Sử dụng robots.txt để xác định mục tiêu

[DDos]

Như chúng ta đã biết, đa số các webmaster sẽ upload một file gọi là robots.txt tới server của họ để khi một search engine tìm đến Website nào đó, nó sẽ tìm một file đặc biệt trước tiên, đó là file robots.txt. File robots.txt cho search engine đó biết rằng, Website này có thể index hoặc không (tùy theo lệnh được viết trong file robots.txt). Thực chất, file robots.txt là một tập tin văn bản đơn giản (không chứa mã HTML) được đặt trong thư mục gốc của web site, ví dụ: http://www.example.com/robots.txt.

Vậy tại sao webmaster muốn ẩn một vài URLs? Một trong những điều đầu tiên hacker có thể làm là kiểm tra file này. Hacker có thể nhận được rất nhiều thông tin giá trị để xác định data, scripts.. mà webmaster muốn chúng được ẩn đi.

Đôi khi qua một vài tìm kiếm trên Google với file robots.txt, kết quả tìm kiếm sẽ đưa hacker một cơ hội để xác định nội dung trong file này thông qua tìm kiếm.

Ví dụ, nếu hacker muốn xác định phpMyAdmin, hacker có thể sử dụng file robots.txt trong Google để xác định chúng và cố gắng để khai thác chúng.

inurl:.com/robots.txt- + "Disallow: /phpmyadmin/ "

​

Hacker cũng có thể xác định việc cài đặt của Wordpress trên server
inurl:".com/robots.txt" + "Disallow: /wp-admin/​

Hacker cũng có thể xác định việc cài đặt của Drupal trên server
inurl:".com/robots.txt" + "Disallow: ?q=admin"​

Hacker cũng có thể xác định việc cài đặt của Joomla trên server
inurl:"/robots.txt" + "Disallow: joomla"​

Hacker có thể xác định việc cài đặt của Plesk Statistics trên server
inurl:"/robots.txt" + "Disallow: plesk-stat"​

Hacker có thể xác định sự có mặt của Tinymce trên server để cố gắng nhận được thông tin về các plugin được cài đặt trên server và cố gắng để khai thác chúng.
inurl:".com/robots.txt" + "Disallow: tinymce"​

Một vài người đang thử ẩn mật khẩu của họ?
inurl:"/robots.txt" + "Disallow: passwords.txt"​

​

Bạn nên cẩn trọng khi bạn viết file robots.txt bởi vì nếu bất kỳ ai kiểm tra nó hoặc một vài người với khả năng sáng tạo tìm kiếm trên google với các loại truy vấn này, bạn có thể trở thành mục tiêu của các hacker.

 

Re: Sử dụng robots.txt để xác định mục tiêu

Làm sao để đọc file robot trên 1 website cụ thể vậy?

 

Re: Sử dụng robots.txt để xác định mục tiêu

Làm sao để đọc file robot trên 1 website cụ thể vậy?

Có một vài công cụ cho phép xác định đó bạn. Ví dụ như owasp-zap