Rafael Dohms

Como já era de se esperar a estréia do Google Code Search trouxe inúmeras novas oportunidades de crackers buscarem obter informações como senhas de sites alheios.

Em forma de pesquisa algumas pessoas buscaram obter acesso a senhas alheias utilizando expressões regulares no code search. No exemplo foi utilizada uma busca que retorna senhas de banco de dados de blogs do tipo wordpress.

Não! o Google não cometeu uma falha e esta indexando de alguma forma arquivos de configuração, como já demostrei arquivos .php não mostram seu código fonte na web. O problema esta um pouco mais além e na verdade é culpa de más práticas de desenvolvedores.

Como fugir destes problemas?

1. Não user arquivos .inc para configurações - ok esta é velha mas vale ainda, se você utilizar um arquivo desta extesão ele é indexado e visto como um arquivo de texto, use sempre .inc.php ou .inc.asp

2. Não armazene cópias em arquivos ZIP - Não só zip como qualquer outra forma de arquivo compactado, por um motivo simples, são estes arquivos que o Google Code Search esta indexando e disponibilizando em sua busca, ou seja, se vc tiver um backup do seu site em zip guardada lá e o google achar… sua configuração esta exposta.

Esta são duas dicas básicas que na verdade já deviam valer antes do Code Search, mas fica ai a recomendação para que não tenham problemas. Alguns comentpários já estao por aqi com string para busca de senhas em ASP e outras linguagens.

Me ocorre que esta notícia pode ser muito velha para alguns, mas estou apenas agora começando minha incansável busca por novas informações vou relatar.

Como já era de se esperar não demorou muito para a mania de web 2.0 (ajax e tecnologias similares) despertarem a atenção de criadores de vírus por todo mundo. Mês passado foi anunciado o vírus JS.Yamanner@m que atacou o Yahoo! Mail, já equipado com tecnologia AJAX para leitura de emails e afins.

Última notícia que tive do vírus ele copiava seus contatos para um servidor remoto e então se auto-enviava para sua lista. simples porém potencialmente perigoso, utilizando JavaScript e se aproveitando do ambiente AJAX ele é o primeiro (?) de uma nova geração de vírus, que podem dar medo no usuário leigo, pois este vírus sim, pode ser “contraído” apenas se navegando na internet, sem que seja necessário clicar ou executar nada, apenas ler um inofensivo email em sua conta.

Sem muita demora o furo que existia foi resolvido e o Yahoo se encontra curado desta praga. Mas e agora? Território novo a Web 2.0 é um atrativo enorme para este tipo de ameaça, com certeza este não foi o último que vimos nas paginas dos jornais de tecnologia e boletins de segurança. Mais informações

Falando em Web 2.0, o que considero meu último hobby, estou finalizando para o público em geral um novo script, unindo o poder de AJAX com PHP. O script se trata de um “AutoCompletar Dinâmico” ou como foi apelidado, “Google Auto-suggest”. Algo muito utilizado em linguagens de software como VB e Delphi, mas agora finalmente portado para o ambiente browser. Espero poder compartilhar ele ainda esta semana com todos.