2021/06/26

機密性の高いIoTデータを見つけるためのShodan 検索クエリ40選 / Top 40 Shodan Dorks for Finding Sensitive IoT Data(転載)

16x9.jpg

増え続けるデータベースと使いやすさで、ShodanはセキュリティリサーチャーがIoTの情報収集に使用する最も人気のあるツールの一つとなっています。

Shodanは、研究者が情報収集を行う際の出発点となります。Shodanは、データの場所やソフトウェアのバージョン、最後に見た日などでデータをフィルタリングすることができるため、研究者が特定の調査ポイントに照準を合わせることができ、作業を簡単かつ効率的に行うことができます。

また、Shodanはマーケティングチームやソフトウェアベンダーにも最適で、サーバー上で動作するソフトウェアの異なるバージョンをフィルタリングすることができます。また、国や都市、地域ごとのインスタンス数を確認することもできます。

Shodanでは、人の指紋が人を識別するのと同じように、デバイスを見つけてタグ付けする方法として、サイバーセキュリティフィンガープリントを採用しています。あるIPアドレス上で実行されているさまざまな情報やサービスは、そのIPアドレス上で実行されているデバイスの識別に役立ちます。

例えば、あるIPアドレスに添付されているSSL証明書の発行者を調べることで、そのIPアドレスが関連付けられているデバイスの製造者を特定できることがあります。

今日は、IoT接続されたデバイスからセンシティブなデータを見つけるための、トップのShodan dorksをご紹介します。

Most popular Shodan dorks


Shodanには、インターネット上の様々なデータやフィルターが用意されていますが、いくつかのコツや「ドーク」(有名なGoogleドークのようなもの)を知っておくと、IP情報の調査の際に、適切な結果を得ることができます。

Shodanをご利用いただくには、まずShodanの右上にある「ログインまたは登録」ボタンをクリックして、Shodanにログイン(またはアカウントを作成してログイン)してください。


その後、Shodanのアカウントにログインまたは作成してください。

このリストは、ランダムな順序で表示されています。どの初段の人も、他のどの人よりも重要ではなく、それぞれが異なる目的で使用されています。

それでは、始めましょう。

Databases


データベースには重要な情報が含まれていることがあります。開発者が簡単にアクセスできるようにするためであれ、単に設定ミスであれ、公共のインターネットに公開されると、大きなセキュリティホールができてしまいます。

Shodanでは、公共のインターネット上で認証が可能なMongoDBデータベースサーバーを検索するために、以下の検索条件を設定しています。

"MongoDB Server Information" port:27017 -authentication


また、MongoDBには、Mongo Express Web GUIというphpMyAdminに似たWeb管理アプリケーションがあり、以下のクエリで見つけることができます。

"Set-Cookie: mongo-express=" "200 OK"

同様に、MySQLを搭載したデータベースを探すには:

mysql port:"3306"

ElasticSearchを搭載した人気の高いインスタンスを検索するには:

port:"9200" all:"elastic indices"

そして、PostgreSQLのデータベースを調べるためには:

port:5432 PostgreSQL

Exposed ports



FTPサーバーやSSHサーバーなど、公共のインターネット上でアクセス可能なオープンポートで動作するサービスを検索するには、次のようなクエリを使用します。

FTPについては、一般的なFTPサーバーであるproftpdを照会する:

proftpd port:21

匿名でのログインが可能なFTPサーバーを探すには:

"220" "230 Login successful." port:21

一般的なSSHサーバーである「OpenSSH」を照会する:

openssh port:22

Telnetの場合は、23番ポートを照会します:

port:"23"

25番ポートでEXIM搭載のメールサーバーを調べるため:

port:"25" product:"exim"

Memcachedは、一般的に11211番ポートで利用されており、巨大なDDoS攻撃につながるUDP増幅攻撃の主な原因となっています。公共のインターネット上で利用可能なMemcachedを実行するサービスは、しばしばこれらの攻撃に悪用されます:

port:"11211" product:"Memcached"

