Взлом с помощью поиска, невнимательность и мой подельник GitHub

Вступление

Одним прекрасным, светлым утром, будучи потрясенным от того, что температура за окном, как казалось, была градусов на 5 больше чем обычно, я почувствовал наплыв небывалой ранее освещенности и в мой мозг прокралась идея — «а ведь те, офферы и аккаунты, которые продаются на „черном рынке“ — они же ворованные всевозможными фишинг-сайтами и стилерами, а насколько я знаю стилеры — все логи должны храниться на каом-то хосте в сети интернет».

С этого момента не было времени медлить — нужно было тестировать. Я сломя голову побежал в компьютеру, судорожно вбивая в адресною строку «google.com» и первым ввел поисковый запрос «stealer filetype:txt». Увиденное меня ни сколько не удивило — среди поисковых запросов я видел ожидаемые логи одного из популярных стилеров.

Глава 1. Почему нужно использовать robots.txt, теги nofollow и ставить заглушки

После этого меня нельзя было остановить. Я, подобно волку, который почуял кровь своей жертвы продолжил искать, но уже с запросами, которые более ориентированы под конкретные названия стилеров:


И тут меня снова осенило — «а ведь кроме логов с аккаунтами, неудачных пользователей, попавших на „программу-вора“, можно найти и посерьезнее что-то, например конфиги» и я пошел на GitHub.

Глава 2. Почему нужно блокировать файлы с конфигами через .gitignore

Если говорить открыто, то возможность сделать то, что я сделал и увидеть то, что я увидел я получил из-за невнимательности или лени некоторых пользователей, которые предпочитают использовать GitHub вместо альтернативных сервисов, позволяющих создавать приватные репозитории (gitlab, bitbucket).
Берем, например, маску автоматически сгенерированного MYSQL хоста одного популярного хостинга и получаем, снова же таки, ожидаемый результат:

Дальше не нужно иметь много фантазии, чтобы понять, что нужно делать со всем этим.

Заключение

Пожалуйста, используйте файл .gitignore и не деплойте свои конфиги.