Google Hacking

‫هﮏ ﮐﺮدن ﺑﺎ ﮔﻮﮔﻞ ‪:‬‬ ‫ﺗﺮﺟﻤﻪ از ﻋﻠﯽ رﻓﻴﻌﯽ‬ ‫ﮐﻠﻴﻪ ﺣﻘﻮق اﯾﻦ ﻣﻘﺎﻟﻪ ﺑﺮای ﮔﺮوﻩ اﻣﻨﻴﺘﯽ ‪ hyper‬ﻣﺤﻔﻮظ ﻣﻴﺒﺎﺷﺪ‪.‬‬ ‫‪Www.hyper-secuirty.com‬‬ ‫‪www.vbehzadan.net‬‬

‫هﻤﻪ ﺷﻤﺎ ﺑﺎﻳﺪ ﺑﺪاﻧﻴﺪ ﺗﻼﺷﻬﺎي ﺑﺴﻴﺎري ﺑﺮاي ﺑﺪﺳﺖ ﺁوردن اﻳﻦ اﻃﻼﻋﺎت ﺻﻮرت ﮔﺮﻓﺘﻪ و ﺷﻤﺎ ﺁﻧﻬﺎ را ﺑﻪ‬ ‫هﻤﻴﻦ ﺳﺎدﮔﻲ ﺑﺪﺳﺖ ﻣﻲ ﺁورﻳﺪ اي ﮐﺎش ﻣﻦ ﺟﺎي ﺷﻤﺎ ﺑﻮدم ‪.‬‬ ‫ﻣﺘﻦ زﻳﺮ ﺷﺎﻣﻞ ﺁﻣﻮزش وﺗﻌﺪادي ﻣﺜﺎل ﻣﻲ ﺑﺎﺷﺪ‬ ‫ﺗﻮﺟﻪ ‪ :‬ﺑﻌﻀﻲ از ﻟﻴﻨﮏ هﺎ ﻣﻤﮑﻦ اﺳﺖ ﺑﻌﺪ از اﻳﻦ ﮐﺎر ﻧﮑﻨﺪ زﻳﺮا ﻣﻦ اﻳﻦ ﺳﺎﻳﺘﻬﺎ را از ﻋﻴﺒﻬﺎﻳﺸﺎن ﻣﻄﻠﻊ ﮐﺮدم ‪.‬‬ ‫ﺗﺌﻮري ‪:‬‬ ‫ﺗﺌﻮري اﻳﻦ روش ﺗﻘﺮﻳﺒﺎ ﺳﺎدﻩ اﺳﺖ ‪ .‬ﻳﺎ ﺷﻤﺎ دﻧﺒﺎل اﻃﻼﻋﺎت ﻣﺨﺼﻮﺻﻲ هﺴﺘﻴﺪ ﮐﻪ دوﺳﺖ دارﻳﺪ ﺑﺪاﻧﻴﺪ ﮐﻪ در‬ ‫ﮐﺪام ﻓﺎﻳﻞ هﺎ اﻳﻦ ﮔﻮﻧﻪ دادﻩ هﺎ ذﺧﻴﺮﻩ ﻣﻲ ﺷﻮد و ﺳﭙﺲ ﻣﺴﺘﻘﻴﻤﺎ دﻧﺒﺎل اﻳﻦ ﻓﺎﻳﻞ هﺎ ﻣﻲ ﮔﺮدﻳﺪ)ﺑﺮاي ﻣﺜﺎل‬ ‫دﻧﺒﺎل ﻓﺎﻳﻞ هﺎي ‪*.xls‬ﻣﻲ ﮔﺮدﻳﺪ( و ﻳﺎ اﻳﻨﮑﻪ از ﻧﺮم اﻓﺰار هﺎي ﺑﺨﺼﻮص ﮐﻪ ﺑﻪ ﺷﻤﺎ اﺟﺎزﻩ ﮐﺎر ﺑﺨﺼﻮﺻﻲ و‬ ‫دﺳﺘﺮﺳﻲ ﻳﻪ اﻳﻦ ﻓﺎﻳﻞ هﺎ را ﻣﻲ دهﺪ ﺑﺮاي ﺟﺴﺘﺠﻮ اﺳﺘﻔﺎدﻩ ﻣﻲ ﮐﻨﻴﺪ ‪.‬‬ ‫ﻓﺮض ﮐﻨﻴﺪ ﺷﻤﺎ ﻣﻲ داﻧﻴﺪ ﮐﻪ ﻋﺒﺎرت”‪ “view database‬در ﺻﻔﺤﻪ هﺎﻳﻲ ﮐﻪ ﻗﺎﺑﻞ دﺳﺘﺮﺳﻲ ﺷﻤﺎ ﻧﻤﻲ ﺑﺎﺷﺪ‬ ‫وﺟﻮد دارد‪.‬ﺑﻨﺎﺑﺮاﻳﻦ ﺷﻤﺎ دﻧﺒﺎل ﺻﻔﺤﻪ هﺎﻳﻲ ﻣﻴﮕﺮدﻳﺪ ﮐﻪ ﺷﺎﻣﻞ اﻳﻦ ﻋﺒﺎرت ﻣﻲ ﺷﻮد ‪.‬و ﻳﺎ در اﻳﻦ ﺻﻔﺤﻪ هﺎ از‬ ‫ﻧﺮم اﻓﺰاهﺎﻳﻲ اﺳﺘﻔﺎدﻩ ﻣﻴﺸﻮد ﮐﻪ ﺑﻪ ﺁن ﻟﻴﻨﮏ ﺷﺪﻩ و ‪ viewdbase.htm‬ﻧﺎﻣﻴﺪﻩ ﻣﻲ ﺷﻮد اﺳﺘﻔﺎدﻩ ﻣﻲ ﮐﻨﻴﻢ‬ ‫ﺑﻨﺎﺑﺮاﻳﻦ ﻣﻲ ﺗﻮاﻧﻴﻢ دﻧﺒﺎل ‪ viewdbase.htm‬ﺑﮕﺮدﻳﻢ ﻣﻬﻤﺘﺮﻳﻦ ﭼﻴﺰ اﻳﻦ اﺳﺖ ﮐﻪ هﺪﻓﺘﺎن واﺿﺢ ﺑﺎﺷﺪ و ﺑﺪاﻧﻴﺪ‬ ‫دﻧﺒﺎل ﭼﻪ ﭼﻴﺰي ﻣﻲ ﮔﺮدﻳﺪ ﺳﭙﺲ دﻧﺒﺎل اﻳﻦ ﻓﺎﻳﻞ ﻣﺸﺨﺺ ﺑﮕﺮدﻳﺪ ‪.