Jenkinsは、自動化されたビルド、デプロイ、テストツールとして人気があり、リリースに向けてソフトウェアをビルドする際の出発点となることが多い。このツールは、以下のクエリで見つけることができます:

"X-Jenkins" "Set-Cookie: JSESSIONID" http.title:"Dashboard"


DNS servers



再帰を有効にしているDNSサーバーは、ネットワークの脅威の大きな原因となります。このようなサーバーを見つけるには、次のようなクエリを使用します:

"port: 53" Recursion: Enabled


Network infrastructure



MikroTik社製のルーター、スイッチ、その他のネットワーク機器に搭載されているRouterOSオペレーティングシステムの特定のバージョンを実行しているデバイスを見つけるには、以下の検索条件を使用します:

port:8291 os:"MikroTik RouterOS 6.45.9"

これにより、古いバージョンで脆弱性がある可能性があるRouterOSオペレーティングシステムを実行しているスイッチ、ルーター、その他のネットワーク機器を見つけることができます。ルーターOSは、ウェブ管理UIに使用されるポート番号8291で実行されます。

Web servers


Shodanでは、Webサーバーのバージョンを検索してフィルタリングすることも可能です。例えば、一般的なWebサーバーであるApacheの特定のバージョンをホストしているIPを見つけるために使用します:

product:"Apache httpd" port:"80"

上記のクエリでは、ウェブサーバの最も一般的なポートである80番ポートのApacheウェブサーバを見つけることができます。

同様に、Microsoft IISを搭載したWebサイトやWebサーバーを調べることができます。

product:"Microsoft IIS httpd"

Nginxを搭載したWebサイトやWebサーバーを調べるには:

product:"nginx"

上記の製品検索は、「ポート」オプションと組み合わせることもできます。例えば、ポート8080のNginxを搭載したウェブサーバを検索したい場合:

"port: 8080" product:"nginx"


Operating systems



また、Windows 7などの古いOSの場合は、次のようなクエリを使用して、Shodanで検索することができます。

os:"windows 7"

同様に、Windows 10の特定のビルドバージョンを調べるには、次のクエリを使用します。ここでは、ビルドバージョン19041のWindows 10 Home Editionを調べます。

os:"Windows 10 Home 19041"

Linuxベースのデバイスをフィルタリングして検索するには、次のようなクエリを使用できます。

os:"Linux"


Filtering by country, city or location



特定の時点では、Shodanから返されるデータの量が少し多すぎるかもしれません。そこで、「国」や「都市」といったフィルターをかけることができるようになりました。

例えば、国でフィルタリングしたい場合:

country:"UK"

都市でフィルタリングするには:

"city: London"

最後に、地域や都市のGPS座標を介して調べることもできます。

geo:"51.5074, 0.1278"

この位置情報フィルタは、他のフィルタと組み合わせることもできます。例えば、イギリスのWindows 7デバイスを探したい場合は、次のようなクエリを使用できます。

os:"windows 7" country:"UK"


SSL certificates


また、Shodanでは、有効期限が切れたSSL証明書や自己署名証明書を探すことができます。

自己署名証明書を検索するには、以下のようなクエリを使用することができます。

ssl.cert.issuer.cn:example.com ssl.cert.subject.cn:example.com

SSL証明書を検索するには:

ssl.cert.expired:true


Other useful Shodan dorks for IoT device intelligence


「Shodan dorking」で他にどんなものが見つかるか見てみましょう。

Webcams



ウェブカムは、古くて安全でないソフトウェアを使って公共のインターネット上で実行されていることが多く、簡単に危険にさらされます。幸いなことに、Shodanでは次のようなクエリでウェブカムをフィルタリングして見つけることができます。

Server: SQ-WEBCAM

さらに、Yawcamのようなウェブカメラ用のソフトウェアを提供している特定のソフトウェアベンダーを、次のようなクエリでフィルタリングすることができます。

"Server: yawcam" "Mime-Type: text/html"