Yandex Dorks

Занятная утечка сегодня просочилась в паблик. Дело в том, что в кеш поисковой машины Яндекс попала часть сообщений сотового оператора Мегафон , отправленные через веб-морду www.sendsms.megafon.ru . По имеющемуся предположению это произошло в следствии двух факторов. Первый фактор - это уязвимость в самом веб-приложении www.sendsms.megafon.ru, при отправке смс сообщения с которого существует возможность проверить статус доставки этого сообщения. Каждому отправленному смс сообщению присваивается уникальный идентификатор, который можно увидеть в адресной строке. Зная этот идентификатор любой пользователь Интернет без какой-либо авторизации может получить доступ к статусу доставки сообщения, в котором присутствует, как номер мобильного телефона, на который было отправлено сообщение, так и тело самого сообщения. Идентификатор является случайным, и далеко не факт, имеющим сильную энтропию. К слову, время хранения этой информации на сайте составляет более часа... name='more'> Второй фактор установленный на компьютере Яндекс.Бар при некоторых условиях передает поисковой машине Яндекса, адреса, которые посещает пользователь и которые в свою очередь индексируются и кешируются поисковой системой Яндекс. Таким образом, все пользователи с установленным Яндекс.Баром воспользовавшиеся сайтом www.sendsms.megafon.ru для отправки смс сообщений отправили эти смс сообщения напрямую в кеш поисковой системы Яндекс.

В настоящее время Яндекс частично прикрыл утечку по запросу "url:www.sendsms.megafon.ru* | url:sendsms.megafon.ru*", но работают запросы, которые видимо остались в кеше выдаваемых результатов поисковой машины. Например запрос вида "url:www.sendsms.megafon.ru* | url:sendsms.megafon.ru* "встретимся"" на 18:00 MSK до сих пор выводит содержимое смс сообщений. Стоит также задуматься над тем, какая еще интересная/чувствительная информация может остаться в поисковой базе Яндекс от пользователей, на компьютерах которых установлен Яндекс.Бар. Так, что же было интересного в этих данных для злоумышленника? Ну, например, информация об используемых паролях (в том числе и к корпоративным системам):