利用Google作黑客攻击的原理

Google Hacking，说白了就是利用搜索引擎快速定位那些存在漏洞的主机，或者直接搜到敏感数据。以前这活儿基本靠黑客手动操作，但现在不一样了——已经有蠕虫病毒能自动完成这套流程。这可不是什么危言耸听，而是正在发生的现实。为了让大家对这个攻击手段有足够的重视，我们把这篇文章整理出来，重点讲清楚Google Hacking的攻击思路，细节部分就不展开细说了，见谅。

前言

2004年拉斯维加斯的BlackHat大会上，两位安全专家分别做了题为You found that on Google?和Google Attacks的演讲。经过安全焦点论坛WLJ的翻译整理，我觉得有必要把一些细节补充完整。今天要聊的是Google的另一个玩法：用搜索引擎快速找到存在漏洞的主机，甚至直接完成傻瓜式入侵。

用Google来做“渗透测试”

现在的渗透测试，在动手之前通常先做信息搜集，然后才是漏洞确认、利用以及扩大战果。我们今天要说的，就是其中两个关键环节：

• 第一，利用Google搜索被人安装了PHP Webshell后门的主机，并测试能否直接使用；
• 第二，利用Google搜索暴露出来的INC敏感信息。

好，直接开始。

1. 查找利用PHP Webshell

在Google搜索框里输入：

intitle:"php shell*" "Enable stderr" filetype:php

（注：intitle表示网页标题，Enable stderr是UNIX标准输出和标准错误的缩写，filetype指定文件类型。）

搜索结果里，你会看到很多可以直接在机器上执行命令的Web Shell。如果找到的PHP Shell不会用，或者不熟悉UNIX命令，直接看列表就行——这里不细说了，利用价值很大。需要说明的是，搜出来的这些国外PHP Shell都依赖UNIX命令，底层调用的是system函数。其实百度或其他搜索引擎也能干同样的事，只是搜索关键词不同而已。

经过实测，这类PHP Webshell完全可以执行echo命令。一句话就能把首页改掉：

echo "召唤" > index.jsp

在得到提示后，输入：

echo \

再写上"召唤"，首页就被改成“召唤”了。也可以用wget上传一个文件（比如要替换的页面），然后执行：

cat file > index.html

或者：

echo "" > file
echo "test" >> file

一条条命令打进去，站点首页就轻松被替换了。同样，执行：

uname -a; cat /etc/passwd

也能获取系统信息。

有一点要注意：有些WebShell程序有问题，比如http://www.al3toof.com/card/smal...c_html?command=和http://ramsgaard.net/upload/shell.php，这些站的PHP配置是global register off，所以执行不了。

解决方案：可以利用相关工具在互联网上搜索，如果发现信息被滥用，可以到http://www.google.com/remove.html提交删除请求，同时控制搜索引擎机器人的查询行为。

2. 搜索INC敏感信息

在Google搜索框里输入：

.org filetype:inc

这里搜的是org域名的INC文件（因为Google屏蔽了搜索“COM”信息，还可以搜gov、cn、info、tw、jp、edu等域名）。

很多PHP程序员喜欢把常用代码或配置信息写在.inc文件里，比如shared.inc、global.inc、conn.inc。这确实是个好习惯，连PHP官方网站都这么干，但这里藏着一个安全隐患。

有一次写PHP代码时，不小心写错了一句话，在浏览器里查看这个PHP文件，结果屏幕清清楚楚地显示了出错的PHP文件路径和代码行——这是因为PHP的错误显示配置默认是开着的。也就是说，当代码写错或者PHP解析出问题时，如果错误显示没关，客户端用户就能直接看到具体URL地址下的.inc文件内容。而.inc文件本质上和文本文件一样，在浏览器里打开会毫无保留地展示所有内容。不少站点在.inc文件里写了重要信息，比如数据库用户名和密码。国内著名公司如海尔、嘉陵摩托都出过这类问题——我敢说出来，是因为亲测过http://www.haier.com/su.../inc/conn.inc，当时暴出的数据库ID和密码用客户端连不上，因为网站关了端口1215，而且防火墙也做了过滤。

好，INC的知识讲完了。继续搜索，能找到很多暴露了MySQL口令的.inc文件。有了这些，就可以用客户端登录上去修改数据了。这涉及数据库知识，不多聊。关于“INC暴露敏感信息”就到这里。

解决方案：

• 第一，对.inc文件进行专门配置，避免用户直接获取源文件。
• 第二，更好的办法是将文件扩展名改为.php（PHP能解析的扩展名），这样客户端就不会直接看到源码了。

下面是FreeMind绘制的相关信息，用文本形式呈现：

连接符：

+  -  :  .  *  |

操作符：

"foo1 foo2"
filetype:123
site:foo.com
intext:foo
intitle:footitle
allinurl:foo

密码相关：

“index of”
htpasswd / passwd
filetype:xls username password email
"ws_ftp.log"
"config.php"
allinurl:admin mdb
service filetype:pwd (frontpage)

敏感信息：

"robots.txt"
"disallow:"
filetype:txt
inurl:_vti_cnf (frontpage files)
allinurl:/msadc/samples/selector/showcode.asp
allinurl:/examples/jsp/snp/snoop.jsp
allinurl:phpsysinfo
ipsec filetype:conf
intitle:"error occurred" odbc request where (select|insert)
"mydomain.com" nessus report
"report generated by"

至于要拿ROOT权限，得具体问题具体分析。不过有了Shell权限就好办多了，网上有很多根据WebShell提升权限的文章，可以参考一下。

通过Google还能搜到很多其他有用的东西，但都是细节，需要慢慢收集信息、分析、扩大战果。这里就不具体分析了，给大家一个思路，自己慢慢研究。

文章到这里就结束了。写这篇的目的，是想让大家关注并重视这种新的攻击手段，了解对应的防护方法。事物都有两面性，在Google盛行的时代，充分利用它的同时，也要看得更全面。