SHODAN – Encontrando dispositivos online

Resultado de imagem para shodanMais uma ferramenta que um pentester deve ter no seu cinto de utilidades.  Como descrito no próprio site – https://www.shodan.io – “SHODAN é um motor de busca que permite encontrar computadores específicos (roteadores, servidores, etc) usando uma variedade de filtros.”

É diferente de outros motores de busca como o google, bing ou Yahoo, que são ótimos para encontrar sites.

A maior parte dos dados usados pelo Shodan vem dos “banners”, que são meta-dados enviados pelo servidor de volta a um cliente. Pode obter-se informações como software do servidor, que opções suporta, mensagens de boas vindas dentre outros.

Ele consulta as portas e pega o resultado dos banners e então indexa os banners ( o que é melhor que o conteúdo web) para pesquisa.

O Básico

Crie uma conta no SHODAN. É interessante pois apenas com uma conta cadastrada alguns filtros são disponíveis como  informações de países e rede.

Agora vamos procurar por computadores de nosso interesse, realizando uma pequena consulta. O termo procurado deve ser digitado na caixa logo após a palavra SHODAN em maiúsculo (não tem como errar) e depois clique em “search”.

Como pode ser visto na imagem acima, informações como o IP,  banner do serviço, falha/sucesso de autenticação, cidades, organizações encontradas e etc.

Na primeira tela já obtemos muitas informações sobre dispositivos online, ou seja, que podem ser vistos pela internet.

Agora vamos aprender a fazer outras consultas interessantes.

Filtros

Como o Google e outros motores de busca, o SHODAN também usa operadores booleanos (“+”, “-”) para incluir/excluir certos termos. Por padrão, ele adiciona o “+” para cade termo pesquisado.

Todos os filtros tem o formato “filtro:valor”.  Não pode haver espaço antes ou depois do “:”.

City: Utilize esse filtro para encontrar dispositivos localizados em determinada cidade. A pesquisa fica melhor se combinado com o filtro “country” (país).

Exemplos:

Servidores Apache localizados em Curitiba: Apache city:”Curitiba”

Servidores Web Nginx localizados em Brasília: Nginx city:”Curitiba” country:BR

Country:  Filtro para encontrar dispositivos em determinados paíse, deve-se utilizar o  código de 2 letras do país (ex.  US, BR, AR, etc).

Exemplos:

Servidores Apache localizados na  Suiça: apache country:CH

Servidores Nginx localizados na Alemanha: 

Geo:  O filtro “geo” permite encontrar dispositivos que estão de dentro de um determinado raio da latitude e longitude. O filtro aceita de 2 a  3 argumentos. O terceiro argumento é opcional, é o raio em kilometros para procurar computadores.

Exemplos:

Servidores Apache perto de 42.9693,-74.1224: apache geo:42.9693,-74.1224

Dispositivos em um raio de 50 km perto de San Diego (32.8,-117): geo:32.8,-117,50

hostname:  Filtro para encontrar hosts que contenham o valor em hostname.

Exemplos:

Servidores Apache com .gov.br no nome no Brasil: apache hostname:.gov.br country:BR

Servidores Nginx com .de  no nome: nginx hostname:.de 

net: Filtro utilizado para limitar a pesquisa por um determinado IP ou range de IP.

Exemplos:

Todos os dados do IP 164.41.101.33: net:164.41.101.0/24

Todos os dados da subnet 108.168.144.0: net:108.168.144.0/24

Servidores apache na subnet 164.41.0.0/6: apache net:164.41.0.0/16

os: Filtro utilizado para encontrar um sistema operacional específico. Valores possíveis são: Windows, Linux, Cisco.

Exemplos:

Servidores Microsoft IIS no Brasil:microsoft-iis os:Windows 8 country:BR

Servidores Jboss rodando em Linux no Brasil:JBoss os:linux country:BR

port: Filtro utilizado para limitar a pesquisa para serviços especificos. Valores possíveis: 21, 22, 23, 80, 445 etc.

Exemplos:

Servidores vsftpd rodando na porta 21:vsftpd port:21 country:BR

Bem pessoal no próximo artigo iremos realizar alguns testes e estudos de caso e falar sobre infraestruturas críticas. Até a próxima.

Advertisements

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s