Nonostante Google raccomandi di fare buon uso dei risultati ottenuti con questo potente tool di ricerca codice, e raccomandi di implementare il risultato delle ricerche per progetti ad uso personale o a titolo di studio, il potenziale rischio che informazioni “sensibili” sul software che usiamo su internet, vengano mostrate in chiaro a possibili cracker, è particolarmente alto.
Facciamo un esempio: inseriamo nel campo ricerca di Google Code Search la stringa: lang:php file:wp-config user-sample
Eseguendo la ricerca si notano in chiaro i file di configurazione di una potente piattaforma Blog: “WordPress” (utilizzata anche da questo sito).
Per gli hacker, lo strumento messo a disposizione da Google, è una importante risorsa, per scovare vulnerabilità in porzioni finora sconosciute di codice; ma c’è sempre il rovescio della medaglia.
I Cracker, potrebbero usare il codice ricercato, per sfruttarne alcune vulnerabilità e aggirare molti sistemi di protezione con password, trovate in chiaro direttamente nelle porzioni di codice risultanti dalla ricerca effettuata su Google Code Search.
Spero che lo staff di WordPress (e non solo, a questo punto) possa risolvere il problema delle “password” in chiaro nei files del loro codice. La guerra tra Hacker e Cracker ha un nuovo alleato: Google Code Search.
Italian
Ma i sorgenti di WordPress possono essere visti da chiunque anche adesso, che differenza fa se sono disponibili anche tramite GCS? Secondo me dovresti modificare leggermente il titolo: “Google Code Search: un buon tool”
Ciao! ^_-
Dunque, il tutto IMHO ovviamente. Due cose:
1) la ricerca di esempio trova i file di configurazione di esempio di wordpress. Mi aspetto che chiunque abbia messo su un blog usi credenziali non di default e abbia messo il file robots.txt per impedire l’indicizzazione di alcuni file.
2) l’uso delle credenziali dentro i file sorgente è assolutamente deprecabile, però dire che Google code può essere in aiuto ad un cracker secondo me è un po’ eccessiva come frase.
Se un cracker ha la necessità di violare un software opensource ha già tutti gli strumenti e di sicuro non usa google code, a meno di non trovarci di fronte ad uno script kiddie…
Ciao ciao
Sono d’accordo con tutte e due le interpretazioni precedenti. Ovvio che un abile cracker non ha bisogno di questi strumenti… ma la maggior parte dei ragazzini che si divertono a violare siti hanno uno strumento in più.
Il cracker può studiare il software Open Source, ma non è detto che possa venire in possesso facilmente della password che usiamo per amministrarlo…