Shodan io что это

Примеры поиска в Shodan

Эта статья предназначена для тех, кто либо вовсе не слышал о Shodan, либо слышал, но так и не понял, как им пользоваться. Подобных материалов на русском языке я не нашел, часть информации почерпнул тут, остальное добавил из личного опыта. Я приведу примеры использования «самого страшного поисковика интернета» по имени Shodan. Сервис разработан web-девелопером Джоном Мазерли (John Matherly) и ориентирован, прежде всего, на поиск устройств подключенных к интернету.

Shodan опрашивает порты устройств и на основе полученных ответных баннеров делает выводы об устройствах и сервисах. Поисковик платный, годовая подписка обойдется в 20$, однако, попробовать его в действии можно и за так: после бесплатной регистрации доступно 50 результатов поиска. Историю создания и биографию автора найдете сами, если будет интересно, а пока перейдем к делу:

Фильтры

Пример 1: Устройства Cisco

В данном примере мы попробуем найти устройства-cisco с web-интерфейсом для доступа к которым не требуется авторизация.
Для начала посмотрим, как выглядит типичный «401 Unauthorized» баннер устройства-cisco, если в строке поиска мы введем просто «cisco»:

HTTP/1.0 401 Unauthorized
Date: Thu, 20 Oct 1994 05:18:36 GMT
Server: cisco-IOS
Connection: close
Accept-Ranges: none
WWW-Authenticate: Basic realm=«level_15_access»

Обратите внимание, что строка «WWW-Authenticate: Basic realm=»level_15_access» указывает на необходимость ввести логин и пароль.
В свою очередь, устройство авторизация в котором не требуется, вернет нам баннер со статусом 200 (для этого в строке поиска вбиваем «200 cisco», еще строка Last-Modified — верный признак, что это «наш клиент»:

HTTP/1.0 200 OK
Date: Mon, 08 Sep 2014 22:28:16 GMT
Server: cisco-IOS
Connection: close
Transfer-Encoding: chunked
Content-Type: text/html
Expires: Mon, 08 Sep 2014 22:28:16 GMT
Last-Modified: Mon, 08 Sep 2014 22:28:16 GMT
Cache-Control: no-store, no-cache, must-revalidate
Accept-Ranges: none

Достаточно перейти по ссылке ip-адрес:80 и мы попадаем в web-консоль управления устройством. Я скачал Cisco SDM для удобства.

Пример 2: Пароли по умолчанию

К интернету подключено множество устройств с дефолтными логинами и паролями, давайте попробуем что-нибудь найти. Для этого в строке поиска пишем «default+password». Добавим также port:80, чтобы выбрать устройства с www-аутентификацией.

В результате мы увидим множество баннеров, содержащих искомую фразу, и, как показывает практика, большой процент устройств будут иметь логин/пароль вида admin/password, admin/pass, и т.д.,

Пример 3: Камеры видеонаблюдения

Если в случае сетевых устройств пользователи в большинстве случаев устанавливают более-менее надежные пароли, то с остальным оборудованием дела обстоят намного хуже. В этом примере мы посмотрим в камеры видеонаблюдения. По работе мне часто приходится сталкиваться с видеорегистраторами фирмы DVR, некоторые из них имеют выход в сеть. Пишем в строке поиска: DVR port:80 country:RU city:«Saint Petersburg» И получаем список видеорегистраторов в СПБ, обнаружилось около 200 устройств.

Стандартные учетные записи на таких устройствах admin и user, пароли: admin, user, 1111, 1234, 123456, 8888 (можно найти в инструкциях). Уже на первой странице устройство со стандартной учетной записью:

Пример 4: Популярные запросы

В разделе Popular Searches, можно подсмотреть варианты запросов, вот, например, поиск ip-видеокамер фирмы avtech на территории США: linux upnp avtech country:US, добавим к нему привычный фильтр port:80:

И снова на первой странице поиска попадается устройство, в котором получилось залогинится с помощью admin/admin:

Итоги

Подводя итоги, хочу лишний раз напомнить всем пользователям: пожалуйста, устанавливайте надежные пароли на ВСЕ устройства подключенные к сети, если у вас в видеорегистраторе или smart-тв нет «секретных» данных это еще не значит, что эти устройства не могут стать целями злоумышленников, пусть даже просто ради развлечения.

