Shodan este un motor de căutare al hackerilor. Cum îți pot fi utile motoarele de căutare pentru hackeri

Acest articol este destinat celor care fie nu au auzit deloc de Shodan, fie au auzit, dar încă nu înțeleg cum să-l folosească. Nu am găsit materiale similare în rusă, am primit o parte din informații, am adăugat restul de la experienta personala... Voi da exemple de utilizare a „cel mai înfricoșător motor de căutare de pe internet” numit Shodan. Serviciul a fost dezvoltat de dezvoltatorul web John Matherly și se concentrează în primul rând pe găsirea de dispozitive conectate la Internet.

Shodan interoghează porturile dispozitivelor și, pe baza bannerelor de răspuns primite, trage concluzii despre dispozitive și servicii. Motorul de căutare este plătit, abonare anuala va costa 20 USD, cu toate acestea, îl puteți încerca în acțiune pentru asta: după înregistrare gratuită 50 de rezultate de căutare disponibile. Veți găsi chiar dvs. istoria creației și biografia autorului, dacă este interesant, dar deocamdată să trecem la treabă:

Filtre

Rezultatele căutării pot fi filtrate folosind următoarele constructe:

• tara: tara, in formatul RU, Marea Britanie, SUA etc., de exemplu: nginx tara: RU
• oraș: oraș, de exemplu: nginx oraș: „Moscova” țara: RU
• os: sistem de operare de exemplu: microsoft-iis os: „windows 2003”
• port: port în formatul 21, 80, 443 etc., de exemplu: port proftpd: 21
• hostname: vă permite să căutați în funcție de domeniu, de exemplu: nginx hostname: .de

Exemplul 1: Dispozitive Cisco

Pentru a înțelege primul exemplu, trebuie să vă amintiți cum sunt principalele coduri de răspuns HTTP:
Codurile de stare HTTP:

• 200 OK Solicitare reușită;
• 301 MovedPermanently Atribuit un URI permanent nou;
• 302 FoundResides sub un alt URI;
• 401 Solicitarea neautorizată necesită autentificare;
• 403 ForbiddenRequest este refuzată indiferent de autentificare.

V acest exemplu vom încerca să găsim dispozitive-cisco cu o interfață web de acces care nu necesită autorizare.
Mai întâi, să vedem cum arată un banner tipic „401 neautorizat” pentru un dispozitiv Cisco dacă introducem „cisco” în bara de căutare:

HTTP / 1.0 401 Neautorizat
Data: joi, 20 octombrie 1994 05:18:36 GMT
Server: cisco-IOS
Conexiune: aproape
Accept-Interval: niciunul
WWW-Authenticate: domeniul de bază = „level_15_access”

Rețineți că linia „WWW-Authenticate: tărâm de bază =" level_15_access " indică necesitatea introducerii unui nume de utilizator și a unei parole.
La rândul său, dispozitivul, în care nu este necesară autorizarea, ne va returna un banner cu starea 200 (pentru aceasta conducem în „200 cisco” în bara de căutare, o altă linie Last-Modified - semn sigur că acesta este „clientul nostru”:

HTTP / 1.0 200 OK
Data: Luni, 08 septembrie 2014 22:28:16 GMT
Server: cisco-IOS
Conexiune: aproape
Transfer-Codificare: fragmentat
Tip de conținut: text / html
Expiră: Luni, 08 septembrie 2014 22:28:16 GMT
Ultima modificare: Luni, 08 septembrie 2014 22:28:16 GMT
Cache-Control: fără stocare, fără cache, revalidare obligatorie
Accept-Interval: niciunul

Exemplul 2: Parole implicite

Multe dispozitive cu date de conectare și parole implicite sunt conectate la Internet, să încercăm să găsim ceva. Pentru a face acest lucru, scrieți „implicit + parolă” în bara de căutare. Să adăugăm și portul: 80 pentru a selecta dispozitivele autentificate prin www.

Ca urmare, vom vedea o mulțime de bannere care conțin fraza dorită și, după cum arată practica, un procent mare de dispozitive vor avea un login/parolă de forma admin/parolă, admin/pass etc.,

Exemplul 3: Camere CCTV

Dacă în caz dispozitive de rețea utilizatorii setează în majoritatea cazurilor parole mai mult sau mai puțin puternice, dar cu restul echipamentelor situația este mult mai gravă. În acest exemplu, ne vom uita la camerele CCTV. La serviciu, de multe ori am de-a face cu DVR-uri de la DVR, unele dintre ele au conexiune la rețea. Scriem în bara de căutare: Port DVR: 80 țara: RU oraș: „Sankt Petersburg” Și obținem o listă de DVR-uri din Sankt Petersburg, s-au găsit aproximativ 200 de dispozitive.

