Google Hacking For Penetration Testing
Ang mga search engine tulad ng Google ay lalong ginagamit ng mga hacker laban sa mga aplikasyon ng Web na mayroong sensitibong data, ayon sa isang eksperto sa seguridad.
Kahit na may tumataas na kamalayan tungkol sa seguridad ng data, kinakailangan ang lahat ng ilang segundo upang ibunsod ang mga numero ng Social Security mula sa mga Web site na gumagamit ng mga naka-target na mga term sa paghahanap, sinabi Amichai Shulman, tagapagtatag at chief technology officer para sa database at kumpanya ng seguridad ng application na Imperva.
Ang katotohanan na ang mga numero ng Social Security ay nasa Web ay isang kamalian ng tao; ang impormasyon ay hindi dapat na mai-publish sa unang lugar. Ngunit ang mga hacker ay gumagamit ng Google sa mas sopistikadong mga paraan upang i-automate ang mga pag-atake laban sa mga Web site, sinabi Shulman.
Sinabi Shulman kamakailan Natuklasan Imperva isang paraan upang maisagawa ang isang SQL iniksyon atake na nanggagaling mula sa isang IP (Internet Protocol) address na pagmamay-ari ng Google.
Sa isang pag-atake sa SQL injection, isang nakakahamak na pagtuturo ay ipinasok sa isang form na batay sa Web at sinagot ng isang Web application. Ito ay madalas na nagbubunga ng sensitibong impormasyon mula sa isang backend database o ginagamit upang magtanim ng malisyosong code sa Web page.
Shulman tinanggihan upang magbigay ng mga detalye kung paano gumagana ang pag-atake sa panahon ng kanyang pagtatanghal sa RSA Conference sa Lunes, ngunit sinabi ito ay nagsasangkot ng Google's sistema ng advertising. Sinabi ng Shulman na ang mga kasangkapan tulad ng Goolag at Gooscan ay maaaring magpatupad ng mga malawak na paghahanap sa Web para sa tiyak na pag-agaw ng Google. mga kahinaan at mga listahan ng pagbalik ng mga Web site na may mga problemang iyon.
"Ito ay hindi isang script kiddy game - ito ay isang negosyo," sabi ni Shulman. "Ito ay isang napakalakas na kakayahan sa pag-hack."
Ang isa pang paraan ng pag-atake ay tinatawag na Google worm, na gumagamit ng search engine upang makahanap ng mga partikular na kahinaan. Sa pagsasama ng karagdagang code, ang kahinaan ay maaaring pinagsamantalahan, sinabi ni Shulman.
"Noong 2004, ito ay science fiction," sabi ni Shulman. "Noong 2008, ito ay isang masakit na katotohanan."
Ang Google at iba pang mga search engine ay nagsasagawa ng mga hakbang upang ihinto ang pang-aabuso. Halimbawa, ang Google ay tumigil sa ilang mga uri ng mga paghahanap na maaaring magbigay ng isang numero ng mga numero ng Social Security sa isang solong paglipad. Naglalagay din ito ng mga limitasyon sa bilang ng mga kahilingan sa paghahanap na ipinadala kada minuto, na maaaring makapagpabagal ng mga paghahanap sa masa para sa mga mahihinang Web site.
Sa katunayan, pinipilit lamang nito ang mga hacker na maging mas pasyente. Sinabi ni Shulman na nakita niya ang isa pang uri ng atake na tinatawag na "site masking," na nagdudulot ng isang lehitimong Web site sa simpleng pag-iingat ng mga propesyonal sa seguridad na gustong gumawa ng awtomatikong pang-araw-araw na paghahanap ng kanilang mga Web site para sa mga problema. nawawala mula sa mga resulta ng paghahanap.
Sinusukat ng search engine ng Google ang mga site na may duplicate na nilalaman at babawasan ang isa mula sa index nito. Maaaring samantalahin ng mga hacker ito sa pamamagitan ng paglikha ng isang Web site na may isang link sa isang pahina ng Web ng kakumpitensya ngunit na-filter sa pamamagitan ng isang proxy server.
Ini-index ng Google ang nilalaman sa ilalim ng domain ng proxy. Kung ito ay tapos na sapat na beses na may higit pang mga proxy server, ang Google ay isaalang-alang ang naka-target na pahina ng Web ng isang dobleng at i-drop ito mula sa index.
"Ito ay medyo isang problema sa negosyo," sinabi Shulman. maaaring ipagtanggol laban dito ay humahadlang sa kanilang Web site na ma-index ng anumang bagay maliban sa lehitimong IP address ng isang search engine, sinabi ni Shulman.
Cybercrooks Surf for Databases, Analyst Warns
IDC sabi ng mga negosyo upang palakasin ang mga password at firewall bilang mga hacker turn ang kanilang pansin sa mga database na na-access sa pamamagitan ng Web.
Security Analyst Spots Tatlong mga Mali sa Google Docs
Ang Google ay nagkakamali ng mga problema, ngunit ang mga finds ay maaaring magtataas ng higit pang mga katanungan sa kaligtasan ng pag-iimbak ng data sa cloud.
Microsoft warns laban sa rogue Security Essentials 2010!
Ang rogue na tawag mismo Security Essentials 2010 at sinusubukang magbalatkayo bilang Microsoft Security Essentials. Ang mga pinakalumang trick na ginagamit ng mga produkto ng anti-virus ay gumagamit ng katulad na pangalan bilang, o may katulad na hitsura at pakiramdam sa, lehitimong software ng seguridad. Ito ay karaniwang pangkaraniwan para sa kanila na gayahin ang Windows Security Center.