Google Hacking

Hebat sekali, 100 website telah di deface dalam sehari oleh jagoan hacker tersebut. Tools apa sih yang telah digunakan oleh hacker tersebut? Google! Lho, bukannya Google adalah search engine seperti Yahoo? Benar, memang google adalah sebuah search engine, tapi Google bukan sembarang search engine. Dengan mengetahui sedikit trik,kamu bisa memanfaatkannya menjadi mesin hacker yang begitu berharga dan powerfull. Teknik-teknik ini telah digunakan oleh para hacker semejak tahun 2001

Bisa dikatakan, Google memberikan sumbangan penyerangan yang sedemikian besar oleh hacker di dunia ini. Sebagian besar website yang menjadi sasaran ditemukan oleh pada hacker dengan bantuan search engine Google ini. Jadi jangan kaget jika website kamu menjadi sasaran para hacker, salahkan Google!

Begini, hampir semua dari kita sudah tau bahwa publikasi-publikasi tentang kelemahan suatu system, suatu file, suatu program, dan segala sesuatunya selalu dilakukan oleh para pakar keamanan di dunia ini. Setiap publikasi dari kelemahan suatu sistem selalu mempunyai persyaratan khusus, misalkan kelemahan ini hanya untuk file pdf atau kelemahan ini hanya untuk instalasi IIS secara default, dan lain sebagainya.

Apa yang dilakukan oleh para hacker perusak adalah menggunakan Google untuk mencari sasaran tersebut. Katakanlah terdapat suatu publikasi yang menyatakan bahwa sebuah program dengan bahasa *php mempunyai masalah yang sangat kritis. Kamu bisa mengambil alih seluruh komponen yang bersangkutan. Ciri-ciri program *php tersebut adalah terdapat file forum.php?abc=x di url-nya yang merupakan sumber masalah. Tanpa Google, apa yang akan bisa dilakukan oleh hacker perusak? Yah, mencoba mengunjungi situs-situs yang dikenalnya kemudian mencoba melihat apakah mereka menggunakan file yang bermasalah ini.

Tentu saja dengan cara klasik seperti ini, para hacker tidak akan banyak menemukan situs-situs yang bermasalah dan target 100 website tidak akan terpenuhi. Mungkin sudah merupakan suatu keberuntungan jika bisa menemukan 1 situs yang bermasalah. Lalu apa yang akan bisa dilakukan oleh Google? Google memegang “dosa” sangat besar di sini karena dialah monster yang bertugas mencari korba-korban di dunia ini.

Google tidak sekadar digunakan oleh hacker untuk mencari computer yang mempunyai ciri-ciri dari sebuah kelemahan produk. Google juga digunakan untuk mencari dokumen-dokumen yang penting seperti password dan berbagai informasi lainnya yang tidak seharusnya diketahui oleh umum. Berbagai teknik yang digunakan untuk memanfaatkan Google ini sebagai mesin hacker, telah menciptakan sebuah istilah baru di dunia keamanan komputer, “Google Hacking”.



Google yang Saya Kenal

Mari kita lihat bagaimana Google yang sudah umum dikenal. Ketika saya memasukkan kata Universitas Indonesia ke dalam search engine, maka Google akan mencari semua halaman yang mempunyai kata Univeritas dan kata Indonesia. Hasil yang ditampilkan sangatlah beragam, selain UI, muncul juga universitas lainnya seperti Universitas Gajah Mada yang mempunyai kata Universitas dan Indonesia di dalamnya.

Universitas Gajah Mada yang ikut muncul pada pencarian yang dilakukan ini sangat bisa dipahami karena pada situs Universitas Gajah Mada terdapat kata Universitas dan Indonesia. Inilah sebabnya kenapa Universitas Gajah Mada juga muncul ketika dilakukan pencarian untuk Universitas Indonesia (UI).

Lalu bagaimana supaya kesalahan pencarian ini bisa diperkecil? Salah satunya adalah dengan mencari kata “Universitas” dan “Indonesia” dalam bentuk satu kesatuan.

Caranya sangat sederhana, tambahkan kedua kata tersebut ke dalam tanda petik, “Universitas Indonesia” maka Google hanya akan menampilkan halaman yang mengandung kata Universitas yang disertai langsung dengan kata Indonesia. Walaupun tidak 100% semua yang ditampilkan adalah mengenai Universitas Indonesia, toh kesalahan sudah menjadi sangat minim.



Mencari Bagian dari URL

Pada umumnya kita mencari berdasarkan isi dari sebuah halaman *html, tapi sebenarnya proses pencarian bisa sangat bervariasi sekali. Salah satunya adalah pencarian pada url. Misalnya www.situs.com/admin, dan sebagainya, maka proses pencarian biasa tidak akan bisa melakukannya.

