网络安全参考 | UNIX参考 | GPS参考 | 无线参考 | 在线手册 | OSBUG.ORG | SUNNY-NETWORK.COM
网站地图 RSS订阅
高级搜索 收藏本站
Home | 业界动态 | 防火墙 | IDS/IPS | VPN | PKI | Honeypot | Hacker/Intruder | 黑客技术 | 破解技术 | 加密技术 | 病毒防护 | 木马 | 反垃圾邮件 | 反流氓软件 | 漏洞 | 无线安全 | UNIX | Windows | 安全编程 | 安全软件 | TPM/TCG | 数据恢复 | 企业信息安全 | 个人信息安全
 当前位置: Home > 黑客技术 > 文章  
黑客技巧 使用Google黑掉Windows服务器
文章来源: 论坛 文章作者: 不详 发布时间: 2006-07-17   字体: [ ]
 

 

Google查询人工执行黑客测试

 

在上一个技巧列出的自动查询工具之外,你可能还想执行自主的人工Google查询,这里是一些我在服务器上运行过的测试,它们可以作为你的开始。

 

注意:事实上,你能够使用Google进行的这些查询是非常非常少的一部分,你只需将你的想像力与前述的工具结合即可,它们对你要进行的查询的数量没有限制。

 

·site:你的主机或者域名 需要找的关键字

 

这将测试搜索一个特定Internet主机或域名下的任意关键字,你可以使用如SSN confidentialfinancestudent等众多关键字。

 

·filetype:想要找的文件扩展名 site:你的主机或者域名

 

这个测试将搜索你系统中的特定文件,你可以输入任意文件扩展名,比如docpdfpptdbdbf等,只要是你能够想像到的就行。

 

除非你能够确定你的信息已经泄漏到了其它网站,否则就一直使用“site:”操作符来限定你的搜索结果。使用“link:”操作符则能够搜索连接到个页面上的超链接。

 

如果Google返回了查询结果,但其中的链接已经成为死链,你可以点击搜索结果下面的快照链接进行搜索和查找。这将搜索Google的缓存,你的信息可能有存在那里的机会。同样,确定在Google Groups(网上论坛)搜索敏感信息,我曾经利用这种方法,在这里搜索到很多有用的信息。你还可以查看Interesting Google Querieshttp://artkast.yak.net/81)这个网页,找到针对Microsoft的特殊Google搜索技巧。

 

四个步骤保护Windows数据远离Google黑客

 

使用适当的对策,可以帮助你将高度机密信息远离Google,不能够被Google黑客搜索到。这里有四个步骤,你可以尝试做一下:

 

1.巩固你的服务器,并将其与外部环境隔离

 

有一个很不幸的事实是,许多关键服务器仍然完全暴露在Internet上,现在请收紧你服务器的存取控制,并将其放在防火墙之后。

 

2.设置robots.txt文件,禁止Google索引你的网页

 

你能够通过设置“googlebot”“User-agent:”参数的方法保护网络服务器的文件和目录免受Google索引,方法是在“Disallow:”部分列出你想保密的信息。

 

或者,如果你想所有的Web机器人都不访问你的网站和网页,就请将“User-agent:”参数设置为“*”,不过记住,怀有恶意的在网上到处闲逛的人能够从你的Web Server上得到此文件,并且看到你不想被别人看到的是哪些信息。如果这看起来像互联网的弱点,那么它就是。你可以不用robots.txt文件,但你应该允许机器人只能索引那些具体的公开页面,或者通过输入“Disallow /”禁止它们索引任何以根目录开始的信息。

 

请访问The Web Robots Pageshttp://www.robotstxt.org/wc/robots.html)获取如何配置你的robots.txt文件和如何执行更多反机器人欺骗的信息。Google同样有一个FAQ on Googlebot’s operationhttp://www.google.com/bot.html)。

 

3.将高度机密的信息从公众服务器上去除

 

制定一项组织策略用来保护高度机密的信息(例如密码、机密文件等)远离公众可以访问的服务器。否则,使用任何可能的存取控制措施来保护它们,并且确保这些策略能够被强制执行,并且管理那些违规者。