‬‬ ‫ﮔﺰﻳﻨﻪ هﺎي ﺟﺴﺘﺠﻮي ﮔﻮﮔﻞ ‪:‬‬ ‫ﻧﻮع ﺑﺨﺼﻮﺻﻲ ﻓﺎﻳﻞ ‪*.xls, *.doc, *.pdf *.ps *.ppt *.rtf :‬‬ ‫ﮔﻮﮔﻞ اﻳﻦ اﺟﺎزﻩ را ﺑﻪ ﺷﻤﺎ ﻣﻲ دهﺪ ﮐﻪ ﺑﺪﻧﺒﺎل ﻧﻮع ﺑﺨﺼﻮﺻﻲ از ﻓﺎﻳﻞ ﺑﻪ ﺟﺎي ﻓﺎﻳﻞ هﺎي ‪ html‬ﺑﮕﺮدﻳﺪ ﺑﺮاي‬ ‫ﻣﺜﺎل ﺷﻤﺎ ﻣﻲ ﺗﻮاﻧﻴﺪ دﻧﺒﺎل ﻓﺎﻳﻠﻬﺎي اﮐﺴﻞ ﻣﺎﮐﺮوﺳﺎﻓﺖ ﺑﮕﺮدﻳﺪ ‪.‬دﺳﺘﻮر ﺟﺴﺘﺠﻮﻳﻲ ﮐﻪ از ﺁن اﺳﺘﻔﺎدﻩ ﻣﻲ‬ ‫ﮐﻨﻴﻢ ﻣﺎﻧﻨﺪ زﻳﺮ اﺳﺖ ‪:‬‬ ‫‪Filetype:xls (for excel files) or filetype:doc for word files.‬‬ ‫وﻟﻲ ﺟﺎﻟﺐ ﺗﺮ اﺳﺖ ﮐﻪ ﺑﺪﻧﺒﺎل ﻓﺎﻳﻞ هﺎي ‪ *.db‬و ‪ *.mdb‬ﺑﮕﺮدﻳﻢ ‪.‬ﮔﻮﮔﻞ ﺑﻪ ﺷﻤﺎ ﻧﻤﻲ ﮔﻮﻳﺪ ﮐﻪ ﻣﻴﺘﻮاﻧﻴﺪ دﻧﺒﺎل‬ ‫اﻳﻦ ﻓﺎﻳﻞ ﺑﮕﺮدﻳﺪ وﻣﻦ ﺷﮕﻔﺖ زدﻩ ﺷﺪم ﮐﻪ ﺑﻪ دﻧﺒﺎل ﭼﻪ ﻓﺎﻳﻞ هﺎي دﻳﮕﺮي ﻣﻲ ﺗﻮاﻧﻢ ﺑﮕﺮدم ﮐﻪ اﻳﻦ ﺑﻪ ذهﻨﻢ‬ ‫ﺁﻣﺪ ﻓﺎﻳﻞ هﺎﻳﻲ از ﻧﻮع ‪ *.cfg‬ﻳﺎ ‪ *.pwd‬ﻳﺎ‪ *.dat‬و ﻏﻴﺮﻩ اﻣﺘﺤﺎن ﮐﻨﻴﺪ و ﺑﻪ ﭼﻴﺰهﺎﻳﻲ ﮐﻪ ﻣﻴﺘﻮاﻧﻴﺪ ﺑﺪﺳﺖ ﺑﻴﺎورﻳﺪ‬ ‫ﻓﮑﺮ ﮐﻨﻴﺪ ‪.‬‬ ‫‪: Inurl‬‬ ‫ﮔﺰﻳﻨﻪ ﺑﺪرد ﺑﺨﻮر دﻳﮕﺮﮔﺰﻳﻨﻪ ‪ inurl:‬اﺳﺖ اﻳﻦ ﮔﺰﻳﻨﻪ ﺑﻪ ﺷﻤﺎ اﺟﺎزﻩ ﻣﻴﺪهﺪ ﺗﺎ ﺑﺪﻧﺒﺎل ﮐﻠﻤﻪ ﻣﺨﺼﻮﺻﻲ در ﺁدرس‬ ‫ﺑﮕﺮدﻳﺪ ‪ .‬اﻳﻦ ﺑﻪ ﺷﻤﺎ اﻳﻦ ﺷﺎﻧﺲ را ﻣﻴﺪهﺪ ﺗﺎ ﺑﺪﻧﺒﺎل داﻳﺮﮐﺘﻮري ﻳﺎ ﭘﻮﺷﻪ ﺧﺎﺻﻲ ‪ ،‬ﻣﺨﺼﻮﺻﺎ ﺑﺎﺗﺮﮐﻴﺐ ﮐﺮدن ﺑﺎ‬ ‫ﮔﺰﻳﻨﻪ ”‪ “index of‬ﮐﻪ ﺑﻌﺪا در ﻣﻮردش ﺻﺤﺒﺖ ﻣﻲ ﮐﻨﻢ ﺑﺪﺳﺖ ﺁورﻳﺪ‪.‬‬ ‫ﺑﺮاي ﻣﺜﺎل ‪ inurl:admin‬ﮐﻪ ﻧﺘﻴﺠﻪ اش وب ﺳﺎﻳﺘﻬﺎﻳﻲ اﺳﺖ ﮐﻪ در ﺁدرس ﺁن هﺎ ‪ admin‬ﻣﻲ ﺑﺎﺷﺪ ‪.