Pencarian yang agak unik ini bisa dilakukan dengan menggunakan syntax inurl dan allinurl. Baik inurl maupun allinurl mempunyai fungsi yang sama yaitu mencari url, perbedaannya adalah inurl bisa digabung dengan syntax lain sedangkan allinurl tidak bisa digabung denga syntax pencarian yang lain seperti intitle, insite, dll.

Sebagai contoh, dengan memasukkan inurl:admin testing maka hasil pencarian yang ditampilkan adalah situs-situs yang mempunyai kata “admin” pada url-nya dan kata testing pada halaman isi.

Hasil yang berbeda akan ditampilkan jika saya memasukkan allinurl:admin testing, di mana perintah ini akan menampilkan semua situs yang mempunyai kata admin dan testing pada url-nya.

Pencarian “korban” dengan memanfaatkan syntax inurl maupun allinurl sudah sangat umum digunakan. Sebagai contoh, katakanlah para pakar keamanan menemukan bahwa terdapat permasalahan pada program forum tertentu yang menggunakan *php. Program forum tersebut menggunakan parameter tertentu yang bisa dirubah melalui url moduls.php?name=forums.

Kini dengan bermodalkan informasi ini, para hacker biasanya akan segera mencari korban dan memerintahkan Google untuk bekerja. Untuk mencari situs-situs yang mempunyai subdirektori modules.php?name=forums, hacker bisa memasukkan syntax inurl:moduls.php?name=forums.

Terlihat bahwa terdapat cukup banyak situs-situs yang mempunyai subdirektori modues.php?name=forums ini. Dari sinilah, proses eksploitasi berlanjut dan defacer-defacer melakukan aksi mencapai target 100 server dari sebuah informasi.

Dengan cara yang sama pula, seorang hacker yang mengetahui bahwa terdapat permsalahan pada file sqlhit.asp atau mail-view.cgi bisa menggunakan Google untuk mencari sasarannya secara missal dan teknik penggunaan Google ini menjadi lebih efektif dibadingkan tools manapun.



Mencari File Types

Google mempunyai kemampuan tinggi sehingga sangat disukai oleh masyarakat dunia. Salah satu kemampuan tersebut adalah mencari berdasarkan isi dari suatu file.

Contohnya begini, kamu bisa mencari semua file *pdf yang mempunyai kata hacking di dalamnya.caranya adalah dengan menggunakan syntax filetype:. Jadi untuk mencari semua file *pdf yang mempunyai kata hacking, masukkan syntax filetype:pdf hacking pada Google.



Mencari Berdasarkan Title

intitle dan allintitle adalah syntaxyang digunakan secara khusus untuk mencari kata di dalam title sebuah situs. Teknik seperti ini bisa menjadi sangat berguna, tergantung bagaimana anda memahami ciri-ciri sebuah sistem.

Sebagai contoh, web server apache yang baru diinstall akan mempunyai title “Test Page for Apache Installation”. Dengan pengetahuan ini, saya bisa memasukkan syntax intitle:Test.Page.for.Apache ke Google agar menampilkan semua lokasi web yang telah diinstall web server apache tapi belum dikonfigurasi.

Perhatikan tanda titik “.” yang saya berikan di antara kata-kata “Test.Page.for.Apache”. Tanda titik ini diartikan sebagai karakter apa saja. Jadi bisa saja terdapat spasi, -, dll. Kamu tentu saja bisa menggabungkan teknik pencarian ini dengan tanda petik ganda sehingga tidak perlu menggunakan tanda titik ini yang lebih akurat dan tepat seperti intitle:”Test Page for Apache”.

Syntax kembaran intitle adalah allintitle yang akan mencari semua kata yang muncul pada title. Sebagai contohnya, saya akan mencari situs-situs yang masih menggunakan windows NT 4.0 untuk option pack terinstall dan tentu saja masih dalam bentuk default yang belum dikonfigurasi. Kata kunci yang digunakan adalah berdasarkan kata-kata default di title yang tedapat pada IIS option pack, yaitu “Welcome to Microsoft Windows NT 4.0 Option Pack”. Syntax yang digunakan adalah allintitle:Welcome to Windows NT Option Pack.

Perhatikan juga bahwa saya tidak menggunakan tanda titik di sini karena syntax allintitle akan menggunakan semu kata-kata yang saya masukkan untuk mencari title pada semua website.