 

4.保证你的服务器是安全的

 

为了维护服务器安全,请使用我在这一系列技巧中讨论过的Google测试工具和Google查询对其进行黑客测试。

 

我高度推荐使用自动化测试工具,譬如SiteDiggerGooscan进行黑客测试,手工执行多个查询的方式不仅缓慢枯燥,还不易于管理。

 

记住,这些测试只是通过Google进行的挖掘测试,它们并不能代表所有的黑客和Internet安全,这些也不是测试所有系统漏洞的最好工具。作为替代,你必须使用多层测试手段:同时使用Google和其它免费的、开源的,以及――据我看来,最具有综合性和可靠性的――商业性的工具进行测试,这些商业性的工具我推荐的有SPI Dynamics公司的WebInspect(应用于Web应用程序,http://www.spidynamics.com/)、Application Security公司的AppDetective(用于Web数据库,http://www.appsecinc.com/)和Qualys公司的QualysGuard(用于操作系统和网络漏洞,http://www.qualys.com/)。

 

如果模拟黑客、渗入测试和普通的网络安全审计是你工作职责的一部分,这些Google黑客技术和相应的工具将成为你需要的安全工具箱中的一部分。为了安全的缘故,请现在就开始执行它,并且以后也经常执行。

 

关于作者:Kevin Beaver是一位独立的信息安全顾问、作者,也是位于亚特兰大的Principle Logic, LLC公司的发言人,他专门为那些需要严格安全保护,或者突发安全事件寻求解决方法的公司提供信息安全研究服务。他是四本有关信息安全的书的作者或共同作者,其中包含获得巨大成功的《Hacking for Dummies》(_1_2/002-6195114-4480811?v=glance&s=books">http://www.amazon.com/exec/obidos/tg/detail/-/076455784X/qid=1086746862/sr=1-2/ref=sr_1_2/002-6195114-4480811?v=glance&s=books)和即将出版的《Hacking Wireless Networks for Dummies》(http://www.wiley.com/WileyCDA/WileyTitle/productCd-0764597302.html)。这些书都由Wiley Publishing出版集团策划发行。你可以通过kbeaver@principlelogic.com联系Kevin Beaver,这是他的个人邮箱。也可以通过http://searchwindowssecurity.techtarget.com/ateAnswers/0,289620,sid45_tax297883,00.html,直接向他提问有关黑客方面的问题。

 

--

原文链接: http://www.enet.com.cn/article/2006/0717/A20060717136374.shtml

 
推荐文章
·骇客学堂:灰鸽子VIP2006终极免
·黑客攻破SQL服务器系统的十种方
·黑客的攻击:WEB入侵的过程
·Web环境下SQL注入攻击的检测与防
·黑客经典教程之理解地址解析协议
·黑客经典教程之缓冲区溢出解密(
·黑客经典教程之缓冲区溢出解密(
·黑客基础内容:21种RING的提权方
·网络孙子兵法!黑客攻防也有三十
·黑客攻击常见方法及安全策略制订
 
 
共2页: 上一页 [1] 2 下一页
↑返回顶部   打印本页   关闭窗口↓  

Google
 
Web oldhand.org unixreference.net meshmea.org
热点文章
·黑客基础内容 DOS常见命
·攻防秘技:彻底防范网络
·黑客教程:黑客入侵个人
·很多人的Hack经历第一次
·黑客基础内容 IPC$空连
·黑客经典教程之理解地址
·黑客攻击常见方法及安全
·黑客经典教程之缓冲区溢
相关分类
相关文章
·黑客教程:黑客入侵个人
·黑客攻击常见方法及安全
·网络孙子兵法!黑客攻防
·黑客基础内容 IPC$空连
·黑客基础内容 TCP端口的
·黑客基础内容 DOS常见命
·黑客基础内容:21种RING
·黑客基础内容:菜鸟+Sa+
更多...
 
 

Copyright(c) 2001-2008 OLDHAND ORGANIZATION, All Rights reserved.
Power by DedeCms 织梦内容管理系统
$Id: article_article.html,v 1.3 2007/02/10 12:00:37 yjs Exp $