Standard Conturi pe astfel de dispozitive admin și user, parole: admin, user, 1111, 1234, 123456, 8888 (se găsesc în instrucțiuni). Deja pe prima pagină un dispozitiv cu un cont standard:

Exemplul 4: Căutări populare

În secțiunea Căutări populare, puteți spiona opțiunile de interogare, de exemplu, căutați camere ip avtech în Statele Unite: linux upnp țara avtech: SUA, adăugați portul obișnuit: filtrul 80:

Și din nou, pe prima pagină a căutării, apare un dispozitiv, în care s-a dovedit a fi autentificat cu ajutorul admin / admin:

Rezultate

În concluzie, vreau să le reamintesc încă o dată tuturor utilizatorilor: vă rugăm să setați parole puternice pe TOATE dispozitivele conectate la rețea, dacă nu aveți date „secrete” în DVR sau smart-TV, asta nu înseamnă că aceste dispozitive nu pot. deveniți ținta intrușilor, chiar dacă doar pentru distracție.

Majoritatea oamenilor iau unele măsuri pentru a-și proteja computerele, smartphone-urile și tabletele de infractorii cibernetici. Cel puțin, evită clicurile pe linkurile din stânga și verifică fișierele descărcate cu un antivirus. Dar acest lucru nu este suficient.

În 2016, ar trebui să ai grijă de siguranța fiecărui dispozitiv care are acces la Internet: webcam, imprimantă, semafor, frigider, cuptor cu microunde. Acest articol va sublinia pe scurt cum să identifici „legăturile slabe” din mediul tău și să te protejezi.

Ar trebui să-ți fie frică de o „casă inteligentă”?

În ultimii ani, știrile despre atacuri demonstrative asupra diferitelor ustensile de uz casnic au apărut adesea pe bandă. Băieții de la Pen Test Partners fac cercetări interesante:

• Infectarea termostatului cu malware care necesită o răscumpărare și crește treptat temperatura.
• Cercetarea unui aparat de cafea pentru vulnerabilități care permit, fără știrea proprietarului, începerea preparării unei băuturi și modificarea nivelului puterii acesteia.
• Hackerea unui frigider Samsung rezultând o parolă de la Inbox Gmail proprietar (informațiile despre produs au fost salvate în Google Calendar).
• Obținerea accesului la soneria este câteva minute de acțiuni elementare și poți conduce o persoană de pe canapea la ușă fără să alergi singur.

O astfel de distracție înveselește și atrage atenția. Demonstrații live ale experiențelor similare au mare succes la conferinte de tehnologie. Dar până acum nu există aproape nicio veste că cineva (care nu trebuie să-și promoveze firma de securitate a informațiilor) a piratat frigiderul altcuiva. „Lucrurile inteligente” abia încep să se răspândească și nu este rentabil să le spargi (spre deosebire, de exemplu, de mașini).

Există o anumită șansă de a deveni victima unui ciudat sau a unui adolescent care te va rupe din tendințele pur sadice. De exemplu, un idiot a spart monitorul pentru bebeluși al unui copil și l-a speriat cu o voce înfricoșătoare.

Dar, în ciuda riscului mic de a avea probleme sau a lipsei unei astfel de tehnologii, nu ar trebui să vă limitați preocupările legate de siguranță la un computer / smartphone / tabletă. La urma urmei, unele „obiecte inteligente” au fost incluse de mult în viața de zi cu zi.

Mulți dintre noi acasă/la serviciu avem routere, camere de supraveghere, imprimante de rețeași alte dispozitive discrete care sunt instalate științific, au un IP public, o parolă implicită și firmware vechi... În această situație, ele pot fi teoretic controlate de oricine.

Mic truc vizual

1. Accesați shodan.io, creați un cont, conectați-vă.
2. Cautam video recordere cu acces prin http, care se afla in Rusia. Introducem cererea:
Port DVR: 80 țară: RU

3. Copiați adresa IP a primului rezultat (212.41.63.135) în fila adiacentă. Introduceți login / parola (admin / 123456):

4. Deschideți JPEG Viewer:

5. Vizionarea biroului de la diferite camere. Mă întreb ce va face omul cu cutia de pe perete acum?

Parolele implicite sunt rele.

Ce-a fost asta?

S-a dat cele de mai sus cel mai simplu exemplu uz practic Shodan. Motorul de căutare IoT face ping la toate adresele IP (IPv4) în fiecare zi și își actualizează baza de date. Are toate dispozitivele care sunt conectate la internet. Proiectul a fost lansat acum 7 ani pentru cercetătorii în securitatea informației.

