武田圭史

【書籍紹介：Google Hacking for Penetration Testers】

　強力なサーチエンジンGoogleはセキュリティ監査を行ったり漏洩した情報やフィッシングサイトを探す場合においても有効なツールとして利用することができる。googleの検索画面に、ちょっと工夫をしたクエリーを入力するだけで、危険なバージョンのWebアプリケーション、不用意に公開されているパスワード情報、漏洩した個人情報などを発見することができる。

　これまでもこのような検索テクニックは様々なサイトで断片的に公開されていたが、本書は情報セキュリティの観点からgoogleを活用するためのテクニックや考え方を網羅的に整理し解説している。

　検索で利用できるオペレータと文法に始まり、脆弱なアプリケーションや、名簿、メールアドレス、パスワードなどの効果的な検索要領、サイト側でgoogleによる検索を制限する方法、googleAPIを用いたプログラムなどが紹介されている。本書で紹介されているようなクエリの例を以下に示す。その他の検索例についてはこちらを参照されたい。

・C言語によるexploitコードの検索：「　”#include <stdio.h>” “Usage” exploit　」

・Unixにおけるpasswdファイルの検索：「　intitle:”index of..etc” passwd　」

・MS Frontpageのパスワードファイルの検索：「　”# -FrontPage-” inurl:service.pwd　」

　セキュリティ監査等の情報収集の段階においてgoogleが利用されることは少なくないと思うが、本書を通して読むことでサーチエンジンにより検証可能な項目を俯瞰することができる。また、様々なクエリを実際に試して体験してみることでその背景にある考え方を理解し、様々な場面でgoogleを有効利用するセンスを磨くことができると思われる。

　著者らは現在、Google Hackに対する対抗手段としてサーチエンジンを用いたハッキングに対するハニーポットであるGoogle Hack Honeypot v1.0を、オープンソースプロジェクトとして開発を行っている。

　このエントリを書くにあたり”google hacking penetration”をキーワードとして日本語のページを検索したところ、××××（サイトコンテンツが削除されたので人名を削除2/16）という人物が××庁（削除2/16）に対して行ったと思われる「サイバー犯罪捜査官養成研修」（リンク削除2/16）という資料が公開されているのを発見した。今回紹介した書籍とほぼ同様の内容がまとめられたものなのだが、もし仮に××庁（削除2/16）の許可を得ずに公開されているとすると、このようなクライアントに関わる情報を公開するのはどうかと思う。当然業務に関する秘密ではないとしても、どのような研修を受けているかなどは見方により重要な意味を持つ。
（結果的に、このような検索もまたgoogleを用いた情報セキュリティ検証の例だったりする。）

(追記 2/16)
セキュリティホール memoの小島さんが、「紹介されている サイバー犯罪捜査官養成研修はもしかすると消えちゃうかもと思ったのでいそいで get しておいた。」と書いたら本当に消えてしまったので、関係の記述を削除。

・・・でもgoogleの検索画面までは消せませんから。残念～っ！

【参考情報】
■Google Hacking Database (Johnny Long)
http://johnny.ihackstuff.com/index.php?module=prodreviews
本書で紹介されているのと同様の様々なクエリが登録されている。

■Google Hack Honeypot(GHH Team)
http://ghh.sourceforge.net/

■サイバー犯罪捜査官養成研修（××××）(人名およびリンク削除2/16)
http://www.×××××.net/presentations/JapEng_xxx_google_E&J.pdf

■Google Hacking For Penetration Testers（Syngress Media Inc）
JOHNNY LONG (著), Ed Skoudis (著)
価格： ￥3,508 （税込:’05/2/16現在）

注）画像へはAmazonアソシエイトプログラムのリンクを設定しています。