O buscador é a ferramenta de reconhecimento mais poderosa e mais subestimada que existe. Ele passa o dia inteiro visitando sites e indexando o que encontra, e encontra muito mais do que os donos gostariam. Painéis de administração, arquivos de configuração, listas de diretórios, documentos internos: tudo isso, quando exposto, acaba no índice.
A técnica de usar buscas avançadas para encontrar essas exposições ganhou o nome de Google hacking. Não há nada de ilegal em pesquisar; o que importa é o que se faz com o achado.
A ideia: buscar com precisão cirúrgica
A busca comum procura por palavras. A busca avançada procura por características: um tipo de arquivo específico, um texto que só aparece numa página de erro, um caminho típico de um painel administrativo, um domínio específico. Combinando esses operadores, você deixa de procurar conteúdo e passa a procurar exposições.
É reconhecimento passivo puro: você não toca no alvo, apenas consulta o que o buscador já coletou. Isso o coloca do lado seguro da linha entre observar e invadir, a mesma fronteira que sempre trato ao falar de fontes abertas.
O que se procura
| Tipo de achado | Por que é perigoso |
|---|---|
| Listagem de diretório aberta | Mostra todos os arquivos de uma pasta, inclusive os que deveriam estar escondidos |
| Painel de administração indexado | Revela a porta de gestão do sistema para qualquer um |
| Arquivos de configuração e backup | Podem conter senhas, chaves e a estrutura interna |
| Documentos com dado sensível | Planilhas e relatórios que vazaram para uma pasta pública |
| Mensagens de erro detalhadas | Denunciam a tecnologia e a versão usadas, insumo para o próximo passo |
Os operadores que fazem a diferença
Alguns operadores de busca transformam a pesquisa em ferramenta de reconhecimento:
# restringe a busca a um dominio
site:alvo.com.br
# procura um tipo de arquivo especifico
filetype:pdf
# procura um texto no titulo da pagina, tipico de listagem aberta
intitle:"index of"
# procura um texto no corpo, tipico de paineis
inurl:adminCombinados, eles miram o que interessa. Uma busca que junta um domínio com um tipo de arquivo de configuração, ou com o padrão de uma listagem aberta, encontra em segundos o que uma varredura manual levaria muito para achar.
Do lado de quem defende
A mesma técnica que um atacante usa para achar suas exposições, você deve usar antes dele. Pesquise o seu próprio domínio com esses operadores e veja o que o buscador indexou que não deveria. É um exercício barato e revelador, e frequentemente encontra:
- Um ambiente de teste que vazou para o índice.
- Um backup ou documento numa pasta pública.
- Um painel que deveria estar restrito e está aberto.
Como fechar as exposições
- Remova o que não deveria estar acessível. Tire arquivos sensíveis do alcance público, mova backups para fora do servidor web.
- Restrinja o acesso a painéis e áreas internas, por autenticação e por origem.
- Desligue a listagem de diretório no servidor web, para que uma pasta sem página inicial não exiba seu conteúdo.
- Peça a remoção do índice do que já foi indexado indevidamente, além de corrigir a exposição na origem.
A lição
Google hacking não é uma técnica de invasão; é uma lente. Ela mostra que a sua superfície de exposição inclui tudo o que os buscadores conseguiram alcançar, e que muita coisa que você acha privada está, na verdade, a uma busca de distância.
Olhar para a própria organização com essa lente, periodicamente, é uma das formas mais baratas de encontrar a porta aberta antes que outro a encontre. O buscador trabalha para os dois lados. A diferença é quem olha primeiro.