piratería de Google: ¿por qué "numrange" es tan peligroso?

19

Estoy leyendo Google Hacking for Penetration Testers y en el libro se dice varias veces que el operador "numrange" es Especialmente potente y peligroso. Sin embargo, no dan ejemplo del uso de este operador. Sin embargo, nuevamente encontré reclamos similares en la red, sin ningún ejemplo de cómo se puede usar.

Estoy un poco a oscuras aquí. Sé que este operador es un arma peligrosa en manos de un ingeniero social malicioso, pero no sé cómo se puede usar esta arma y cómo montar la autodefensa.

Sé que este operador se utiliza para buscar un rango de números en la web. Supongo que podría usarlo para rastrear números sociales (sin embargo, no estoy seguro de cómo podría ubicar a una persona utilizando el rango alrededor del número social y no + "insertar número social"), teléfonos (digamos que conozco rango de Números de teléfono que utiliza la organización destinataria) y para buscar una dirección (para obtener información sobre los vecinos). Aún así, no veo por qué este es un operador tan "malvado" ...

Entonces, ¿qué tiene de especial el operador de rango numérico y cómo se puede utilizar en las pruebas con lápiz? ¿Cómo puedes defenderte contra Numrange (no contra el pirateo de Google en general)?

    
pregunta StupidOne 21.08.2011 - 21:15
fuente

3 respuestas

12

Hice un poco más de investigación y estuve jugando con Google durante un par de horas ...

El operador de rango numérico era mucho más problemático cuando fue introducido por Google que ahora. Hace un par de años, podía cosechar los CC # s, pero luego Google limitó el rango de números en una consulta a 5 dígitos. Si usa 6 dígitos en una consulta, obtendrá esto:

Sinembargo,todavíaesposibleobtenerSSN.Eltrucoesdividirunnúmero(SSN)enpartesmáspequeñas.EnlosEE.UU.,LosprimerostresdígitosdeunSSNrepresentanelestado.Elsegundogrupodenúmeros(2)representaelnúmerodegrupoyelúltimogrupodedígitos(4)indicaelnúmerodeserie.

Laconsultaensípodríagustarcomo:

  • +ssn"486..500-01..99-0001..9999"

Esto devolvería todos los SSN de Missouri.

El operador Numrange tiene usos legítimos (no relacionados con la ingeniería social) como la búsqueda de direcciones, rangos de precios, números de página, años (por ejemplo, Aston Martin 1950..1960), etc.

    
respondido por el StupidOne 22.08.2011 - 17:46
fuente
10

Numrange ha sido criticado por ayudar potencialmente a los recolectores: los robots que recopilan grandes cantidades de CC # s, SSN, correos electrónicos, etc. Alguien que quiera recopilar CC # s podría tener que escribir un rastreador para los resultados de búsqueda de Google en lugar de rastreando una gran parte de la web ellos mismos. Obviamente, a menos que Google tome contramedidas, rastrear un sitio web (o usar API) es más fácil que rastrear toda la web, por lo que la barra para cosechadores se reduce.

Debido a que la amenaza se está cosechando, es posible que desee asegurarse de que los números de CC y SSN no aparezcan en su sitio. La búsqueda de su propio rango numérico a través de bases de datos, registros, etc. puede alertarle sobre amenazas. Por ejemplo, si proporciona un sitio web que mantiene archivos de conversaciones seleccionadas de asistencia al usuario para ayudar a las personas a diagnosticar sus propios problemas, puede ser una buena idea escribir su propio recolector de números para que se le avise primero si la información personal de sus usuarios termina. en archivos.

    
respondido por el Mike Samuel 22.08.2011 - 03:43
fuente
6

Mientras Google ha introducido un número máximo de dígitos en una consulta , esto todavía funciona:

enlace

Al parecer, Google hará los cálculos por ti, y no se filtra. Eso funciona con 9 dígitos, cambie a -2 -1 de x dígitos en consecuencia. No diría que es un operador "malvado", pero debe usarse de manera responsable. Sin embargo, no sé por cuánto tiempo lo mantendré por más tiempo que lo publiqué ...

enlace

    
respondido por el Marshall 29.10.2012 - 07:31
fuente

Lea otras preguntas en las etiquetas