Uneori, Shodan este numit motorul de căutare IoT. Într-adevăr, din ce în ce mai des, printre routerele și camerele obișnuite, experții îl folosesc pentru a găsi obiecte curioase, al căror control poate fi confiscat de hackeri. De exemplu:

• semafor;
• încălzitoare de apă;
• usi automate;
• cuptor cu microunde;
• unități frigorifice pentru role;
• panouri de control centrale hidroelectrice.

Toate dispozitivele, al căror producător, intenționat sau prin supraveghere, a decis să le furnizeze un IP public se află în baza de date Shodan (și multe baze de date private similare). Este posibil ca undeva în subsolul chinez să fi fost deja colectate jucării sexuale, care sunt controlate printr-o interfață web deschisă întregii lumi.

Sunt stocate multe despre fiecare dispozitiv din baza de date. informatii diferite: producător, versiune de firmware, porturi deschise dacă dispozitivul este susceptibil la vulnerabilități populare, dacă are o parolă implicită și locația sa aproximativă (pe ecran versiune gratuită si tot Optiuni Disponibile Nu pot sa vad).

Cu toate aceste informații în mână, persoana în cauză poate găsi o modalitate de a obține acces la dispozitiv. Și de multe ori, pentru asta, nu trebuie să fie un hacker cool cu ​​o minte analitică plină de energie. Trebuie doar să poți căuta sârguincios pe Google și să urmezi clar instrucțiunile.

După cum puteți vedea din exemplu, Shodan acceptă operatorii de căutare. De exemplu, „oraș:” vă permite să căutați dispozitive într-un anumit oraș:

Într-un cont nealimentat, nu puteți face mai mult de 50 de solicitări. Un abonament Shodan costă 49 ​​USD. Dar pentru un autotest superficial, un analog gratuit este potrivit pentru cititori.

Explorând împrejurimile noastre

Proiectul Censys a fost creat de oameni de știință de la Universitatea din Michigan la Asistență Google. Principii generale utilizările sunt similare cu Shodan. Să mergem pe censys.io și să încercăm să găsim camere web într-o anumită zonă din partea centrală a Rusiei:

80.http.get.headers.www_authenticate: netcam AND location.latitude: (55 TO 57) AND location.longitude: (37 TO 39)

Harta este activată prin elementul de meniu „Vizualizare pe hartă”. Astfel, puteți încerca să găsiți dispozitive în apropierea casei dvs. (coordonatele acestora pot fi găsite în Wikimapia). Dar rețineți că informațiile despre locația dispozitivelor sunt preluate din baza de date GeoIP, care conține inexactități.

Censys poate căuta, de asemenea, dispozitive într-o serie de adrese de rețea:
ip:

Cu ajutorul unei astfel de solicitări, poți afla despre toate dispozitivele care sunt conectate la internet în casa sau biroul tău. Recomand cititorilor să efectueze o astfel de căutare pentru a afla posibile probleme(sau spionează în secret un vecin care iubește parolele 123456).

Pentru fiecare dispozitiv găsit, puteți vizualiza informații despre acesta. Iată un exemplu de pagină de cameră din primul exemplu. Aici vedem că există acces prin http și pentru a-l obține, trebuie să introduceți numele de utilizator și parola. Dacă vedeți ceva similar pe dispozitivele dvs. - verificați puterea parolei:

Uneori, Censys va emite o notă care afirmă că obiectul actual este vulnerabil la un fel de vulnerabilitate. De exemplu, acest server poate suferi de Heartbleed (buffer overflow). Proprietarii săi trebuie să actualizeze software-ul:

Mulți au auzit probabil despre formidabilul motor de căutare Shodan, care este atât de activ folosit de diverși entuziaști. Acest motor de căutare a fost dezvoltat de dezvoltatorul web John Matherly și se concentrează în primul rând pe găsirea de dispozitive conectate la Internet. Shodan caută porturi pentru dispozitive și, pe baza bannerelor de răspuns primite, trage concluzii despre dispozitive și servicii. Dar Shodan nu este atât de inofensiv pe cât pare la prima vedere.

Introducere

Vă rugăm să rețineți că articolul a fost scris doar în scop informativ și nu cheamă cititorii la acțiuni ilegale!

În dreapta, puteți vedea linii precum Bine ați venit la serviciul FTP ASUS GT-AC5300. 230 Conectare reușită - înseamnă că autorizarea a avut succes.

Dar asta nu este tot. Dacă introduceți separat cererea de conectare cu succes în căutare, aceasta se va afișa lista mare tot ceea ce poate fi conectat doar fără autentificare și parole. Și acolo, trebuie remarcat, vine peste o mulțime de site-uri interesante, uneori chiar mari.

Agențiile guvernamentale sunt și ele atacate

Cireșe pe tort: ​​nu totul este perfect protejat, oricât de parcă ar fi invers. Și cu cât sistemul este mai complex la prima vedere, cu atât protecția este mai slabă.

