Использование гуглобота для скл-инъекций

11-06-2013, 08:35 PM

Специалисты по защите сайтов из компании Sucuri обратили внимание на необычный случай. Несколько дней назад в логах одного клиента была обнаружена запись.

Code:

66.249.66.138 - - [05/Nov/2013:00:28:40 -0500] "GET /url.php?variable=")%20declare%20@q%
20varchar(8000(%20select%20@q%20=%200x527%20exec(@q)%20-- HTTP/1.1" 403 4439 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"

Как видим, здесь кто-то пытается осуществить SQL-инъекцию, причем по-хитрому вставляя в user-agent подпись поискового бота Google.

Эксперты сначала думали, что такая хитрость сделана для маскировки, но затем они определили, что IP-адрес бота действительно принадлежит к диапазону адресов компании Google.

Code:

$ host 66.249.66.138
138.66.249.66.in-addr.arpa domain name pointer crawl-66-249-66-138.googlebot.com.

NetRange:       66.249.64.0 - 66.249.95.255
CIDR:           66.249.64.0/19
OriginAS:       
NetName:        GOOGLE

То есть это действительно самый настоящий Googlebot. Почему же он пытался совершить атаку?

Объяснение простое. Кто по какой-то причине вставил вредоносный код на своем сайте, а бот Google честно пошел по этой ссылке, пытаясь проиндексировать новую страницу — и без всякой задней мысли выполнил вышеупомянутый GET-запрос.

Специалисты из Sucuri уже уведомили компанию Google о некорректном поведении бота. Они также задаются вопросом: может ли кто-то использовать такую особенность Googlebot во вредоносных целях?

Ист