Google Dorking: guida pratica alla scoperta e alla difesa

Google Dorking usa operatori di ricerca avanzati di Google per scoprire informazioni che normalmente resterebbero nascoste. Può aiutare tester di sicurezza e amministratori a individuare pagine di login, file sensibili e dispositivi IoT esposti, ma è uno strumento pericoloso se usato con intenti malevoli. Questa guida spiega sintassi, esempi, limiti, contromisure e procedure operative per difendersi.

Cos è il Google Dorking

Definizione in una riga: Google Dorking è l’uso di operatori di ricerca avanzati per filtrare risultati e trovare contenuti sensibili indicizzati da Google.

Google indicizza enormi quantità di dati pubblici e a volte non intenzionalmente pubblici. Gli operatori avanzati consentono di restringere le ricerche in modi che possono rivelare pagine di amministrazione, file di backup, liste di email, e persino dispositivi IoT con interfacce web esposte. I risultati possono essere sfruttati da ricercatori di sicurezza per scoprire vulnerabilità o da attaccanti per attività dannose.

Importante: l’uso di Google Dorking per accesso non autorizzato, download di dati protetti o attacchi è illegale in molte giurisdizioni. Usalo solo su asset di tua proprietà o con autorizzazione esplicita.

Sintassi base e logica degli operatori

La sintassi base usa operatori seguiti da due punti e dal valore, senza spazi tra operatore e valore.

Esempio di forma generale:

operatore:valore

Gli operatori più utili includono quelli per restringere testo, URL, file e siti. Di seguito una tabella di riferimento rapido.

Nota: alcuni operatori sono deprecati o hanno comportamenti diversi nel tempo. Verifica sempre la resa pratica prima di automatizzare ricerche su larga scala.

Esempi pratici

Esempi originali e chiarimenti su come interpretarli.

• Cercare pagine di login admin sul dominio esempio.com:

site:esempio.com inurl:admin OR inurl:login

• Trovare fogli di calcolo che contengono email Gmail:

intext:@gmail.com filetype:xls

• Cercare URL che mostrano la porta 8443 (tipica di servizi web sicuri non standard):

inurl:8443 -intext:8443

• Individuare risultati che contengono una stringa usata in exploit SQL:

inurl:group_concat(username filetype:php intext:admin

Questi esempi mostrano come combinare operatori per affinare la ricerca e ridurre i falsi positivi.

Casi d’uso legittimi

• Ricerca di pagine di amministrazione dimenticate per rimozione o protezione
• Individuazione di file di backup pubblicati per errore (zip, sql, xls)
• Inventario di dispositivi IoT esposti con interfacce web
• Supporto alla gestione del rischio e alla priorizzazione delle patch
• Raccolta di indicatori di compromissione pubblici per threat intelligence

Quando il Google Dorking fallisce o dà risultati fuorvianti

• Pagine protette da autenticazione non sono accessibili tramite Google
• Contenuti dinamici caricati via JavaScript potrebbero non essere indicizzati
• Robots.txt o direttive noindex possono escludere risorse dall’indice
• Risultati obsoleti: Google può mostrare snapshot vecchi di pagine già rimosse
• Filtri e limiti dell’API di Google ostacolano l’automazione su larga scala

Questi limiti ricordano che Dorking è solo uno strumento tra molti per il reconnaissance.

Alternative e strumenti complementari

• Shodan: motore di ricerca per dispositivi connessi, utile per porte e banner
• Censys: analisi globale di certificati e servizi pubblici
• Masscan, Nmap: scansione attiva delle porte (richiede autorizzazione)
• Strumenti di crawling (Scrapy, custom scripts con Google Programmable Search API)

Scelta dell’approccio: usa Google Dorking per ricognizione passiva; integra con Shodan/Censys per dati di rete e con scansioni autorizzate per verifica di vulnerabilità.

Automazione ed etica

L’automazione rende potenti le ricerche, ma incrementa anche il rischio legale e di impatto sugli host. Non automatizzare scansioni invasive senza permesso. Rispetta i termini di servizio di Google e le leggi locali.

Mermaid decisione rapida per scelta operativa:

flowchart TD
  A[Ho autorizzazione?] -->|No| B[Interrompi e richiedi permesso]
  A -->|Sì| C[Usa Dorking passivo]
  C --> D{Serve verifica attiva?}
  D -->|Sì| E[Scan autorizzato con Nmap/Masscan]
  D -->|No| F[Documenta e segnala]

Procedure operative per team di sicurezza (Playbook)

Passi veloci per usare Google Dorking in modo responsabile per attività di difesa:

1. Autorizzazioni: ottenere permessi scritti dal proprietario dell’asset.
2. Definire l’obiettivo: dominio, sottodomini, intervallo IP, tipo di file.
3. Costruire query iniziali: combinare site:, filetype: e inurl:
4. Catalogare risultati: URL, timestamp, snapshot, rischio stimato.
5. Verifica: eseguire test di sicurezza autorizzati su elementi ad alto rischio.
6. Mitigazione: rimuovere file, inserire autenticazione, aggiornare configurazioni.
7. Documentazione: report con evidenze e raccomandazioni.

