazu den Suchstring <filetype:reg intext:“internet account manager“> in die Google-Suchmaske ein. Sollten keine Ergebnisse gefunden werden, versuchen Sie es mit <inurl:index.of.password>.

Diese Suche fördert exportierte Windows-Registry-Dateien zutage, die verschlüsselte Passwortinformationen enthalten können. Die Suche funktio-niert, wenn ein Benutzer eine Windows Registry exportiert und Google diese Datei in seinen Index aufnimmt.

Vorsicht, Spam!

Eine andere Methode ist die Suche über <inurl:index.of.password>. Hier finden Sie Verzeichnisse mit dem Namen „Password“. Sie werden sich wundern, wie viele das sind.

Achtung: Bei dieser Eingabe finden Sie auch viele Erotik-Seiten, die ebenfalls Passwort-Verzeichnisse aufweisen, Klicken Sie diese nicht an, sonst werden Sie in Spam ertrinken!

Auch die Suche nach <intitle:“Index of“ authors.pwd> bringt Passwörter an den Tag. Diese finden Sie zumeist im Verzeichnis „authors.pwd“.

So rufen Sie ganz einfach Traffic auf

Datenschutztechnisch ist das, was wir Ihnen bisher gezeigt haben, schon ein Skandal, doch es geht noch weiter. Auch der Traffic von Webseiten lässt sich mitunter über eine Google-Suche einsehen.

Geben Sie ein <+intext:webalizer +intext: Total Usernames +intext: „Usage Statistics for“>. Wenn Sie wissen möchten, wie viel Traffic Konkurrenzunternehmen auf ihrer Webseite haben, dann erfahren Sie das ganz einfach. Mit dem oben genannten Suchstring gelangen Sie zu aussagekräftigen Suchstatistiken im Internet.

Sogar fremde Hardware lässt sich fernsteuern
Netzwerkfähige Hardware findet sich mittlerweile in fast allen Unternehmen. Sind die Geräte nicht ordentlich geschützt, dann können sich Hacker über Google Zugriff auf sie verschaffen und sie fernsteuern. So ist es z.B. sehr einfach, an Bilder von Überwachungskameras heranzukommen oder auf Netzwerk-Drucker in Firmen zuzugreifen.

Mit dem Suchstring <„Webthru User Login“> finden Sie z.B. Samsung-Webthru-Kameras und können sich ihre Bilder im Browser anzeigen lassen.

Um auf einen Drucker zuzugreifen, braucht man auch nur den richtigen Suchbefehl und Details zum Gerät. So findet z.B. der Suchstring <intitle:“Dell Laser Printer“ ews> Dell-Drucker mit EWS-Technik (Embedded Web Server Technology).

Vorsicht ist unbedingt geboten!

Experten schätzen die Gefahr, die vom Suchmaschinen-Hacking, also dem Google Hacking ausgeht, als extrem hoch ein.

Besonders in den Händen von erfahrenen IT-Profis oder Hackern lassen sich die über Google gefunden Informationen nutzen, um verwundbare Ziele ausfindig zu machen und sensible Daten abzugreifen.

Wer sich vor Google Hacking schützen will, sollte bei der Installation von Webservern sorgfältig vorgehen und nicht benötigte Informationen, Anwendungen und Skripte löschen.

Ebenfalls wichtig sind das regelmäßige Patchen und Updaten von Software sowie das Entfernen von Default-Zugriffen auf Webkonsolen von Geräten.

Befehl Erklärung Suchstring
allintitle Grenzt die Suchergebnisse auf Seiten ein, die alle Suchbegriffe in der Titelzeile des Browsers haben. allintitle:Forum der PCPraxis
intitle Mit diesem Befehl wird nur der erste Suchbegriff in der Titelzeile gesucht, alle danach folgenden Wörter im Text. intitle:“PCPraxis“ Tipps
allinurl Hier müssen alle Suchbegriffe in der URL stehen. allinurl:Cheats Sims
inurl Nur der erste Suchbegriff muss bei diesem Kommando in der URL stehen, alle anderen im Text. inurl:login Forum Login
ext Mit diesem Operator können Sie nach Links auf bestimmte Dateitypen suchen. ext:zip NameDerDatei
cache Google speichert viele indizierte Dateien in einem Cache zwischen und ermöglich es einem Angreifer damit, ein potenzielles Opfer erst einmal „geräuschlos“ unter die Lupe zu nehmen. Mit dem Befehl cache: wird eine Kopie der Seite aus dem Google-Cache geöffnet. cache: Suchwort
site Mit dieser Eingabe suchen Sie nur auf einer bestimmten Webseite und nicht im gesamten Internet nach Informationen. site:HTTP://www.weka.de Suchbegriff

René Gelin
René Gelin, M.A., ist seit mehr als zehn Jahren als Projektleiter und freier Autor im Bereich der IT und der Telekommunikation tätig.

 

Sie glauben, Sie hätten noch so viel Zeit? Falsch! Es gibt mehr zu tun, als Sie vielleicht denken! ▶ Zeit zu handeln