Dar să revenim la interogarea de căutare: dacă adăugați la căutare un AVERTISMENT Login succes, puteți vedea un rezultat interesant (Figura 3).

Figura 3.Lista calculatoarelor, vulnerabil atunci când vi se solicită să adăugați o cheie de AVERTISMENT la o conectare reușită

Aici puteți vedea, de asemenea, computerele corporațiilor și organizațiilor guvernamentale deschise pentru acces. tari diferite(Figura 4).

Figura 4. Afișarea unuia dintre computerele guvernamentale printr-o solicitare vulnerabilă

Atenție la marcajul roșu: iată un avertisment sever că acesta este unul dintre computerele guvernului SUA.

Asalta cetate

Deci, jumătate din bătălie este încheiată, rămâne de verificat dacă Shodan știe cu adevărat în care dintre zidurile cetății are o gaură. Să mergem direct la solicitarea FTP. Ce vedem?

Figura 5.

Acesta este modul în care vă puteți conecta la computer fără obstacole. a acestei resurse fără prea mult efort sau software de la terți.

concluzii

În fiecare zi în sisteme informatice atacatorii pătrund pentru a obține date personale și informații confidențiale. Adesea își îndeplinesc intenția insidioasă din cauza greșelilor făcute administratorii de sistem care nu sunt capabili să configureze corect echipamentele din cauza lipsei de cunoștințe în domeniul securității informațiilor sau din cauza lenei lor elementare. Este și mai rău atunci când astfel de specialiști lucrează în fabrici și produc dispozitive finite, programându-le inițial incorect. Există destui astfel de „meșteri” printre angajații organizațiilor guvernamentale. Prin urmare, nu trebuie să fii surprins dacă într-o zi rachetele nucleare zboară brusc spontan, pentru că până și cele mai zgomotoase precedente pot începe cu o vulnerabilitate într-un router.

Deci, pentru a rezuma: un sistem sau o resursă care este protejată la prima vedere poate avea o gaură pe o parte. Se pare că prin această gaură poți intra liber în orice resursă fără niciun efort. Oficialii de securitate din organizații de toate dimensiunile și oamenii obișnuiți (la urma urmei, toată lumea are ceva de pierdut!) Ar trebui să-și amintească că cetatea nu va rezista atunci când există o gaură imensă într-unul dintre ziduri.

Motor de căutare Shodan

Toți utilizatorii sunt familiarizați cu motoarele de căutare precum Google, Yandex, Rambler, Yahoo, Bing și puteți enumera multe altele, atât interne, cât și străine (de exemplu, chineze).

Aceste motoare de căutare caută pe web pagini web, imagini, videoclipuri, documente și știri.

Dar în cercuri restrânse, de exemplu, sunt folosite servicii specializate în informații, securitate cibernetică și atacuri cibernetice.

Ce este motorul de căutare SHODAN? Sistemul SHODAN sondajează porturile mașinilor conectate la rețea și colectează bannerele emise ca răspuns, după care indexează aceste bannere pentru găsirea rapidă ulterioară a dispozitivelor corespunzătoare. Ca urmare a unei astfel de prelucrări, în loc să furnizeze conținut specific de pagini care conțin anumite cuvânt de căutare interogare, SHODAN își ajută utilizatorii să găsească noduri specifice în rețea: desktop-uri, servere, routere, comutatoare, camere web, imprimante etc.

Spre deosebire de Google, care caută pe Web site-uri simple, Shodan lucrează cu canalele umbrite ale Internetului. Shodan operează 24 de ore pe zi, 7 zile pe săptămână, colectând informații despre 500 de milioane de dispozitive și servicii conectate în fiecare lună.

Într-o discuție susținută la conferința pentru hackeri Defcon, specialistul independent în teste de penetrare Dan Tentler a demonstrat cum SHODAN poate fi folosit pentru a găsi:

1. sisteme de evaporare termică;
2. nenumărate semafoare;
3. Cazane pentru incalzirea apei sub presiune;
4. sisteme de control al ușilor de garaj;
5. sistemul de control al traficului auto al unui întreg oraș, care poate fi comutat în „modul de testare” prin introducerea unei singure comenzi;
6. un sistem de control al centralei hidroelectrice, dintre care două turbine generează energie de 3 megawați fiecare;
7. parcuri acvatice, benzinării, răcitoare de vinuri de hotel și sisteme de control pentru crematoriu;
8. sisteme de comandă și control ale centralelor nucleare și un accelerator de particule atomice.

Și ceea ce este deosebit de notabil la Shodan, cu capacitățile sale intimidante, este faptul că foarte puține dintre sistemele menționate au vreo caracteristică de securitate.

„Poate face un rău grav”, a spus Tentler despre probabilitatea ca astfel de oportunități să cadă în mâini greșite.

