Hacking: zneužíváme robots.txt - Krutá realita

Průzkum sítě

Hackování je zajímavé hobby, které vyžaduje pečlivou přípravu a prozkoumávání systémů. Proto jsem si dnes připravil pár ukázek mých oblíbených slabých míst několika známých serverů, jako příklad si vezmeme servery zive.cz, mobilmania.cz atd. V mém měřítku se jedná relativně malé ryby a snadné útoky (oproti bankám, kde je to trochu komplikovanější), takže není nad to než si předvést praktickou ukázku.

K čemu se používá robots.txt

Soubor robots.txt se využívá k tomu, aby zamezil vyhledávacím robotům indexovat různé druhy stránek. V několika bezpečnostních příručkách se proto doporučuje přidat do něj adresy stránek sloužících pro administraci, což je bohužel naprosto "debilní krok". Proč si ukážeme na pár serverech společnosti Computer Press.

Jak to zneužít

Díky tomu, že máme velmi pečlivé správce (díky Cpressu) si můžeme zjistit adresy všech skriptů, které stojí za napadení. Například u většiny serverů jsou to administrační skripty, popřípadě různé utility pro vzdálený import dat, není nad to podívat se, kam jsou tyto data ukládána, vyzkoušíme si třeba server www.cybex.cz.

Zive.cz/robots.txt

Co se nám hodí

Nyní jsme získali adresu administrační stránky zive.cz/administration, kde jsou umístěny relativně zajímavé informace, od jmen všech aktivních autorů, po icq kontakty na šéfredaktory, přes různé zprávy. Jistě, tato informace není sama o sobě zneužitelná, ale později se dozvíme, jak při průzkumu informace spojovat, dolovt z nich data a ty dále využívat.

Indície

V žádném případě nepokládejte takto zjištěné informace za nepodstatné, je to jako hledání pokladu, stačí sledovat jen různé stopy a výsledku se doberete. Základní kontakty a informace vám totiž dovolí stát se hypotetickým členem redakce, který může někoho přesvědčit - i jen po icq, že zapomněl své heslo, a poté vydat libovolný článek.