機密性の高いIoTデータを見つけるためのShodan 検索クエリ40選 / Top 40 Shodan Dorks for Finding Sensitive IoT Data（転載）

Top 40 Shodan Dorks for Finding Sensitive IoT Data:

増え続けるデータベースと使いやすさで、ShodanはセキュリティリサーチャーがIoTの情報収集に使用する最も人気のあるツールの一つとなっています。

Shodanは、研究者が情報収集を行う際の出発点となります。Shodanは、データの場所やソフトウェアのバージョン、最後に見た日などでデータをフィルタリングすることができるため、研究者が特定の調査ポイントに照準を合わせることができ、作業を簡単かつ効率的に行うことができます。

また、Shodanはマーケティングチームやソフトウェアベンダーにも最適で、サーバー上で動作するソフトウェアの異なるバージョンをフィルタリングすることができます。また、国や都市、地域ごとのインスタンス数を確認することもできます。

Shodanでは、人の指紋が人を識別するのと同じように、デバイスを見つけてタグ付けする方法として、サイバーセキュリティフィンガープリントを採用しています。あるIPアドレス上で実行されているさまざまな情報やサービスは、そのIPアドレス上で実行されているデバイスの識別に役立ちます。

例えば、あるIPアドレスに添付されているSSL証明書の発行者を調べることで、そのIPアドレスが関連付けられているデバイスの製造者を特定できることがあります。

今日は、IoT接続されたデバイスからセンシティブなデータを見つけるための、トップのShodan dorksをご紹介します。

Exposed ports

FTPサーバーやSSHサーバーなど、公共のインターネット上でアクセス可能なオープンポートで動作するサービスを検索するには、次のようなクエリを使用します。

FTPについては、一般的なFTPサーバーであるproftpdを照会する：

proftpd port:21

匿名でのログインが可能なFTPサーバーを探すには：

"220" "230 Login successful." port:21

一般的なSSHサーバーである「OpenSSH」を照会する：

openssh port:22

Telnetの場合は、23番ポートを照会します：

port:"23"

25番ポートでEXIM搭載のメールサーバーを調べるため：

port:"25" product:"exim"

Memcachedは、一般的に11211番ポートで利用されており、巨大なDDoS攻撃につながるUDP増幅攻撃の主な原因となっています。公共のインターネット上で利用可能なMemcachedを実行するサービスは、しばしばこれらの攻撃に悪用されます：

port:"11211" product:"Memcached"

Jenkinsは、自動化されたビルド、デプロイ、テストツールとして人気があり、リリースに向けてソフトウェアをビルドする際の出発点となることが多い。このツールは、以下のクエリで見つけることができます：

"X-Jenkins" "Set-Cookie: JSESSIONID" http.title:"Dashboard"

DNS servers

再帰を有効にしているDNSサーバーは、ネットワークの脅威の大きな原因となります。このようなサーバーを見つけるには、次のようなクエリを使用します：

"port: 53" Recursion: Enabled

Network infrastructure

MikroTik社製のルーター、スイッチ、その他のネットワーク機器に搭載されているRouterOSオペレーティングシステムの特定のバージョンを実行しているデバイスを見つけるには、以下の検索条件を使用します：

port:8291 os:"MikroTik RouterOS 6.45.9"

これにより、古いバージョンで脆弱性がある可能性があるRouterOSオペレーティングシステムを実行しているスイッチ、ルーター、その他のネットワーク機器を見つけることができます。ルーターOSは、ウェブ管理UIに使用されるポート番号8291で実行されます。

Web servers

Shodanでは、Webサーバーのバージョンを検索してフィルタリングすることも可能です。例えば、一般的なWebサーバーであるApacheの特定のバージョンをホストしているIPを見つけるために使用します：

product:"Apache httpd" port:"80"

上記のクエリでは、ウェブサーバの最も一般的なポートである80番ポートのApacheウェブサーバを見つけることができます。

同様に、Microsoft IISを搭載したWebサイトやWebサーバーを調べることができます。

product:"Microsoft IIS httpd"

Nginxを搭載したWebサイトやWebサーバーを調べるには：

product:"nginx"

上記の製品検索は、「ポート」オプションと組み合わせることもできます。例えば、ポート8080のNginxを搭載したウェブサーバを検索したい場合：

"port: 8080" product:"nginx"

Operating systems

また、Windows 7などの古いOSの場合は、次のようなクエリを使用して、Shodanで検索することができます。

os:"windows 7"

同様に、Windows 10の特定のビルドバージョンを調べるには、次のクエリを使用します。ここでは、ビルドバージョン19041のWindows 10 Home Editionを調べます。

os:"Windows 10 Home 19041"

Linuxベースのデバイスをフィルタリングして検索するには、次のようなクエリを使用できます。

os:"Linux"

Filtering by country, city or location

特定の時点では、Shodanから返されるデータの量が少し多すぎるかもしれません。そこで、「国」や「都市」といったフィルターをかけることができるようになりました。

例えば、国でフィルタリングしたい場合：

country:"UK"

都市でフィルタリングするには：

"city: London"

最後に、地域や都市のGPS座標を介して調べることもできます。

geo:"51.5074, 0.1278"

この位置情報フィルタは、他のフィルタと組み合わせることもできます。例えば、イギリスのWindows 7デバイスを探したい場合は、次のようなクエリを使用できます。

os:"windows 7" country:"UK"

SSL certificates

また、Shodanでは、有効期限が切れたSSL証明書や自己署名証明書を探すことができます。

自己署名証明書を検索するには、以下のようなクエリを使用することができます。

ssl.cert.issuer.cn:example.com ssl.cert.subject.cn:example.com

SSL証明書を検索するには:

ssl.cert.expired:true

Other useful Shodan dorks for IoT device intelligence

「Shodan dorking」で他にどんなものが見つかるか見てみましょう。

Webcams

ウェブカムは、古くて安全でないソフトウェアを使って公共のインターネット上で実行されていることが多く、簡単に危険にさらされます。幸いなことに、Shodanでは次のようなクエリでウェブカムをフィルタリングして見つけることができます。

Server: SQ-WEBCAM

さらに、Yawcamのようなウェブカメラ用のソフトウェアを提供している特定のソフトウェアベンダーを、次のようなクエリでフィルタリングすることができます。

"Server: yawcam" "Mime-Type: text/html"

blog.b-son.net