Cel mai adesea, această neglijență misterioasă și masivă a oamenilor este explicată cam așa: pentru multe dintre toate aceste dispozitive industriale, nu a fost niciodată intenționat să funcționeze online. Se știe că multe companii doresc să achiziționeze sisteme care să le permită să controleze, să zicem, un sistem de încălzire folosind un computer. Dar cum este conectat computerul de control la sistemul de încălzire? În loc să le conecteze direct între ele, multe departamente IT conectează pur și simplu ambele dispozitive la serverul web al unei companii - îmbinând fără să vrea canalele lor extrem de interne cu restul lumii. Cu alte cuvinte, nesiguranța monstruoasă a unor astfel de soluții se explică prin faptul că, cu o abordare minim competentă, astfel de lucruri pur și simplu nu ar trebui să existe în principiu pe Internet. Și așa cum speră experții în protecția informațiilor, motoarele de căutare precum SHODAN sunt capabile să corecteze această adversitate.

Dar cum să vă asigurați că SHODAN este folosit doar de dragul faptelor bune? Proprietarul motorului, John Matherly, limitează căutările utilizatorilor în sistemul său la un plafon de 10 rezultate fără înregistrare și 50 cu un cont înregistrat. Dacă utilizatorul dorește să vadă tot ce are SHODAN în acest cont, atunci Matherly necesită informații suplimentare clarificatoare cu privire la scopul acestor căutări. Plus unele taxe de servicii.

Principalii utilizatori ai SHODAN sunt specialiști în teste de penetrare, profesioniști în securitate, cercetători academicieni și agenții de aplicare a legii. Desigur, Matherly admite că atacatorii pot folosi motorul său de căutare și ca rampă de lansare pentru faptele lor nefaste. Dar acest aspect al cercetătorului nu este deosebit de îngrijorat. Pentru că infractorii cibernetici, după cum știți, au de obicei acces la rețele bot - adică complexe mari de computere deja infectate cu coduri malware - care sunt capabile să îndeplinească aceeași sarcină ca SHODAN. Dar numai fără a-și expune interesele penale în comunitatea de protecție a informațiilor juridice. În plus, marea majoritate a atacurilor infracționale cibernetice se concentrează pe furtul de bani și proprietate intelectuală... Până acum, nu se știe nimic despre încercările rău intenționate ale intrușilor de a arunca în aer sistemele de încălzire din case sau de a tăia masiv semafoarele din orașe. Ei bine, profesioniștii în securitate, la rândul lor, încearcă în toate modurile posibile să prevină desfășurarea evenimentelor conform unor astfel de scenarii. Inclusiv, folosind SHODAN pentru a-i identifica pe toți cei neprotejați, dar masiv conectați rețea comună dispozitive și servicii.

Dacă faci o căutare simplă pentru „parolă implicită”, poți găsi număr infinit imprimante, servere și sisteme de control cu ​​autentificare „admin” și parolă „1234”. Chiar și mai multe sisteme conectate nu au acreditări de acces deloc - vă puteți conecta la ele folosind orice browser.

Dezvoltatorul lui Shodan, John Materly, a fost rugat să răspundă la întrebări legate de munca lui Shodan.

V: John, cum ai început cu Shodan?

O: Am început în a mea timp liber cu un computer Dell de 100 USD și a funcționat puțin câte puțin timp de trei ani. Când am început, am adăugat 10.000 - 100.000 de dispozitive descoperite pe lună, acum adaug sute de milioane. Viteza cu care pot lucra acum a crescut semnificativ.

V: Aceasta este mult. Care este scopul creării lui Shodan?

O: Nu este folosit cu adevărat pentru ceea ce l-am proiectat. De fapt, am creat Shodan pentru ca companiile să poată urmări unde sunt folosite. software... Acum este folosit de experții în securitate pentru a căuta programe, dispozitive și vulnerabilități în sisteme diferite protecţie.

V: Shodan funcționează ca Google?

O: Da, sunt asemănătoare. Dar roboții Google urmăresc linkurile - eu nu. Singurul lucru pe care îl fac este să aleg un IP aleatoriu dintre toate cele existente, nu contează dacă este online sau în uz deloc - și încerc să mă conectez la el prin diferite porturi. Acest lucru nu este cert sistemul vizual, în sensul că nu poți folosi un anumit browser în acest scop. Majoritatea oamenilor nici măcar nu vor putea să o detecteze așa, deoarece această informație nu are reprezentare vizuală.

V: Deci, ce fel de dispozitive pe care le puteți accesa s-au dovedit a fi conectate la internet? Ceva ce nu te așteptai să vezi?

