Como usar Google para hackear

Hoy vamos a tocar un tema del que se ha escrito mucho (tanto en papel como en digital) y del que hay centenares de referencias de buena calidad en la Red, a poco que se busque. Me refiero del Hacking con buscadores, que no es sino un eufemismo para hablar soterradamente del hacking empleando Google (el rey indiscutible de los buscadores).

Pero me he dado cuenta de que no poca de la mucha información que hay en la red e incluso en libros sobre el asunto (muchos de ellos escritos y publicados en los primeros años del dos mil) está anticuada, obsoleta o, sencillamente, te lleva a un rincón sin salida no sirviendo hoy en día, ni para realizar búsquedas avanzadas en Google. No digamos ya para tratar de “hackear” con dicho buscador.

De manera que me parece un tema muy importante por el potencial que ofrece a mentes curiosas o inquietas, así como porque nunca está demás saber sacarle un poco más partido a todo el potencial que ofrece Google, con su capacidad de indexar, penetrar y localizar información por muchas capas de abstracción que la cubran.

De modo que hablemos un poco del hacking con buscadores… Vaya, ya he caído en la trampa: Quería decir, hackear con Google.

Los comandos que nos permiten sacar ventaja de Google.

Lo que se puede encontrar en Internet con facilidad (aunque no siempre acabamos dando con información actualizada)  son los comandos o pequeñas porciones de “código” que se pueden introducir en el buscador para forzarlo a afinar las búsquedas en los lugares más insospechados, y en las plataformas web más blindadas (bases de datos, intranets con algún agujero de seguridad, páginas o partes de sistema que ahora están custodiadas por usuario y contraseña, pero que en algún momento pasado estuvieron en abierto y que Google conservó en caché, etc…)

Por hacer un conciso ejercicio de ilustración, podemos destacar unas cuantas, invitando al lector interesado a que rebusque en la Red o lea algún manual de los muchos que hay sobre Hacking con Google. Que no estamos aquí para enseñar a nadie a delinquir, sino para compartir conocimiento, dentro siempre de la legalidad y la ética.

Ejemplos de comandos que dopan a Google:

Escribir cache: seguido de la url de la web, permite que el buscador nos devuelva todas las páginas relacionadas con ese dominio o subdominio que sus servidores mantienen guardadas en caché. Es decir, ya no online la mayoría o incluso descartadas o descatalogadas por el propio webmaster, pero que Google sí conserva. Cualquiera puede hacerse una idea de las muchas aplicaciones que puede tener este tipo de búsquedas. Nosotros no daremos ideas…

Escribir link: seguido de una determinada url nos devuelve una búsqueda inversa y compleja. Se trata, en este caso, de que Google nos indique cuántas y cuáles páginas de toda índole, incluyen un determinado enlace (link) a esa página concreta que le hemos indicado.

Escribir inurl: o allinurl: seguido de una palabra o expresión de cualquier índole, nos devuelve como resultado, qué páginas web contienen esa palabra o expresión concreta en sus dominios o subdominios. También tremendamente útil.

Una de mis preferidas cuando se hace un poco de pentesting o sencillamente se desea conocer mejor un sistema web amplio y complejo, es site: que permite hacer búsquedas especializadas y pormenorizadas ÚNICAMENTE dentro de esa web concreta. Algo muy útil cuando se pretende buscar un determinado objetivo (palabra, conjunto de términos, etc…) en una de esas plataformas webs muy grandes y potentes en las que nos perderíamos tratando de localizar “manualmente” una información concreta entre sus miles de páginas y subpáginas.

Y así podríamos seguir y seguir, aunque sólo nos encontramos en la cáscara de la cuestión. Al fin y al cabo sólo estamos trabajando comandos que ayudan a afinar las búsquedas, aunque una mente despierta, con menos que esto, ha logrado mucho más que sencillamente afinar búsquedas.

Pero podríamos ir un poco más allá…

Comandos que convierten a Google en un pentester

Se puede usar la potencia de Google para mucho más que sólo buscar. En este caso, hay comandos empleados por hackers y expertos en seguridad que convierten a Google en un verdadero software de pentesting. Sin profundizar mucho podemos destacar unos cuantos a modo ilustrativo:

Si empleamos la siguiente línea de comandos en el buscador:

ext:pwd inurl:(service | authors | administrators | users) “# -FrontPage-“

Escribiendo el dominio o subdominio tras el “inurl:” Google nos devuelve (en caso de que exista) un extracto de ficheros con nombres de usuario y contraseñas de administrador para ese site.

En un caso de hacking más general y no centrado en una determinada plataforma web, si empleamos:

filetype:sql “# dumping data for table” “`PASSWORD` varchar”

El buscador nos devuelve toneladas de bases de datos de sitios, usuarios y contraseñas en abierto, procedentes de versiones caché que en su día el buscador guardó y que, por dejadez o inexperiencia en materia de seguridad por parte de los webmasters, no se encriptaron y a las que el buscador tuvo acceso. Ahora, éste las devuelve y el internauta que maneja estos términos correctamente, puede acceder a ellas en abierto.