‬‬ ‫‪: Index of‬‬ ‫ﮔﺰﻳﻨﻪ ”‪ “index of‬ﮔﺰﻳﻨﻪ دﻳﮕﺮي اﺳﺖ ﮐﻪ ﭘﺪﻳﺪ ﺁورﻧﺪﮔﺎن ﮔﻮﮔﻞ ﻓﮑﺮ ﺧﺎﺻﻲ در ﻣﻮرد ﺁﻧﻬﺎ ﻧﺪاﺷﺘﻨﺪ و ﻓﻘﻂ ﺑﻪ‬ ‫ﺧﺎﻃﺮ راﺣﺘﻲ از ﺁن اﺳﺘﻔﺎدﻩ ﮐﺮدﻧﺪ اﮔﺮ ﺷﻤﺎ از اﻳﻦ رﺷﺘﻪ”‪ “index of‬اﺳﺘﻔﺎدﻩ ﮐﻨﻴﺪ ﺷﻤﺎ ﻣﻲ ﺗﻮاﻧﻴﺪ ﻟﻴﺴﺖ‬ ‫داﻳﺮﮐﺘﻮري هﺎﻳﻲ را ﮐﻪ در ﭘﻮﺷﻪ ﻣﺨﺼﻮﺻﻲ روي ﺳﺮور اﺳﺖ ﺑﺪﺳﺖ ﺁورﻳﺪ ﺑﺮاي ﻣﺜﺎل ‪:‬‬ ‫‘‘‪index of” admin or index.of.admin‬‬ ‫ﮐﻪ ﺑﻪ ﺷﻤﺎ ﺗﻌﺪاد ﺑﺴﻴﺎري داﻳﺮﮐﺘﻮري در ﭘﻮﺷﻪ ‪ admin‬را ﻣﻲ دهﺪ ﻓﻘﻂ ﻓﺮاﻣﻮش ﻧﮑﻨﻴﺪ ﮐﻪ ﺁن را ﺑﻪ هﻤﻴﻦ‬ ‫ﺻﻮرت ﺑﺎﻳﺪ اﺳﺘﻔﺎدﻩ ﮐﻨﻴﺪ ﻧﻪ ﺑﺼﻮرت”‪ “index‬ﻳﺎ ”‪“of‬‬ ‫‪: Site‬‬

‫اﻳﻦ ﮔﺰﻳﻨﻪ ﺑﻪ ﺷﻤﺎ اﻳﻦ اﺟﺎزﻩ را ﻣﻲ دهﺪ ﮐﻪ ﻧﺘﺎﻳﺠﻲ را ﮐﻪ ﺑﺪﺳﺖ ﻣﻲ ﺁورﻳﺪ ﻓﻘﻂ ﻣﺘﻌﻠﻖ ﺑﻪ دوﻣﻴﻦ ﻣﺨﺼﻮﺻﻲ‬ ‫و ﻳﺎ ﺳﺎﻳﺖ ﻣﺨﺼﻮﺻﻲ ﺑﺎﺷﺪ ‪.‬‬ ‫ﺑﺮاي ﻣﺜﺎل ﻣﻲ ﺗﻮاﻧﻴﺪ ﻓﻘﻂ در ﺳﺎﻳﺖ هﺎﻳﻲ ﺑﺎ ﭘﺴﻮﻧﺪ ‪ .com‬و ﻳﺎ ‪ .box.sk‬وﻳﺎ در ﻳﮏ ﺳﺎﻳﺖ ﺟﺴﺘﺠﻮ ﮐﻨﻴﺪوﻟﻲ‬ ‫ﻧﺘﺎﻳﺞ ﺑﻬﺘﺮ ﻣﺮﺑﻮط ﺑﻪ ﺳﺎﻳﺖ هﺎي ﻧﻈﺎﻣﻲ و ﻳﺎ دوﻟﺘﻲ ﻣﻲ ﺑﺎﺷﺪ ﺑﻪ ﻃﻮر ﻣﺜﺎل ‪:‬‬ ‫‪Site:mil or site:gov‬‬ ‫”‪Site:neworder.box.sk “board‬‬

‫‪: Intitle‬‬ ‫اﻳﻦ ﮔﺰﻳﻨﻪ هﻢ ﮔﺰﻳﻨﻪ ﺧﻮﺑﻲ اﺳﺖ و ﺑﻪ ﺷﻤﺎ اﺟﺎزﻩ ﻣﻴﺪهﺪ ﺗﺎ در ﻣﻴﺎن ﻓﺎﻳﻞ هﺎي ‪ html‬ﮐﻪ ﻋﻨﻮان ﺁن ﮐﻠﻤﻪ‬ ‫ﺑﺨﺼﻮﺻﻲ اﺳﺖ ﺟﺴﺘﺠﻮ ﮐﻨﻴﺪ ‪ .‬وﺑﺮاي هﻤﻴﻦ ﺷﻤﺎ ﺑﺎﻳﺪ ﺑﺒﻴﻨﻴﺪ ﭼﻪ ﮐﻠﻤﻪ هﺎﻳﻲ در ﻋﻨﻮان ﺻﻔﺤﻪ هﺎي ﮐﻨﺘﺮل‬ ‫ﭘﻨﻞ و ﻳﺎ ﺳﻴﺴﺘﻤﻬﺎي ﺗﻨﻈﻴﻢ ﻣﺨﺘﻠﻒ دﻳﺪﻩ ﻣﻲ ﺷﻮد و ﺳﭙﺲ در ﮔﻮﮔﻞ اﻳﻦ ﮐﻠﻤﻪ را در ﮔﺰﻳﻨﻪ ‪ intitle‬اﺳﺘﻔﺎدﻩ‬ ‫ﮐﻨﻴﺪ ﺗﺎ ﺻﻔﺤﻪ هﺎي ﮐﻨﺘﺮل ﭘﻨﻞ را ﺑﺪﺳﺖ ﺑﻴﺎورﻳﺪ ‪.