Конечно не так как раньше, и что бы вытащить пароль от чужого сайта придаться немного поиграться с выдачей, но, тем не менее, на прошлой неделе один из моих сайтов таким способом взломали.
Еще лет 7-8 назад, с помощью гугла, за один день можно было получить доступ к 100 сайтам, и это не напрягаясь. Раньше, чтобы получить логин и пароль от админки, достаточно было сделать запрос –filetype:dat intext:password и дело в шляпе.
Собственно этот поисковик любит совать свой нос везде, с одной стороны это хорошо, новые странички быстро попадают в индекс, с другой стороны, в индекс могут попасть не только стр. сайта, но ваши бэкапы, текстовые файлы и так далее.
Давайте рассмотрим часть запросов, с помощью которых вас могут ломануть.
1 – filetype: тип файла, например php, mp3, txt и так далее
2 – intitle: поиск в заголовке
3 – intext: текст который мы ищем
4 – inurl: на каком сайте нужно искать
Есть еще большое количество запросов, но я все перечислять не буду, думаю этого достаточно.
При помощи таких запросов моим сайтом завладел какой то …. Когда я делал обновление на сайте, создал резервную копию на всякий случай, после того как все сделал, забыл удалить бэкап, после чего гугл решил его проиндексировать. Какой-то умелец, ввел запрос “filetype:sql intext:admin” в выдаче оказалась моя база данных, в которой был логин и зашифрованный пароль в md5, пароль у меня был простой, поэтому его легко смогли расшифровать на сайте cmd5.
Рекомендую вам проверить свои сайты, а вдруг и Вы о чем то забыли. Чтоб проверить сайт на google hacking, введите:
inurl:site.ru filetype:txt – проверка на текстовые файлы, роботс не страшен.
inurl:site.ru filetype:sql – проверка на наличие базы данных в выдаче.
inurl:site.ru filetype:zip – Тоже часто бывает вебмастера хранят в архиве что то интересное.
inurl:site.ru intext: warning mysql – если у вас есть где-то php ошибка, по ней могут перейти и провести sqlinjection
alert(123)