O: Unul dintre astfel de dispozitive s-a dovedit a fi, de exemplu, un ciclotron - un accelerator de particule încărcat. Acest echipament este pentru a face experimente de fizică teoretică, este foarte, foarte instabil și în niciun caz nu trebuie conectat la internet. Au fost și diverse lucruri ciudate, cum ar fi crematorii. Vedeți cum apare numele persoanei în sistem și aveți acces la setări diferite incinerare. Nu necesită nicio autentificare, fără parole, nimic. În Franța exista și o centrală hidroelectrică uriașă de megawați online. Interesant este că în spate era deja un istoric de eșecuri, orașul de lângă el a fost odată inundat din cauza unei erori la stație.

V: Lucruri precum centralele electrice nu ar trebui să aibă o apărare mai bună?

O: Unul dintre motivele pentru care se întâmplă acest lucru este că oamenii încearcă să economisească bani. Internetul nici nu exista atunci când au fost construite majoritatea acestor stații, așa că au cumpărat doar un adaptor pentru a conecta complexul la Internet și pentru a economisi niște bani pe implementarea unui sistem complet securizat. Este destul de evident că nu s-au gândit deloc la siguranță.

V: Vrei să spui că multe lucruri nici măcar nu necesită o parolă?

O: Da, este. Și chiar și acele dispozitive care necesită autentificare folosesc adesea setările implicite, așa că tot ce trebuie să faci este să mergi la Shodan și să cauți dispozitive care folosesc parola implicită.

V: Ce părere aveți despre potențiala amenințare pe care o reprezintă această stare de fapt?

O: Există diferite niveluri preocupările legate de securitate. Camerele web conectate la internet pot reprezenta o amenințare minimă, dar pot încălca în mod evident confidențialitatea personală. Dispozitivele mici nu reprezintă din punct de vedere tehnic o amenințare la securitatea națională în sine. Dar dacă aveți capacitatea de a compromite sute de mii de astfel de dispozitive, atunci devine într-adevăr o problemă de securitate națională, deoarece având control asupra atâtor dispozitive dintr-o singură țară, puteți face o cantitate incredibilă de rău. Prin urmare, problema devine critică atunci când vine vorba de cantități mari.

V: Te surprinde că nu s-a întâmplat încă nimic grav?

O: Cred că oamenii subestimează cantitatea de cunoștințe tehnice necesare pentru a trece de la descoperire la utilizarea cu succes. Și în al doilea rând, nu știi niciodată la cât timp a fost expus sistemul. Puteți să-l accesați, să rulați un program în modul de repaus și, când trebuie să îl utilizați pentru un obiectiv strategic, îl puteți introduce din nou.

V: Adică chiar acum în unele sistem important poate exista un virus adormit?

O: Da, este foarte posibil. Adică, oricum ai nevoie de niște cunoștințe - nu poți fi un tânăr de 16 ani care tocmai a luat și s-a conectat la sistemul de control al unei centrale electrice, nu este atât de ușor. Îl puteți găsi cu Shodan, dar pentru a vă instala propriul cod în el, aveți nevoie de cunoștințe reale despre cum funcționează acest dispozitiv, mai ales când vine vorba de sisteme complexe, cum ar fi o centrală electrică.

V: Atunci, ce îi oprește pe criminali bine pregătiți să-l folosească pe Shodan pentru a face rău?

O: Oamenii care știu cu adevărat ce fac și intenționează să facă ceva ilegal nu vor folosi Shodan pentru asta, deoarece nu doresc absolut să lase o urmă care poate fi urmărită până la ei. Shodan nu este serviciu anonim... Dacă doriți să îl utilizați pentru a obține mai mult de 50 de răspunsuri per solicitare - și 50 nu înseamnă mult - trebuie să furnizați Informații personale, precum și o anumită taxă. Dacă cineva dorește să facă ceva cu adevărat ilegal, folosește botnet-uri care vor colecta aceleași informații pentru el.

CNN l-a numit odată pe Shodan „cel mai înfricoșător motor de căutare de pe internet”. Și chiar și numele său sună cu adevărat intimidant. Chiar dacă a fost acum trei ani, Shodan nu s-a dezvoltat prea mult de atunci. Pentru cei care nu sunt familiarizați cu Shodan, caută dispozitive conectate la internet în toată lumea. Acest concept include nu numai computere și smartphone-uri, ci poate găsi și turbine eoliene, semafoare, cititoare de plăcuțe de înmatriculare, frigidere și aproape orice altceva cu o conexiune la rețea.

Rețineți că multe dintre aceste dispozitive pe care le folosim zilnic sunt nesecurizate. Prin urmare, un astfel de motor de căutare este visul unui hacker. Shodan nu este singurul motor de căutare de acest tip. În acest articol ne vom uita la alte patru motoare de căutare axate pe găsirea vulnerabilităților. S-ar putea să fii familiarizat cu unele dintre ele.

