Webcrawlers Google voeren SQL-injecties uit

Hackers kunnen zo data compromitteren en vaak zelfs de applicatie in een loop brengen of anderszins ontwrichten.

Kwaadaardige code wordt gepapegaaid

Het afvuren van dergelijke SQL-injecties is zeker niet de bedoeling van Google's webcrawlers. Die zijn er slechts op uit om alle pagina's op het world wide web te leren kennen (te 'indexeren') door elke pagina af te speuren, op zoek naar links die leiden naar pagina's die ze te tot dusverre nog niet kenden. Ze doen dat door dergelijke links domweg te kopiëren en vervolgens uit te voeren. Ook als die links SQL-code in hun parameterdeel bevatten.

Hackers blijken daar nu misbruik van te maken door op webpagina's die zij beheren, links te plaatsen met kwaadaardige SQL-code. De web-crawler pikt ze op en 'papegaait' ze naar de site waarnaar ze verwijzen.

Niet bruikbaar voor datadiefstal

Het grote voordeel van deze aanpak, vanuit het perspectief van de hacker, is dat de te belagen site zich kwalijk kan beveiligen door zich af te schermen voor het IP-adres waarvandaan de SQL-injectie afkomstig is. Dat is immers dat van de Google-crawler en dat is voor de meeste websites wel zo'n beetje laatste partij die ze ooit zouden willen tegenhouden.

Tegenover dat voordeel voor de hackers staat echter ook een groot nadeel; ze missen de response van de belaagde site. Dat maakt 'crawler-injectie' minder geschikt om naar informatie te hengelen. Maar de strategie blijft wel uitermate bruikbaar om een site te zieken. De enige manier voor sitebeheerders om zich te wapenen is het filteren van de parameters die met de URL worden meegegeven. Een procedure die men tegenwoordig sowieso van een behoorlijke webapplicatie mag verwachten.

Page rankings verstoren

Het tot dusverre buiten hacker-kringen nog niet of nauwelijks bekende misbruik van de webcrawlers werd ontdekt door applicatiebouwer Daniel Cid, toen hij probeerde uit te zoeken waarom een door hem ontwikkelde website de IP-adressen van Google op een automatische blacklist plaatste.

Zo bezien zou het in de page-rankings benadelen van bepaalde hen onwelgevallige sites mogelijk een van de doelen van de hackers kunnen zijn.