Взлом с помощью поиска, невнимательность и мой подельник GitHub

Вступление

Одним прекрасным, светлым утром, будучи потрясенным от того, что температура за окном, как казалось, была градусов на 5 больше чем обычно, я почувствовал наплыв небывалой ранее освещенности и в мой мозг ^[1] прокралась идея — «а ведь те, офферы и аккаунты, которые продаются на „черном рынке“ — они же ворованные всевозможными фишинг-сайтами и стиллерами, а насколько я знаю стиллеры — все логи должны храниться на каом-то хосте в сети интернет».

С этого момента не было времени медлить — нужно было тестировать. Я сломя голову побежал в компьютеру, судорожно вбивая в адресною строку «google.com» и первым ввел поисковый запрос «stealer filetype:txt». Увиденное меня ни сколько не удивило — среди поисковых запросов я видел ожидаемые логи одного из популярных стиллеров.

Посмотреть скриншот

Глава 1. Почему нужно использовать robots.txt, теги nofollow и ставить заглушки

После этого меня нельзя было остановить. Я, подобно волку, который почуял кровь своей жертвы продолжил искать, но уже с запросами, которые более ориентированы под конкретные названия стиллеров:

Посмотреть скриншот #1

Посмотреть скриншот #2

И тут меня снова осенило — «а ведь кроме логов с аккаунтами, неудачных пользователей, попавших на „программу-вора“, можно найти и посерьезнее что-то, например конфиги» и я пошел на GitHub.

Глава 2. Почему нужно блокировать файлы с конфигами через .gitignore

Если говорить открыто, то возможность сделать то, что я сделал и увидеть то, что я увидел я получил из-за невнимательности или лени некоторых пользователей, которые предпочитают bitbucket'у GitHub, потому как Bitbucket позволяет использовать приватные репозитории бесплатно.
Берем, например, маску автоматически сгенерированного MYSQL хоста одного популярного хостинга ^[2] и получаем, снова же таки, ожидаемый результат:

Посмотреть скриншот

Дальше не нужно иметь много фантазии, чтобы понять, что нужно делать со всем этим.

Заключение

Пожалуйста, используйте файл .gitignore и не деплойте свои конфиги. ^[3]

Автор: xjukebox

Источник ^[4]