Mai întâi, să aflăm mai multe despre Shodan.

Shodan

Figura 1. Motorul de căutare Shodan

Amintiți-vă că Shodan este departe de a fi un motor de căutare nou, dar actualizat constant. Numele său este o referire la SHODAN, un personaj din seria System Shock. Cea mai frecventă interogare din acest motor de căutare - „Server: SQ-WEBCAM” - arată numărul de persoane conectate la acest moment camere IP. Dacă este prima dată când încercați Shodan, introduceți această interogare de top și vedeți ce se întâmplă.

Principalul motiv pentru care Shodan este luat în considerare bun motor de cautare pentru hackeri, este tipul de informații pe care este capabil să le furnizeze (de exemplu, tipuri de conexiune). Deși aceste informații pot fi găsite pe Google, trebuie să utilizați termenii de căutare corecti, care nu sunt întotdeauna evideni.

Un altul dintre cele mai multe interogări populareîn Shodan, parola implicită. Ai fi surprins câte dispozitive sunt listate în rezultatele căutării pentru această interogare. Sperăm că a ta nu este acolo, dar dacă da, schimba-ți mai bine parola.

Shodan este destul de util dacă cauți mai mult informație specifică. Bun exemplu: căutați „Port SSH: „22””. Veți vedea o mulțime de dispozitive SSH folosind portul 22.

În SERP-uri, puteți vedea, de asemenea, adresa IP, locația și porturile pe care dispozitivul le folosește.

De asemenea, Shodan, de regulă, arată câteva caracteristici ale fiecărui dispozitiv, de exemplu: algoritmi MAC, algoritmi de criptare, algoritmi de compresie.

Dacă observați că informații despre dispozitivul dvs. pe care nu doriți să le dezvăluiți au apărut în rezultatele căutării lui Shodan, ar trebui să luați în considerare corecțiile. Aceste informații sunt la fel de importante pentru testeri, precum și pentru hackeri.

Desigur, pentru utilizator obișnuit Dacă nu sunteți hacker sau tester, va fi interesant să cercetați Shodan și să vedeți ce informații sunt afișate în el.

O altă interogare înfricoșătoare este „port:‘ 6666 ’’ ’kiler”, care găsește dispozitive infectate cu troianul KilerRat.

Figura 2. Troianul KilerRat

KilerRat este un troian care oferă acces de la distanță la computerul infectat. Poate fura acreditările, poate modifica intrările din registru, poate obține acces la camera web a unui utilizator.

PunkSPIDER

Figura 3. Găsitorul PunkSPIDER

La prima vedere, PunkSPIDER nu pare un motor de căutare mare sau serios, mai ales în comparație cu Shodan. Dar obiectivele lor sunt similare. PunkSPIDER este un sistem pentru găsirea vulnerabilităților în aplicațiile web. Se bazează pe PunkSCAN, un scanner de securitate. PunkSPIDER poate căuta vulnerabilități susceptibile la următoarele tipuri de atacuri: Cross Site Scripting (XSS), Blind SQL Injection (BSQLI), Path Traversal (TRAV).

Chiar dacă nu aveți idee care sunt aceste tipuri de atacuri, puteți utiliza în continuare PunkSPIDER pentru a vă verifica site-ul pentru vulnerabilități.

Iată un exemplu de rezultat pentru interogarea „site”:

Scanat: 2016-08-11T20: 12: 57.054Z

Bsqli: 0 | sqli: 0 | xss: 0 | trav: 0 | mxi: 0 | osci: 0 | xpathi: 0 | Risc general: 0

Prima linie afișează domeniul. A doua linie arată data și ora la care domeniul a fost adăugat la sistemul PunkSPIDER. Pe a treia linie, puteți vedea lista tipuri diferite atacuri și dacă au fost găsite vulnerabilități la aceste atacuri.

Dacă efectuați interogări mai generale folosind termeni precum „blog”, „ retele sociale"," Forum "sau" porno ", veți obține sute de rezultate. Faptul ca un site apare in SERP nu inseamna ca este infectat. Pentru o utilizare mai flexibilă a PunkSPIDER, puteți folosi ajutorul dedicat.

De asemenea, puteți verifica cum funcționează acest lucru cu site-urile din Rețele Tor... Căutarea „.onion” returnează 588 de rezultate. Nu este clar dacă toți sunt infectați sau nu, dar acest lucru poate fi verificat.

IVRE

Figura 4. Motor de căutare IVRE

Motorul de căutare IVRE, spre deosebire de Shodan sau PunkSPIDER, este conceput pentru hackeri, programatori, testeri. Chiar și utilizarea consolei principale a acestui motor de căutare necesită cunostinte de baza tehnologii de rețea.