‬‬ ‫‪: Link‬‬ ‫اﻳﻦ ﮔﺰﻳﻨﻪ ﺑﻪ ﺷﻤﺎ اﻳﻦ اﺟﺎزﻩ را ﻣﻴﺪهﺪ ﺗﺎ ﺑﺪاﻧﻴﺪ ﮐﺪام ﺳﺎﻳﺘﻬﺎ ﺑﻪ ﺳﺎﻳﺖ ﻣﺨﺼﻮﺻﻲ ﻟﻴﻨﮏ ﻣﻲ ﺑﺎﺷﺪ هﻤﺎﻧﻄﻮر‬ ‫ﮐﻪ در ‪ Hacking Exposed‬وﻳﺮاﻳﺶ ﺳﻮم ﺗﻮﺿﻴﺢ دادﻩ ﺷﺪﻩ ﻣﻴﺘﻮاﻧﺪ ﻣﻔﻴﺪ ﺑﺎﺷﺪ ‪.‬‬ ‫اﻳﻦ ﻣﻮﺗﻮر هﺎي ﺟﺴﺘﺠﻮ اﻳﻦ ﻣﺰﻳﺖ را اﻳﺠﺎد ﻣﻲ ﮐﻨﺪ ﮐﻪ ﺷﻤﺎ ﺗﻤﺎم ﺳﺎﻳﺖ هﺎﻳﻲ ﮐﻪ ﺑﻪ دوﻣﻴﻦ ﺳﺎزﻣﺎن ﻣﻮرد‬ ‫ﻧﻈﺮ ﺷﻤﺎ ﻣﺘﺼﻞ اﺳﺖ را ﭘﻴﺪا ﮐﻨﻴﺪ‬

‫ﺗﺮﮐﻴﺐ ﮐﺮدن ﮔﺰﻳﻨﻪ هﺎي ﺟﺴﺘﺠﻮ‪:‬‬ ‫ﮔﺰﻳﻨﻪ هﺎي ﺑﺎﻻ ﻣﻤﮑﻦ اﺳﺖ ﺑﺮاي ﺷﻤﺎ ﺷﻨﺎﺧﺘﻪ ﺷﺪﻩ ﺑﺎﺷﺪ ﻳﺎ ﻧﺒﺎﺷﺪ اﻣﺎ ﺑﻪ هﺮ ﺣﺎل ﺁﻧﻬﺎ ﺣﺎوي ﻣﻘﺪاري‬ ‫اﻃﻼﻋﺎت ﺟﺎﻟﺐ ﻣﻲ ﺑﺎﺷﺪ در ﺣﻘﻴﻘﺖ وﻗﺘﻲ ﺁﻧﻬﺎ را ﺑﺎهﻢ ﺗﺮﮐﻴﺐ ﻣﻴﮑﻨﻴﺪ ﺟﺎدوي ﮔﻮﮔﻞ ﺑﺮاﻳﺘﺎن ﺁﺷﮑﺎر ﻣﻲ ﺷﻮد ‪.‬‬ ‫ﺑﺮاي ﻣﺜﺎل دﺳﺘﻮر زﻳﺮ را اﻣﺘﺤﺎن ﮐﻨﻴﺪ ‪:‬‬ ‫‪nurl:nasa.gov filetype:xls "restricted" or site:mil filetype:xls "password" or maybe‬‬ ‫ﻣﺜﺎل هﺎ ‪:‬‬ ‫ﺑﺮاي ﺷﺮوع ﺑﺪﻧﺒﺎل داﻳﺮﮐﺘﻮري و ﻓﺎﻳﻞ هﺎﻳﻲ ﺑﮕﺮدﻳﺪ ﮐﻪ ﻣﻤﮑﻦ اﺳﺖ اﻃﻼﻋﺎت ﻣﻔﻴﺪي داﺷﺘﻪ ﺑﺎﺷﻨﺪ ﮐﻠﻤﻪ‬ ‫هﺎﻳﻲ ﮐﻪ ﻣﻦ اﻧﺘﺨﺎب ﻣﻲ ﮐﻨﻢ ﻣﻲ ﺗﻮاﻧﻨﺪ ﻣﺎﻧﻨﺪ زﻳﺮ اﺳﺖ ‪:‬‬ ‫‪Password, passwords, pwd, account, accounts, userid, uid, login, logins, secret, secrets, all‬‬ ‫‪followed by either *.doc or *.xls or *.db‬‬ ‫اﻳﻦ هﺎ اﻳﻦ اﺟﺎزﻩ را ﺑﻪ ﻣﻦ داد ﺗﺎ ﻧﺘﺎﻳﺞ ﺟﺎﻟﺒﻲ ﺑﺪﺳﺖ ﺑﻴﺎورم ﻣﺨﺼﻮﺻﺎ ﺑﺎ ﮔﺰﻳﻨﻪ ”‪ “.db‬وﻟﻲ ﻣﻦ ﻓﺎﻳﻞ هﺎﻳﻲ‬ ‫ﻣﺎﻧﻨﺪ ‪ passwords.doc‬ﮐﻪ ﺷﺎﻣﻞ ﭘﺴﻮرد ﻣﻲ ﺑﺎﺷﺪ را ﻧﻴﺰ ﭘﻴﺪا ﮐﺮدم‬ ‫‪http://www.doc.state.ok.us/Spreadsheets/private%20prison%20survey%20for%20web.xls‬‬ ‫‪http://www.bmo.com/investorrelations/current/current/suppnew/private.xls‬‬ ‫‪http://www.nescaum.org/Greenhouse/Private/Participant_List.xls‬‬ ‫‪http://www.dscr.dla.mil/aviationinvest/attendance_5Apr01.xls‬‬ ‫‪http://web.nps.navy.mil/~drdolk/is3301/PART_IS3301.XLS‬‬ ‫‪: Admin.cfg‬‬ ‫در ﺑﻴﺸﺘﺮ ﻣﻮاﻗﻊ اﻳﻦ ﻓﺎﻳﻞ ﺷﺎﻣﻞ ﺗﻨﻈﻴﻤﺎت ادﻣﻴﻦ ﺳﺎﻳﺖ ﻣﻲ ﺑﺎﺷﺪ ﺧﻴﻠﻲ از ﻧﺮم اﻓﺰارهﺎ از ﻧﺎﻣﻬﺎي ﻣﺸﺨﺼﻲ‬ ‫هﻤﺎﻧﻨﺪ”‪ “config‬ﻳﺎ”‪ “admin‬ﻳﺎ ”‪ “setup‬و‪ ..‬اﺳﺘﻔﺎدﻩ ﻣﻲ ﮐﻨﻨﺪ و در ﺑﻴﺸﺘﺮ ﻣﻮاﻗﻊ اﻳﻦ ﻓﺎﻳﻞ ﺷﺎﻣﻞ اﻃﻼﻋﺎت‬ ‫ﺣﺴﺎﺳﻲ ﻣﻲ ﺑﺎﺷﺪ ﺑﻨﺎﺑﺮاﻳﻦ ﻧﺒﺎﻳﺪ ﺗﻮﺳﻂ ﺟﺴﺘﺠﻮ در وب ﺗﻮﺳﻂ ﻣﺮدم ﻗﺎﺑﻞ دﺳﺘﺮﺳﻲ ﺑﺎﺷﺪ ﻣﻦ ﻳﮏ ﺟﺴﺘﺠﻮ‬ ‫ﺑﺮاي ‪ Admin.cfg‬در ﮔﻮﮔﻞ ﺑﻪ ﺷﮑﻞ ”‪ inurl:admin.cfg “index of‬ﮐﺮدم ﮐﻪ اﻳﻦ ﺑﺎﻋﺚ ﺷﺪ ﻧﺘﺎﻳﺞ ﺑﺪرد ﻧﺨﻮر‬ ‫زﻳﺎدي ﺑﺪﺳﺖ ﺑﻴﺎورم وﻟﻲ ﺑﻌﻀﻲ از ﺁﻧﻬﺎ ﺑﻪ درد ﻣﻲ ﺧﻮرد ‪.‬‬ ‫ﺑﺮاي ﻣﺜﺎل ﻣﻦ ﺁدرس‪ http://www.alternetwebdesign.com/cgi-bin/directimi/admin.cfg‬را ﭘﻴﺪا ﮐﺮدم ﮐﻪ‬ ‫ﺷﺎﻣﻞ ﭘﺴﻮرد ﻣﻲ ﺑﺎﺷﺪ و ﭘﺴﻮرد ادﻣﻴﻦ را ﺑﺮاي دﻳﺘﺎﺑﻴﺴﻲ ﺑﻪ‬ ‫ﺁدرس‪ http://www.alternetwebdesign.com/cgi-bin/directimi/database.cgi?admin.cfg‬را داﺷﺖ اﻳﻦ‬ ‫دﻳﺘﺎﺑﻴﺲ ﺣﺎوي اﻃﻼﻋﺎت ﺣﺴﺎس ﺑﻴﺸﺘﺮي در ﻳﮏ ﮐﻤﭙﺎﻧﻲ ﻣﻌﻤﻮﻟﻲ ﻣﻲ ﺑﺎﺷﺪ ﺳﭙﺲ ﻣﻦ ﻳﮏ اﻳﻤﻴﻞ ﺑﻪ‬ ‫ﮐﻤﭙﺎﻧﻲ زدم و ﺑﻪ ﺁﻧﻬﺎ در ﻣﻮرد اﻳﻦ ﺿﻌﻒ ﮔﻔﺘﻢ و ﺁﻧﻬﺎ هﻢ دوﺳﺘﺎﻧﻪ ﺑﻪ ﻣﻦ ﺟﻮاب دادﻧﺪ و از ﻣﻦ ﺑﻪ ﺧﺎﻃﺮ ﮐﻤﮏ‬ ‫ﺑﻪ ﺁﻧﻬﺎ ﺗﺸﮑﺮ ﮐﺮدﻧﺪ وﻗﺪﻣﻬﺎﻳﻲ ﺑﺮاي رﻓﻊ اﻳﻦ ﻣﺸﮑﻞ را ﺑﺮداﺷﺘﻨﺪ ‪.‬‬