Источник

Shodan — темный близнец Google

S in IoT stands for Security

Про Shodan уже не раз писали, в том числе и здесь. Я хочу предложить еще раз пробежаться по возможностям этого замечательного инструмента и принципам его работы. Сразу хочу оговориться, ситуация с этим поисковиком вполне классическая для исследователей в области информационной безопасности — инструмент может использоваться как с благими намерениями, так и сильно за чертой закона.

Disclamer:
Использование самого поисковика не является чем-то наказуемым. Успешный вход в незакрытую панель управления узла нефтяного терминала где-то в Сингапуре и эксперименты с открыванием заслонок — уже наказуемы. Могут прийти и постучаться недружелюбные люди. Поэтому будьте благоразумны и уважайте чужое пространство. Мы против применения Shodan для чего-то кроме исследовательских целей или анализа собственных систем.

Предлагаю еще раз пройтись по возможностям этого поисковика, особенностям его синтаксиса и попробовать найти что-то интересное. И давайте не будет печатать «Войну и Мир» на чужих сетевых принтерах.

Люди беспечны

Каналы стали гигабитными, появились инструменты вроде ZMap, позволяющие просканировать весь массив IPv4 адресов за несколько минут. И все равно до сих пор немало людей, которые искренне уверены, что если никому не говорить о поднятом сервисе, то можно не заморачиваться с его защитой.

К сожалению, очень быстро к вам придут вначале автоматические боты, а потом и живые люди, если нащупается что-то интересное. Я так в свое время забыл выключить vsftpd, который поднимал ненадолго. В итоге, через месяц я с удивлением заметил, что внутри регулярно появляются и исчезают текстовые файлы со спамом, какие-то небольшие зашифрованные архивы и тому подобные радости.

Если бы проблема исчерпывалась джуниор-админами и обычными людьми, которым простительна некоторая беспечность и неквалифицированность, то оправдать компании, которые намеренно встраивают бэкдоры в свои железные продукты я просто не могу. Классические примеры — популярные IP-камеры Hikvision и Dahua. Аналогичные истории были и с роутерами D-link, Huawei и прочих производителей.

А уж с приходом Internet-of-Things, с его «безопасными» подходами к реализации все становится совсем грустно. Тут тебе умные лампочки без паролей, работающие со внешним интернетом по HTTP. Или вообще роботы-пылесосы, которые будут использованы для атаки на вашу внутреннюю инфраструктуру, как это случилось с Dongguan Diqee. Там вообще весело — уязвимости CVE-2018-10987 и CVE-2018-10988 позволяли получить root-права, перехватить управление устройством, подъехать в нужную точку и получить изображение с инфракрасной камеры устройства.

Аналогичная история была с LG Hom-Bot, где злоумышленник мог перехватить управление и использовать невинный пылесос, как точку для вторжения в чужую сеть.

Как работает Shodan

Пример результата поиска по «vuln:cve-2014-0160».

В сочетании с поиском это дает возможность быстро оценить число уязвимых версий ПО после публикации очередной уязвимости.

Данные по каждой записи хранятся в структуре, которую разработчики называют banner. Вот как он выглядит:

В зависимости от количества полученной информации, banner может содержать гораздо больше полей, по которым можно производить фильтрацию и поиск. По умолчанию, поиск идет только по полю data, что отчасти связано с соображениями безопасности. Поле data будет сильно отличаться в разных banner, в зависимости от типа приложения, сервера или устройства.

Вот так будет выглядеть типичное поле data для HTTP-сервера. Можно увидеть основные параметры и версию.

А вот так выглядит куда более необычный промышленный контроллер Siemens S7. Вот на этом этапе уже становится немного страшновато от того, какие устройства могут торчать в интернет и попадать в результаты поиска. С другой стороны, security through obscurity еще никому не помогало.

Типовой сценарий использования предполагает, что вы даете общий запрос к полю data, после чего уточняете свой поиск многочисленными фильтрами. Формат выглядит запроса выглядит примерно так:

Обратите внимание, что после двоеточия пробел отсутствует. При этом вначале будет произведена выборка всех записей, содержащих «nuclear reactor» в общем поле data, а затем последовательно применены все перечисленные фильтры для сужения объектов поиска.

Полный список фильтров доступен тут. При этом, некоторая часть доступна только для платных аккаунтов, например «tag» и «vuln».

Пробуем искать

Давайте попробуем что-то вроде door controller.

Чудно. Теперь посмотрим на все HID VertX контроллеры, принадлежащие Spectrum Business.