Si lo que buscamos, ahora sí, es tratar de obtener claves de acceso a determinadas webs concretas (a diferencia del anterior comando que deja al arbitrio de Google devolvernos resultados generales) podemos emplear:

intitle:”index of” “Index of /” password.txt

Aquí sí estamos ya ante una búsqueda especializada de qué dominios o subdominios de una determinada web esconden accesos por usuario y contraseña. En caso de que esa web tenga (o haya tenido) alguna vulnerabilidad en materia de seguridad de passwords, Google nos lo devolverá con resultados en abierto guardados en su caché.

Obsérvese que, en este caso, habría que colocar el dominio o subdominio que se pretende atacar (ahora se dice “testar”) tras el comando “intitle:”

Y hasta aquí nuestra breve incursión en los términos que hacen que Google nos ayude con su potencia de búsqueda y almacenamiento, a encontrar errores o agujeros de seguridad en una web o plataforma. El que quiera más, que investigue por su cuenta.

Reiteramos que como en todos nuestros artículos sobre seguridad, os enseñamos agujeros de seguridad, para que evitéis caer en los mismos.

Google se defiende de este tipo de uso

Si no eres un profesional o te tomas este tipo de actividades como un juego, debes saber que NO LO ES. Y que Google va a detectar el uso por parte de tu ordenador (a través de tu IP o por las DNS de tu conexión) que estás queriendo usar su buscador para fines que no entrarían en la categoría de “localizar el teléfono de la Cruz Roja de tu ciudad”… precisamente…

De modo que, cuidado, porque el buscador te devolverá un fino aviso. Considéralo una advertencia. Este aviso te llegará a modo de pantallazo. Es éste:

Parece inofensivo, ¿verdad?… Pues no creas que lo es. Esa página en la que se te informa que se está detectando “actividad no convencional” desde tu equipo y que te anima a que resuelvas el código CAPTCHA que se incluye, esconde una finalidad mucho más comprometida para ti, de lo que a priori crees.

Verás, como todo buen código CAPTCHA, el objetivo de esa página es “comprobar que no eres un bot, es decir, una software bien aleatorio bien repetitivo, que trata de hacer de las suyas. Si estás trabajando con un navegador normal, una conexión a internet sin encriptación, sin camuflaje de tu IP y DNS así como sin el uso de una VPN o de la Red Tor (es decir, si eres un pardillo que hoy quería jugar a ser un hacker), te puedes llevar la siguiente sorpresa:

Resolviendo ese CAPTCHA queda claro y consignado que, efectivamente, no eres una máquina y que en tu dispositivo no hay un software malicioso empleando sin tu conocimiento potencia de procesamiento de tu PC para fines ilícitos. Es decir, lo que le estás consignando a Google es que tú, de manera personal y consciente, estás empleado el buscador para fines que podrían ser delictivos, y (reitero) si lo estás haciendo sin profilaxis, es decir, sin la protección y los conocimientos adecuados (Tor, navegador modificado convenientemente, VPN, camuflaje de IP y DNS, etc…) estarás haciendo el equivalente a firmar una confesión escrita de que, efectivamente, tú eres con nombres y apellidos el que está intentando infiltrarse en un sistema u obtener de una determinada plataforma, según qué información de usuarios, administradores y contraseñas ajenas.

Así que, cuidado: Un idiota delante de un ordenador, no dura mucho en dejar claro que es un idiota.

Conclusiones

Lo que queríamos consignar con este artículo son, básicamente, 4 cuestiones fundamentales:

• PRIMERA: Que existe amplia literatura y conocimientos técnicos disponibles para cualquiera, que convierten a Google en una herramienta de búsqueda mucho más potente de lo que el 95% de los usuarios cree.

• SEGUNDA: Que Google y su tremenda potencia de procesamiento, indexación y custodia de datos (algún día hablaremos largo y tendido sobre este asunto no poco cuestionable) sirve también, con los conocimientos oportunos, para penetrar en sistemas y no sólo para realizar inofensivas búsquedas de contenido.

• TERCERA: Que si empiezas la casa por el tejado y confundes hacking con delincuencia (sin saber previamente protegerte tú y tu equipo) muy posiblemente terminarás pagando el pato.

• CUARTA: Que, en caso de ser un webmaster comprometido o un pentester inteligente, debes saber emplear Google de manera avanzada para conocer las vulnerabilidades de tu plataforma o la de algún cliente que te haya contratado para ello. En eso, el buscador, puede ofrecerte una potencia que difícilmente encontrarás en otros software.

A modo personal, querría añadir una quinta conclusión, si me lo permitís. Con este tipo de post tratamos también de demostrar el grado de guardado masivo de información que Google (entre otros) llevan años implementando. ¿Comprendes un poco mejor ahora el significado profundo de la expresión “Una vez en internet, para siempre en internet”?.

Saludos a todos.