‫‪: Webadmin‬‬ ‫ﻣﺪت ﮐﻮﺗﺎهﻲ ﮐﻪ روي اﻳﻦ ﻣﻘﺎﻟﻪ ﮐﺎر ﻣﻲ ﮐﺮدم ﻣﻦ ﺑﺎ اﻳﻦ وب ﺳﺎﻳﺖ ﻣﻮاﺟﻪ ﺷﺪم ‪http://wacker-‬‬ ‫‪ welt.de/webadmin/‬اﻳﻦ وﺑﺴﺎﻳﺖ ﺗﻮﺿﻴﺢ ﻣﻲ داد ‪Webadmin‬ﺑﺮﻧﺎﻣﻪ ﮐﻮﭼﮑﻲ اﺳﺖ ﮐﻪ اﺟﺎزﻩ ﻣﻴﺪهﺪ ﺷﺨﺺ‬ ‫از راﻩ دور ﺑﺨﺶ هﺎﻳﻲ از وب ﺳﺎﻳﺖ را ﺗﻐﻴﻴﺮ دهﺪ ‪،‬ﻓﺎﻳﻞ هﺎ را ﺁﭘﻠﻮد ﮐﻨﺪ و‪...‬‬ ‫ﺻﻔﺤﻪ اﺻﻠﻲ ﮐﻨﺘﺮل ‪ webeditor.php، webadmin‬ﻧﺎﻣﻴﺪﻩ ﻣﻲ ﺷﻮد ‪ .‬ﺧﻮب واﺿﺢ اﺳﺖ ﮐﻪ ﻗﺪم ﺑﻌﺪي ﻣﻦ‬ ‫اﻳﻦ اﺳﺖ ﮐﻪ ﺳﺮي ﺑﻪ ﮔﻮﮔﻞ ﺑﺰﻧﻢ و ﺑﺎ اﺳﺘﻔﺎدﻩ از ﺗﮓ ‪ inurl‬دﻧﺒﺎل ﺻﻔﺤﻪ هﺎي ‪ webeditor.php‬ﺑﮕﺮدم ﮐﻪ‬ ‫ﻗﺎﺑﻞ دﺳﺘﺮﺳﻲ اﺳﺖ و از ﻏﺒﺎرت زﻳﺮ اﺳﺘﻔﺎدﻩ ﮐﺮدم ‪:‬‬ ‫‪inurl:webeditor.php‬‬ ‫و ﻧﺘﺎﻳﺞ زﻳﺮ را ﺑﺪﺳﺖ ﺁوردم ‪:‬‬ ‫‪http://orbyonline.com/php/webeditor.php‬‬ ‫‪http://www-user.tu-chemnitz.de/~hkri/Neuer%20Ordner/webeditor.php‬‬ ‫‪http://artematrix.org/webeditor/webeditor.php‬‬ ‫‪http://www.directinfo.hu/kapu/webeditor.php‬‬ ‫ﺗﻤﺎم اﻳﻦ ﻓﺎﻳﻞ هﺎي ‪ webeditor.php‬ﺗﻮﺳﻂ هﺮ ﮐﺴﻲ ﻗﺎﺑﻞ دﺳﺘﺮس اﺳﺖ ﭼﻮن ﺻﺎﺣﺒﺎن ﺁﻧﻬﺎ ﻧﺘﻮاﻧﺴﺘﻪ اﻧﺪ ﺑﻪ‬ ‫ﻃﻮر ﮐﺎﻣﻞ از اﻳﻦ ﺻﻔﺤﻪ هﺎ ﺑﺎ اﺳﺘﻔﺎدﻩ از ‪ htacces‬ﺣﻔﺎﻇﺖ ﮐﻨﻨﺪ و اﻳﻦ اﺷﺘﺒﺎﻩ ﺑﻪ هﺮﮐﺴﻲ اﻳﻦ اﺟﺎزﻩ را ﻣﻲ‬ ‫داد ﺗﺎ ﺻﻔﺤﺎت روي هﺮ ﺳﺮور را ﺗﻐﻴﻴﺮ و ﻳﺎ ﺷﮑﻞ اﻳﻦ ﻓﺎﻳﻞ هﺎ را ﻋﻮض ﮐﻨﻨﺪ و ﻳﺎ ﻓﺎﻳﻞ را ﺁﭘﻠﻮد ﮐﻨﻨﺪ وﻳﺎ هﺮ ﮐﺎري‬ ‫ﮐﻪ ﻣﻲ ﺗﻮان ﺑﺎ ﻳﮏ دﺳﺘﺮﺳﻲ ﮐﺎﻣﻞ ﻣﻲ ﺗﻮان اﻧﺠﺎم داد ‪.