Google Hacking - Vulnerabilidades Web #3
Mecanismos de busca como o Google são cada vez mais usados por hackers contra aplicativos da Web que armazenam dados confidenciais, de acordo com um especialista em segurança.
Mesmo com a crescente conscientização sobre segurança de dados, leva alguns segundos para colher os números da Previdência Social. de sites usando termos de pesquisa direcionados, disse Amichai Shulman, fundador e diretor de tecnologia da empresa de segurança de dados e aplicativos Imperva.
O fato de os números da Previdência Social estarem na Web é um erro humano; a informação nunca deve ser publicada em primeiro lugar. Mas os hackers estão usando o Google de maneiras mais sofisticadas para automatizar os ataques contra sites, disse Shulman.
Shulman disse que a Imperva recentemente descobriu uma maneira de executar um ataque de injeção SQL que vem de um endereço IP pertencente ao Google.
Em um ataque de injeção SQL, uma instrução mal-intencionada é inserida em um formulário baseado na Web e respondida por um aplicativo Web. Muitas vezes ele pode fornecer informações confidenciais de um banco de dados de back-end ou ser usado para plantar códigos maliciosos na página da Web.
Shulman se recusou a dar detalhes sobre como o ataque funciona durante sua apresentação na RSA Conference na segunda-feira, mas disse que envolve o Google. sistema de publicidade. O Google foi notificado, disse ele.
A manipulação do Google é particularmente útil, pois oferece anonimato para um hacker e um mecanismo de ataque automatizado, disse Shulman.
Ferramentas como Goolag e Gooscan podem executar pesquisas amplas na Web para fins específicos. vulnerabilidades e listas de retorno de sites que têm esses problemas.
"Isso não é mais um jogo infantil de script - isso é um negócio", disse Shulman. "Este é um recurso de hacking muito poderoso."
Outro método de ataque é o chamado Google worms, que usa o mecanismo de busca para encontrar vulnerabilidades específicas. Com a inclusão de código adicional, a vulnerabilidade pode ser explorada, disse Shulman.
"Em 2004, isso era ficção científica", disse Shulman. "Em 2008, esta é uma realidade dolorosa."
O Google e outros mecanismos de busca estão tomando medidas para impedir o abuso. Por exemplo, o Google interrompeu determinados tipos de pesquisas que poderiam gerar um grande número de números da Previdência Social de uma só vez. Ele também coloca limites no número de solicitações de busca enviadas por minuto, o que pode retardar buscas em massa por sites vulneráveis.
Na verdade, isso apenas força os hackers a serem um pouco mais pacientes. Colocar limites à busca também prejudica os profissionais de segurança que querem fazer buscas diárias automáticas em seus sites, disse Shulman.
Shulman disse que viu outro tipo de ataque chamado "site masking", que faz com que um site legítimo simplesmente desaparecer dos resultados da pesquisa.
O mecanismo de pesquisa do Google penaliza sites que têm conteúdo duplicado e descartam um de seu índice. Os hackers podem aproveitar isso criando um site que tenha um link para a página da Web de um concorrente, mas seja filtrado por meio de um servidor proxy.
O Google indexa o conteúdo no domínio do proxy. Se isso for feito o suficiente com mais servidores proxy, o Google considerará a página da Web segmentada duplicada e soltá-la de seu índice.
"Isso é uma grande complicação comercial", disse Shulman.
Administradores de sites unidirecionais Eles podem se defender contra o fato de impedir que seu site seja indexado por algo que não seja o endereço IP legítimo de um mecanismo de busca, disse Shulman.
Segurança, Segurança, Mais Segurança
Notícias de segurança dominaram esta semana, e esse será, sem dúvida, o caso na próxima semana também, com o Black Hat e Defcon …
À Medida que a padronização do sistema operacional aumenta, as ameaças à segurança dos smartphones tornam-se um problema mais sério, disse um analista da Gartner. Como os dispositivos sem fio se tornam mais numerosos nas empresas, sua conveniência será contrabalançada por um potencial crescente de problemas de segurança, segundo um analista da Gartner. As novas tendências na indústria sem fio estão facilitando ataques de hackers, disse John Girard. Um vice-presidente da Gartner, que falou na IT
Há alguns anos, não havia muita padronização em dispositivos sem fio. Diferentes sistemas operacionais, diferentes implementações de Java móvel e até mesmo configurações variadas entre dispositivos com o mesmo sistema operacional dificultaram a criação de códigos maliciosos que rodavam em uma grande variedade de dispositivos, disse Girard.
China nega hacking, busca trégua antes da ciberguerra A chanceler chinesa pediu no sábado que as nações cooperem na segurança da Internet, em vez de fazer guerra cibernética, já que ele A acusação de ministros estrangeiros da China no sábado pediu às nações que cooperem na segurança da Internet, em vez de empreender uma guerra cibernética, já que ele negou acusações em um relatório recente de que as forças armadas do país estavam sendo processadas. por trás de ataques de hackers
XinhuaYang Jiechi