گوگل هکینگ

گوگل هکینگ، که با نام Google dorking نیز شناخته می‌شود،Google dork query , techtarget.com یک تکنیک هکری است که از جستجوی گوگل و دیگر برنامه‌های گوگل برای یافتن حفره‌های امنیتی در پیکربندی رایانه‌ای و کدهایی که وب‌سایت‌ها از آن استفاده می‌کنند بهره می‌گیرد.

 مبانی 
گوگل هکینگ شامل استفاده از عملگرها در موتور جستجوی گوگل برای یافتن بخش‌های خاصی از متن در وب‌سایت‌هاست که می‌تواند نشانه‌ای از آسیب‌پذیری باشد، برای مثال نسخه‌های خاصی از برنامه‌های تحت وب آسیب‌پذیر. برای نمونه، پرس‌وجوی intitle:admbook intitle:Fversion filetype:php صفحاتی را می‌یابد که در عنوان خود عبارت‌های «admbook» و «Fversion» را دارند، که نشان می‌دهد دفتر مهمان مبتنی بر PHP به نام Admbook در حال استفاده است، برنامه‌ای که آسیب‌پذیری تزریق کد شناخته‌شده‌ای دارد. در نصب‌های پیش‌فرض برنامه‌ها معمول است که نسخهٔ اجراشده در هر صفحه‌ای که ارائه می‌دهند درج شود، مانند عبارت «Powered by XOOPS 2.2.3 Final»، که می‌توان برای یافتن نسخه‌های آسیب‌پذیر استفاده کرد.

دستگاه‌های متصل به اینترنت نیز قابل شناسایی هستند. رشتهٔ جستجویی مانند inurl:"Mode=" می‌تواند دوربین‌های وب عمومی را بیابد.

 تاریخچه 
مفهوم «گوگل هکینگ» به اوت ۲۰۰۲ بازمی‌گردد، زمانی که کریس سالو (Chris Sullo) افزونهٔ «nikto_google.plugin» را در نسخهٔ ۱٫۲۰ از اسکنر آسیب‌پذیری نیکتو افزود. در دسامبر همان سال، جانی لانگ (Johnny Long) شروع به گردآوری پرس‌وجوهای جستجوی گوگل کرد که سیستم‌های آسیب‌پذیر و/یا افشای اطلاعات حساس را آشکار می‌کردند و آن‌ها را با نام «googleDorks» طبقه‌بندی کرد.

فهرست Google Dorks به مرور به واژه‌نامه‌ای بزرگ از پرس‌وجوها تبدیل شد که سرانجام در سال ۲۰۰۴ در قالب «پایگاه‌دادهٔ گوگل هکینگ» (Google Hacking Database - GHDB) سازماندهی شد.

مفاهیمی که در گوگل هکینگ مطرح شد، بعدها به دیگر موتورهای جستجو مانند بینگ و شادان نیز گسترش یافت. ابزارهای حملهٔ خودکار از واژه‌نامه‌های جستجوی سفارشی برای یافتن سیستم‌های آسیب‌پذیر و افشای اطلاعات حساس در سامانه‌های عمومی نمایه‌سازی‌شده توسط موتورهای جستجو استفاده می‌کنند.

گوگل دورکینگ در برخی از پرونده‌های مشهور جرایم سایبری نقش داشته است، از جمله هک سد بومن اونیو (Bowman Avenue Dam) و نفوذ به سازمان سیا (CIA) که حدود ۷۰٪ از شبکه‌های جهانی آن را تحت تأثیر قرار داد. استار کشمن (Star Kashman)، پژوهشگر حقوقی، از نخستین کسانی بود که به بررسی قانونی بودن این تکنیک پرداخت. او استدلال می‌کند که هرچند گوگل دورکینگ از نظر فنی می‌تواند قانونی باشد، در بسیاری از موارد برای ارتکاب جرایم سایبری به کار رفته و اغلب منجر به نقض قانون «تقلب و سوء‌استفاده از رایانه» (Computer Fraud and Abuse Act) شده است. پژوهش او پیامدهای حقوقی و اخلاقی این روش را برجسته کرده و بر لزوم توجه و تنظیم‌گری بیشتر در استفاده از آن تأکید می‌کند.

 حفاظت 
استاندارد استثناء کردن ربات‌ها فایلی شناخته‌شده برای بهینه‌سازی موتور جستجو و محافظت در برابر گوگل دورکینگ است. این کار با استفاده از robots.txt برای جلوگیری از دسترسی کلی یا بخش‌های خاص (اگرچه هکرها می‌توانند خود فایل robots.txt را بررسی کنند) انجام می‌شود و از خزیدن ربات‌های گوگل به مسیرهای حساس مانند پنل‌های مدیریت جلوگیری می‌کند.

 منابع 

 پیوند به بیرون 
 "Google Hacking: .pdf Document", boris-koch.de (قابل چاپ، .pdf)
 "Google Help: Cheat Sheet", Google (قابل چاپ)
 Google Hacking for Penetration - استفاده از گوگل به‌عنوان ابزار آزمون امنیت، مقدمه‌ای از جانی لانگ
 Search Engine - موتور جستجوی گوگل دورکینگ، برای تازه‌کارها.

رده:رویه‌های امنیت رایانه‌ای
هکینگ