‬‬ ‫ﺑﺎ ﮔﺸﺘﻦ در اﻳﻦ ﺳﺎﻳﺘﻬﺎ ﻣﺘﻮﺟﻪ ﺷﺪم ﻓﺎﻳﻠﻲ ﮐﻪ اﺟﺎزﻩ ﺁﭘﻠﻮد را ﻣﻲ دهﺪ ﻧﺎﻣﻴﺪﻩ ”‪ “file_upload.php‬ﻣﻲ ﺷﻮد‬ ‫و ﺑﻌﺪ از ﮔﺸﺘﻦ در ﮔﻮﮔﻞ ﻧﺘﺎﻳﺞ زﻳﺮ را ﺑﺪﺳﺖ ﺁوردم‬ ‫‪http://www.hvcc.edu/~kantopet/ciss_225/examples/begphp/ch10/file_upload.php‬‬ ‫ﻳﮏ ﻣﺜﺎل ﺧﻮب ‪:‬‬ ‫‪http://www.pelicandecals.com/admin/webeditor.php‬‬ ‫اﻳﻦ اﺳﮑﺮﻳﭙﺖ ﺑﻪ ﺷﻤﺎ اﻳﻦ اﺟﺎزﻩ ﺗﻐﻴﻴﺮ ﻓﺎﻳﻞ هﺎ را ﻣﻲ دهﺪ ﻣﺎﻧﻨﺪ ﻣﺜﺎل ﺑﺎﻻ‬ ‫در ﺗﺌﻮري ﺷﺨﺺ ﻣﻴﺘﻮاﻧﺪ اﺳﮑﺮﻳﭙﺖ هﺎي ﻣﺨﺘﻠﻔﻲ را ﮐﻪ ﻣﻲ ﺧﻮاهﺪ ﺑﻨﻮﻳﺴﺪ ﻳﺎ داﻧﻠﻮد ﮐﻨﺪ ﻳﺎ ﺁﻧﻬﺎ را درون‬ ‫ﻓﺎﻳﻠﻲ ﮐﻪ از ﻗﺒﻞ وﺟﻮد دارد ﺑﭽﺴﺒﺎﻧﺪ و ﻳﺎ اﻳﻨﮑﻪ ﻓﻘﻂ ﺁﻧﻬﺎ را ﺁﭘﻠﻮد ﮐﻨﺪ‬ ‫‪: Content Management Systems‬‬ ‫اﻳﻦ ﺑﺮﻧﺎﻣﻪ ﻧﺮم اﻓﺰارﻳﺴﺖ ﮐﻪ ﺑﻪ وﺑﻤﺴﺘﺮ اﺟﺎزﻩ ﺗﻐﻴﻴﺮ دادن ‪،‬اﺻﻼح ﮐﺮدن و ﮐﻨﺘﺮل ﻣﺤﺘﻮﻳﺎت وب ﺳﺎﻳﺖ را ﻣﻲ‬ ‫دهﺪ ﻓﻘﻂ ﻣﻮﺿﻮع اﺻﻠﻲ ﭘﻴﺪا ﮐﺮدن ﻓﺎﻳﻞ هﺎ ﻣﻲ ﺑﺎﺷﺪ ﺑﺮاي ﻣﺜﺎل ﻓﺎﻳﻞ هﺎي اﺻﻠﻲ اﻳﻦ ﺑﺮﻧﺎﻣﻪ ”‪“cms.html‬‬ ‫ﻣﻴﺘﻮاﻧﺪ ﻳﮑﻲ از ﺁﻧﻬﺎ ﺑﺎﺷﺪ”‪ “panel.html‬و ﻳﺎ”‪“control.cfg‬‬ ‫‪Frontpage Server Extensions HTML Administration Forms‬‬ ‫ﺷﻤﺎ ﻣﻴﺘﻮاﻧﻴﺪ از راﻩ دور ‪ FrontPage Server Extensions‬ازهﺮ ﮐﺎﻣﭙﻴﻮﺗﺮي ﮐﻪ ﻣﺘﺼﻞ ﺑﻪ اﻳﻨﺘﺮﻧﺖ ﻣﻲ ﺑﺎﺷﺪ را‬ ‫ﮐﻨﺘﺮل ﮐﻨﻴﺪ ﺑﺎ اﺳﺘﻔﺎدﻩ از ﻓﺮﻣﻬﺎي ﻣﺪﻳﺮﻳﺖ ‪Server Extensions HTML‬‬ ‫ﺧﻮب ﻣﺎﮐﺮوﺳﺎﻓﺖ در اﻳﻦ ﺑﺎرﻩ ﭼﻪ ﻣﻲ ﮔﻮﻳﺪ ﺑﻌﺒﺎرت دﻳﮕﺮ ﮐﺎرﺑﺮان ﺑﺎ دﺳﺘﺮﺳﻲ ﺑﻪ اﻳﻦ ﻓﺎﻳﻞ هﺎ ﻗﺎدر‬ ‫هﺴﺘﻨﺪﺗﻌﺪادي از ﺗﻮاﺑﻊ ﻣﺪﻳﺮﻳﺖ را از راﻩ دور ﮐﻨﺘﺮل ﮐﻨﻨﺪ و ﺑﻪ ﻋﺒﺎرت دﻳﮕﺮ اﻳﻦ ﻓﺮم هﺎ ﺑﺎﻳﺪ از ﮐﺎرﺑﺮان ﻧﺎﺷﻨﺎﺧﺘﻪ‬ ‫ﻣﺤﺎﻓﻈﺖ ﺷﻮﻧﺪ اوﻟﻴﻦ ﭼﻴﺰ اﻳﻦ اﺳﺖ ﮐﻪ ﭼﻪ ﻓﺎﻳﻠﻬﺎﻳﻲ ﺷﺎﻣﻞ اﻳﻦ اﺳﮑﺮﻳﭙﺘﻬﺎ ﻣﻲ ﺑﺎﺷﻨﺪ ﺑﺎﻳﮏ ﻧﮕﺎﻩ ﮐﻮﺗﺎﻩ ﺑﻪ‬ ‫ﻣﺎﮐﺮوﺳﺎﻓﺖ ﻣﻴﻔﻬﻤﻴﻢ ﮐﻪ ﻓﺎﻳﻞ اﺻﻠﻲ ﺑﺮاي اﻳﻦ ﻓﺮﻣﻬﺎي ﻣﺪﻳﺮﻳﺘﻲ”‪ “fpadmin.htm‬ﻧﺎﻣﻴﺪﻩ ﻣﻲ ﺷﻮد وﻗﺘﻲ در‬ ‫ﺣﺎﻟﺖ ﭘﻴﺶ ﻓﺮض اﻳﻦ ﺑﺮﻧﺎﻣﻪ اﺟﺮا ﻣﻲ ﺷﻮد ﻓﺎﻳﻞ هﺎ در داﻳﺮﮐﺘﻮري ‪ admin‬ﻗﺮار دادﻩ ﻣﻲ ﺷﻮﻧﺪ ﻳﮏ ﺟﺴﺘﺠﻮي‬ ‫ﺧﻮب ﻣﺎﻧﻨﺪ زﻳﺮ اﺳﺖ ‪:‬‬ ‫‪inurl:fpadmin.htm “index of” admin or maybe inurl:admin/fpadmin.htm‬‬ ‫ﺧﻮب اﻳﻦ ﻧﺘﺎﻳﺠﻲ ﺑﻮد ﮐﻪ ﻣﻦ ﺑﺪﺳﺖ ﺁوردم‬ ‫‪http://www.lehigh.edu/~ineduc/degree_programs/tbte/admin/‬‬ ‫‪http://blackadder.eng.monash.edu.au/frontpage/admin/‬‬ ‫‪http://www.lehigh.edu/collegeofeducation/degree_programs/tbte/admin/‬‬ ‫‪http://www.vsl.gifu-u.ac.jp/freeman/frontpage4/admin/‬‬ ‫‪http://www.tech-geeks.org/contrib/loveless/e-smith-fp-‬‬

‫‪2002/frontpage/version5.0/admin/1033/fpadmin.htm‬‬ ‫‪http://fp.nsk.fio.ru/admin/1033/fpadmin.htm‬‬ ‫‪: Freesco Router‬‬ ‫اﻳﻦ ﻧﺮم اﻓﺰار ﮐﻪ ﺑﺮاي ﻟﻴﻨﻮﮐﺲ ﺑﻪ ﻃﻮر ﭘﻴﺶ ﻓﺮض ﻧﺼﺐ ﻣﻲ ﺑﺎﺷﺪ ﻳﮏ ﮐﺎوش ﮔﺮ وب ﮐﻮﭼﮏ را ﺑﻪ ﻃﻮر ﭘﻴﺶ‬ ‫ﻓﺮض ﻧﺼﺐ ﻣﻲ ﮐﻨﺪ ﮐﻪ ﺑﻪ ﺻﺎﺣﺒﺎن وب اﺟﺎزﻩ ﮐﻨﺘﺮل روﺗﺮهﺎي ﭘﺮوﺗﮑﻞ ‪ http‬را ﻣﻲ دهﺪ ‪.‬‬ ‫و ﭘﺴﻮرد و ﻟﻮﮔﻴﻦ ﭘﻴﺸﻔﺮض ﺑﺮاي اﻳﻦ ﮐﻨﺘﺮل ﭘﻨﻞ ‪ admin‬ﻣﻲ ﺑﺎﺷﺪ ﮐﻪ ﺑﻴﺸﺘﺮ ﮐﺴﺎﻧﻲ ﮐﻪ از اﻳﻦ ﻧﺮم اﻓﺰار‬ ‫اﺳﺘﻔﺎدﻩ ﻣﻲ ﮐﻨﻨﺪ اﻳﻦ را ﻧﻤﻲ داﻧﻨﺪ ﺷﻤﺎ ﮐﺎﻓﻲ اﺳﺖ در اﻳﻦ را ﺑﻄﻪ ﻳﮏ ﺟﺴﺘﺠﻮ ﮐﻨﻴﺪ‬ ‫”‪ :”freesco control panel‬و”‪ “check the connection‬ﮐﻠﻤﺎﺗﻲ هﺴﺘﻨﺪ ﮐﻪ در ﻋﻮان اﻳﻦ ﺻﻔﺤﺎت ﻗﺮار دارﻧﺪ ‪.‬‬

‫ﭘﺎﻳﺎن‬