Deci, ce este IVRE (Instrument de veille sur les réseaux extérieurs)? De fapt, este deschis sursă scris în Python cu MongoDB. Utilizează instrumente precum Bro, Argus, NFDUMP și ZMap pentru a afișa date despre dispozitivele conectate la internet. IVRE acceptă, de asemenea, capacitatea de a importa date în format XML din Nmap și Masscan.

Site-ul principal IVRE oferă rezultate de scanare Nmap care pot fi sortate folosind Cuvinte cheie(în acest sens există o asemănare cu Shodan). Iată câteva cuvinte cheie de încercat: phpmyadmin, anonftp, x11open. Deci, filtrul de pe „phpmyadmin” revine rezultatele cautarii pe serverele phpMyAdmin, „anonftp” caută servere FTP care oferă acces anonim, „X11open” caută servere deschise X11. Poate că aceasta nu este o descoperire revoluționară, totuși, dacă petreceți ceva timp și înțelegeți principiul și caracteristicile IVRE, puteți afla cât de util este acest motor de căutare.

Exemplul de mai jos arată rezultatele căutării pentru cuvintele cheie „phpmyadmin” și „sortby: endtime”.

Figura 5. Rezultatele cautarii IVRE

Pentru cei care doresc să afle mai multe despre caracteristici tehnice IVRE, se recomandă să le vizitați GitHub. Le puteți citi și pe acestea, deși nu a fost actualizată de mult.

ZoomEye

Figura 6. pagina principala Motorul de căutare ZoomEye

ZoomEye, ca și omologii săi, caută dispozitive și vulnerabilități conectate la internet. Dar înainte de a spune „am trecut deja prin asta”, să ne dăm seama care sunt caracteristicile sale.

ZoomEye este susținut de dezvoltatori de la Knownsec Inc, companie chineză o industrie de securitate cu sediul în Beijing. Prima versiune a acestui motor de căutare a fost lansată în 2013, iar ultima este cunoscută sub numele de ZoomEye 3.0.

Din nou, puteți obține mai mult din acest motor de căutare dacă cunoașteți șirurile și cuvintele cheie specifice pentru a găsi ceea ce doriți. Aici sunt cateva exemple:

Apache httpd- găsește rezultate pentru serverele Apache HTTP.

dispozitiv: „cameră web”- găsește o listă de camere web conectate la internet.

aplicație: „Monitor de utilizare a energiei TED 5000”- Găsește o listă de monitoare The Energy Detective (TED).

ZoomEye, ca și Shodan, facilitează filtrarea rezultatelor căutării în funcție de țară, dispozitive publice, servicii web etc. Dacă nu știi ce să cauți, sistem de căutareîncepe să afișeze interogări populare.

În unele cazuri, căutați chiar și pentru unele cuvânt aleatoriu poate duce la niște rezultate destul de interesante. De exemplu, încercați să căutați „zombie”.

Censys

În sfârșit, să aruncăm o privire la Censys. El, ca și motoarele de căutare descrise mai sus, caută dispozitive conectate la Internet. Censys colectează date utilizând ZMap și ZGrab (un scanner de nivel de aplicație care funcționează cu ZMap) și scanează spațiul de adrese IPv4.

Puteți experimenta cu Censys. Iată câteva exemple pe care le puteți folosi pentru a căuta:

https://www.censys.io/ipv4?q=80.http.get.status_code%3A%20200 - această solicitare vă permite să căutați toate gazdele cu un anumit cod stări HTTP.

De asemenea, puteți introduce șir de căutare O adresă IP, cum ar fi „66.24.206.155” sau „71.20.34.200”. În plus, Censys poate efectua căutări de text complet. Dacă introduceți „Intel” veți găsi nu numai Dispozitive Intel dar și gazde cu o intrare „Intel” în datele de înregistrare. Ca și în cazul majorității motoarelor de căutare, puteți utiliza operatori logici„Și”, „sau” și „nu”.

Din nou, aceste informații sunt pentru ca tu să știi de unde să începi. Mai mult, pe măsură ce cunoașteți treptat sistemul, veți găsi funcții mult mai utile.

Ce zici de un manual de instrucțiuni?

Majoritatea acestor motoare de căutare vor avea nevoie de puțină practică înainte de a deveni cu adevărat instrumente eficiente... Dar va fi interesant doar să vedem cum funcționează și ce rezultate produc.

Pentru cei care nu sunt începători de mult timp, aceste motoare de căutare pot deveni instrumente puternice... Ele pot fi foarte utile și pentru dezvoltatori.

Astfel, dacă interogări de căutare„Serverul SMTP” sau „APC AOS cryptlib sshd” vă face să zâmbiți de înțelegere, vă recomandăm să încercați toate motoarele de căutare de mai sus.