Goolag, scanner de vulnérabilités dopé aux requêtes Google
The Dork Side of Google
Cult of the Dead Cow (CDC), le groupe « historique » d’hackers, vient d’éditer une petite solution qui ne laisse pas indifférent, le Goolag Scanner. C'est un logiciel qui teste l’ensemble des vulnérabilités à découvrir à l’aide de requêtes spécialement formées Google, les « dorks ».
Le logiciel, qui est en somme un moteur de recherche de vulnérabilités, s’appuie sur les travaux effectués depuis de nombreuses années par le tout aussi célèbre hacker Johnny « I Hack Stuff » Long. À cette fin, Goolag utilise près de 1500 requêtes dans sa quête.
Goolag Scanner est présenté comme un outil d’audit pour les webmasters, mais comme toute arme tranchante, il peut également servir à des fins moins légales suivant l'utilisateur. Officiellement, il doit servir aux responsables des sites à colmater les brèches avant qu’elles soient découvertes par des internautes aux desseins plus sombres. Le logiciel est publié sous licence GNU Affero General Public licence. Le CdC fut à l’origine de l’outil Back Orifice, pour la prise de contrôle à distance.
Quant à « Johnny » Long, il est chercheur en informatique et auteur de Google Hacking For Penetration Testers. Cet ouvrage liste des centaines de méthodes pour exploiter les fonctionnalités de Google pour trouver des mots de passe ou autres informations sensibles comme des mises à jour non effectués sur les serveurs, etc. « Si vous ne souhaitez pas que le monde voit ces informations, laissez-les à l'écart du web » exposait-il lors de la conférence ShmooCon de Washington en 2005.
Dans un récent rapport de Google intitulé « Tous vos iframes pointent vers nous », le moteur a scruté des milliards d’adresses web : trois millions d’entrées pointaient vers des destinations malveillantes. Toujours selon la firme de Mountain View, 1,3 % des recherches faites sur Google aboutissait sur des sites malveillants.
Le logiciel, qui est en somme un moteur de recherche de vulnérabilités, s’appuie sur les travaux effectués depuis de nombreuses années par le tout aussi célèbre hacker Johnny « I Hack Stuff » Long. À cette fin, Goolag utilise près de 1500 requêtes dans sa quête.
Goolag Scanner est présenté comme un outil d’audit pour les webmasters, mais comme toute arme tranchante, il peut également servir à des fins moins légales suivant l'utilisateur. Officiellement, il doit servir aux responsables des sites à colmater les brèches avant qu’elles soient découvertes par des internautes aux desseins plus sombres. Le logiciel est publié sous licence GNU Affero General Public licence. Le CdC fut à l’origine de l’outil Back Orifice, pour la prise de contrôle à distance.
Quant à « Johnny » Long, il est chercheur en informatique et auteur de Google Hacking For Penetration Testers. Cet ouvrage liste des centaines de méthodes pour exploiter les fonctionnalités de Google pour trouver des mots de passe ou autres informations sensibles comme des mises à jour non effectués sur les serveurs, etc. « Si vous ne souhaitez pas que le monde voit ces informations, laissez-les à l'écart du web » exposait-il lors de la conférence ShmooCon de Washington en 2005.
Dans un récent rapport de Google intitulé « Tous vos iframes pointent vers nous », le moteur a scruté des milliards d’adresses web : trois millions d’entrées pointaient vers des destinations malveillantes. Toujours selon la firme de Mountain View, 1,3 % des recherches faites sur Google aboutissait sur des sites malveillants.
Marc Rees
le 26 février 2008 à 09:21
(19 273
lectures)
Actualités et brèves relatives
- 18 / 02 / 2008 : 1,3% des résultats sous Google est dangereux, selon le moteur
- 22 / 02 / 2007 : Vulnérabilité colmatée dans Google Desktop Search
- 12 / 10 / 2006 : Google code search : l'arme ultime pour les pirates ?
- 03 / 03 / 2006 : Anthony, 14 ans, découvreur de failles logicielles
- 11 / 10 / 2005 : Deux failles de sécurité chez Google
- 11 / 07 / 2005 : Google, un K de typosquatting de trop (suite et fin)
- 27 / 04 / 2005 : Google, un K de typosquatting de trop
- 15 / 02 / 2005 : Une démonstration de hacking sous Google