Hasil yang sama juga akan muncul jika saya membolak-balik kata “Welcome to Windows NT Option Pack” seperti menjadi “Windows Welcome to NT Pack Option 4.0”. Jadi allintitle akan mencari semua website yang mempunyai title dengan kata-kata yang dimasukkan ke dalam syntax ini dalam urutan apapaun. allintitle ini berguna ketika kamu tidak tahu secara persis urutan dan jelas ciri-ciri suatu sistem yang ini dicari.

Tanpa bantuan Google, bagaimana lagi caranya mencari pengguna NT 4.0 yang sudah begitu tua dengan instalasi option pack dalam kondisi secara default? Terima kasih Google.



Mencari Situs

Salah satu tahap yang paling sering dilakukan dalam proses suatu hacking adalah mencari semua port yang terbuka (open port). Selain itu, langkah lainnya yang terlepas dar iperhatian (padahal sangat berbahaya) adalah mencari kemungkinan semua server-server yang berhubungan dengan sasaran. Hacker melakukan hal tersebut selain dengan menggunakan alamat IP yang berhubungan dengan teknik whois, juga dengan melihat alamat url yang berhubungan.

Melakukan analisa semua sub situs serta direktori yang berhubungan tidaklah begitu mudah walaupun kelihatannya sangat sederhana. Salah satu cara yang bisa kamu gunakan di sini adalah memanfaatkan Google untuk melakukan hal ini. Caranya? Gunakan syntax site:.

Syntax site: sebenarnya ditujukan untuk membatasi suatu pencarian dalam sebuah situs atau domain tertentu. Sebagai contoh, kamu bisa mencari semua kata apache yang muncul dalam situs microsoft.com dengan syntax site:microsoft.com apache.

Syntax site: ternyata juga sangat ampuh dalam melakukan analisa struktur suatu website terlebih lagi tugas ini dikerjakan dalam waktu yang sangat-sangat cepat. Sebagai contohnya, saya akan mencoba melihat lebih jauh tentang klikbca (hanya sebagai contoh tanpa ada maksud apapun terhadap klikbca). Untuk itu, saya memasukkan perintah site:klikbca.com ke dalam Google.

Tidak sampai sedetik, Google telah menampilkan hasil yang diminta berupa semua link yang terdapat pada situs klikbca.com, termasuk subdomain seperti appl.klikbca.com, dll. Satu lagi yang hebat dengan teknik Google ini adalah kamu bahkan tidak perlu lagi mengunjungi situs klikbca.com sama sekali untuk melakukan analisa sehingga tidak akan diketahui oleh situs yang sedang dianalisa.

Dari analisis seperti ini, pada hacker biasanya kemudian mencoba melihat kemungkinan komputer lain yang bermasalah selain mencoba menyerang lokas utama yang biasanya mempunyai penjagaan sangat ketat. Tidak sedikit korban berjatuhan melalui jalan belakang ini. Bahkan microsoft pernah mengalaminya yang menyebabkan pencurian source code programnya.

Syntax site: juga digunakan ketika isu cyberwar yang terjadi antara Indonesia dan Malaysia beberapa waktu yang lalu. Dengan syntax site: ini, para hacker berusaha menyerang semua domain Malaysia yang berakhiran .my. Kini, dengan memasukkan syntax site:my, Google akan segera menunjukkan kepada kita 43 juta website Malaysia dalam waktu kurang dari 1 detik.



Mencari Link

Syntax link mungkin tidak begitu berguna untuk masalah hacking tapi tetap merupakan suatu syntax yang menarik. Kamu bisa mencari situs-situs mana saja yang mempunyai link tertentu. Contoh, saya adalah pengelola situs sobat-muda.com dan ingin tahu situs mana saja yang membuat link ke situs sobat-muda.com. Yang perlu saya lakukan adalah menggunakan syntax link untuk mencari situs-situs ini, misalnya link: www.forumsmk.indonesianforum.net

Terlihat puluhan ribu situs yang membuat link ke situs sobat-muda.com. Dengan cara ini, kamu bisa saja melihat bagaimana profil ataupun nama baik sebuah situs sebelum bertransaksi misalnya.



Mencari dengan Syntax Gabungan

Teknik-teknik pencarian yang telah saya jelaskan sebelumnya, mempunyai fleksibilitas yang tinggi karena antar syntax bisa saling mendukung. Dengan menggabungkan sintax-syntax ini, proses pencarian akan semakin mendekati sempurna dengan tingkat kesalahan pencarian yang semakin kecil.

Tentu saja, kamu harus menggabungkan dengan kemampuan memahami ciri-ciri unik dari setiap hal yang ingin dicari. Akhirnya, hanya kreativitas, analisa, serta kemampuanlah yang membatasi kita dalam menggunakan Google sebagai alat hacking.