Google und andere Internet-Suchmaschinen dienen Hackern dazu, Lecks auf Web-Servern aufzuspüren und gegebenenfalls in die Systeme einzubrechen, sagten Experten auf der Sicherheitskonferenz Black Hat Security Briefings in Las Vegas. Obwohl das Problem bereits seit längerem bekannt ist, haben Hacker auf der Konferenz via Google so viele unsichere Websites gezeigt, dass selbst abgebrühten Security-Experten das Lachen im Halse stecken blieb.
Laut Johnny Long, Sicherheitsspezialist bei der Computer Security Corp., sind unter anderem Server verwundbar, die mit den vom Hersteller vorgegebenen Standardeinstellungen betrieben werden. Sie lassen über eine Suchanfrage nach den Default-Server-Page-Bezeichnungen oder den Standard-Fehlerseiten aufspüren. Weiteren Aufschluss über die Sicherheitseinstellungen gibt die Suche nach bestimmten Dateinamen, sagte Long.
Wie das funktioniert, demonstrierte der Experte auf der Konferenz. Eine einfache Suche nach der Log-in-Seite des Microsoft-Web-Servers "Internet Information Server" förderte 11.300 Sites zu Tage, Auf denen diese öffentlich zugänglich war. Die zugehörigen Anmeldedaten für schlecht konfigurierte Datenbanken lassen sich laut Long ebenso einfach herausfinden.
Sicherheitsexperten beschäftigen sich bereits seit längerem mit der Frage, ob sich die Funktionen einer Suchmaschine für groß angelegte Hacker-Attacken ausnutzen lassen. Begriffe wie "War Googling" oder "The Search of Death" bezeichnen das automatisierte Auflisten von unsicheren Websites durch Eingabe eines bestimmten Suchbegriffs. Unter "War Searchern" bekannt ist zum Beispiel der Terminus "Select a database to view" intitle:"filemaker pro", der in Google rund 100 Ergebnisse generiert. Einige der Fundstellen verweisen auf die Index-Dateien von Datenbanken, von denen aus unverschlüsselt auf die Datensätze zugegriffen werden kann. Interessant ist auch die Kombination der Suchbegriffe "index of/etc" und "passwd", die einem White Paper zufolge, das der israelische IT-Security-Dienstleister Imperva im März dieses Jahres veröffentlichte, direkt auf ungeschützte Passwort-Dateien verweist (Computerwoche.de berichtete). (lex)