Criteri di uscita: nessun asset sensibile rimane accessibile pubblicamente senza controllo.

Checklist per ruoli

Per chi effettua ricognizione (pentester)

• Ho un permesso esplicito scritto
• Ho definito l’ambito (scope)
• Uso query non invasive come prima fase
• Registro timestamp e URL trovati
• Segnalo immediatamente scoperte critiche

Per amministratori di sistema

• Controllo regolare dei risultati dork per il mio dominio
• Rimozione o protezione di file di backup e directory sensibili
• Configurazione di autenticazione forte e rate limiting
• Monitoraggio dei log per accessi anomali

Per il responsabile della sicurezza (CISO)

• Policy per uso legittimo di Dorking
• Programma di verifica periodica e pen test autorizzati
• Inventario di asset e priorità di remediation

Hardening e mitigazioni immediate

• Non pubblicare file di backup o dump su percorsi pubblici
• Applicare autenticazione basata su ruolo per le console web
• Rimuovere file e directory non necessari o bloccarli con robots.txt e header noindex (non una protezione completa)
• Contenere informazioni sensibili in backend, non in pagine statiche
• Applicare WAF e limitazioni di accesso geografiche se possibile
• Monitorare e allertare per pattern di ricerca sospetti verso il proprio asset

Privacy e considerazioni GDPR

• I risultati di Google possono contenere dati personali. Trattali come potenzialmente protetti.
• Se scopri dati personali esposti (es. file contenenti nomi, email, dati finanziari), notifica il responsabile privacy e valuta la necessità di una comunicazione di violazione se previsto dalla legge.
• Evita di scaricare o archiviare dati personali non necessari durante la ricognizione.

Nota: la rimozione di dati dall’indice di Google richiede azioni sul sito o richieste specifiche a Google quando applicabile.

Esempi di query avanzate e cheat sheet

• Pagine PHP con parametri sospetti:

allinurl:php?id=

• File di backup SQL pubblici:

filetype:sql intext:password

• Interfacce di amministrazione esposte:

intitle:admin OR intitle:dashboard inurl:admin site:azienda.it

• Elenchi di email in fogli Excel pubblici:

intext:@gmail.com filetype:xls OR filetype:csv

Suggerimento operativo: evita di aggiungere wildcard estensive che generano risultati troppo ampi e poco utili.

Maturità e adozione nella tua organizzazione

Livelli di maturità consigliati:

• Livello 1: controllo manuale trimestrale delle query dork su domini critici
• Livello 2: automazione controllata per alert su nuovi risultati sensibili
• Livello 3: integrazione con SIEM e workflow di remediation automatica per alcuni casi

Passa da manuale ad automatizzato solo dopo aver definito processi di escalation e remediation.

Errori comuni e contromisure

• Errore: fidarsi dei robots.txt per protezione. Contromisura: non lasciare dati sensibili raggiungibili via HTTP.
• Errore: automatizzare senza limiti. Contromisura: impostare rate limit, controlli e permessi.
• Errore: non coinvolgere il team legale. Contromisura: coordinarsi prima delle attività di discovery.

Rischi e mitigazioni qualitative

• Rischio legale: eseguire scansioni non autorizzate. Mitigazione: policy e permessi.
• Rischio reputazionale: esposizione di dati sensibili. Mitigazione: monitoring continuo e remediation rapida.
• Rischio operativo: falsi positivi. Mitigazione: verifica manuale e tool di validazione.

Sommario e passi successivi

Google Dorking è uno strumento di reconnaissance potente. Utilizzato correttamente, aiuta a identificare esposizioni accidentali e ad aumentare la sicurezza. Tuttavia, senza autorizzazione può generare problemi legali e danni operativi. Implementa controlli, procedure e un programma di verifica continua per trasformare i risultati delle ricerche in azioni di difesa concrete.

Se sei responsabile di un dominio o di infrastruttura, pianifica una check-list trimestrale per eseguire query dork mirate, integra i risultati nel tuo sistema di gestione vulnerabilità e prevedi remediation rapide per elementi critici.

Importante: usa sempre pratiche etiche e legali. Se non hai autorizzazione, non procedere.