После чего по клику на конкретный хост разворачивается краткая справка о собранных по нему данных. Или можно посмотреть полный вывод сырых данных.

Что еще интересного можно найти

На самом деле, чего только уже не находили. И управление турбинами ГЭС, и контроллер управления системами охлаждения муниципального ледового катка. Вот несколько интересных и относительно безобидных вариантов.

Показывает уличные рекламные панели. И вечно датчики температуры демонстрируют абсолютный ноль.

Показывает текущий статус Tesla PowerPack.

Интернет не самое безопасное место

На самом деле списки доступного просто безграничны. Можно и панели управления ветряными турбинами найти и чьи-то медиа-центры на вьетнамском, торчащие в интернет. Придерживайтесь сами нескольких базовых правил и все будет хорошо.

Источник

The Enterprise Platform for Internet Intelligence.

Full access to the Shodan data and infrastructure. Provide your organization with real-time information about the entire Internet.

Platform Components

Download all of the data that Shodan collects to build your own database of Internet-connected devices.

Use Shodan’s global infrastructure to scan networks ranging from individual IPs up to the entire Internet.

The Enterprise Data License provides unlimited access to Shodan for all employees of the organization.

Security Beyond the Perimeter

The Shodan platform helps you monitor not just your own network but also the entire Internet. Detect data leaks to the cloud, phishing websites, compromised databases and more. The Enterprise Data License gives you the tools to monitor all connected devices on the Internet.

Open for Business

Enhance your product with insights gained from the Shodan data feed and leverage our expertise in crawling the Internet to collect the information you need. And the Enterprise Data License provides rights to commercial use without attribution.

Market Intelligence for the Connected World

Use the Shodan platform to see which products are popular on the Internet and how the markets are shifting over time. Which areas have the most home automation systems? How popular are the latest smart TVs? Purchase the Enterprise Data License to understand the modern connected world.

New Age of Fraud Prevention

When was the last time you saw a refrigerator buy a computer? Use Shodan to detect whether the purchase is being made from an IoT device, compromised database, VPN, Tor or any type of unusual device.

On the Cutting Edge

Gain early access to all the latest features of the Shodan platform, including experimental data sets. The Enterprise Data License puts you on the cutting-edge of Internet intelligence.

Источник

Shodan io что это

No contracts. No setup fees. Cancel anytime.

Freelancer

$59 /month

Up to 1 million results per month * Scan up to 5,120 IPs per month Network Monitoring for 5,120 IPs

Access to most filters Allows paging through results Basic access to the Streaming API Commercial Use

E-Mail support

Small Business

$299 /month

Up to 20 million results per month * Scan up to 65,536 IPs per month Network Monitoring for 65,536 IPs

Access to most filters Allows paging through results Basic access to the Streaming API Commercial Use

E-Mail support Vulnerability search filter

Corporate

$899 /month

Unlimited results per month * Scan up to 327,680 IPs per month Network Monitoring for 327,680 IPs

Access to all filters Allows paging through results Basic access to the Streaming API Commercial Use

Premium Support Vulnerability search filter Batch IP Lookups Tag Search Filter Complementary Membership Upgrades

* All API plans are subject to a rate limit of 1 request per second

Just getting started?

If you’d like to explore more of the Shodan websites and API than the free account provides then checkout the Shodan Membership. It’s a one-time payment for a lifetime account upgrade to browse more results, monitor some IPs and dive into the API:

Enterprise Access

Want a local copy of the Shodan database? Our enterprise product provides full access to the Shodan platform including bulk data, real-time firehose, Internet scanning and more. Take your Internet intelligence to the next level with our enterprise platform:

Compare Features

Frequently Asked Questions

For our monthly plans you can subscribe using a credit card. If you sign up for an annual subscription then we can also accept checks and bank transfers. Please contact sales@shodan.io for setting up an annual subscription.

Is there a free API plan?

All Shodan accounts come with a free API plan. Simply sign-up for a free Shodan account and you will be able to start using the API. Register Now

How many users are allowed to access a subscription?

Can we use the API to build products?

Yes, you can integrate the API in your products as long as the data is attributed to Shodan.

What are query/ scan credits?

Query credits are used to search Shodan and scan credits are used to scan IPs. A search request consumes 1 query credit and scanning 1 IP consumes 1 scan credit. For an in-depth comparison between the credits please visit our help center article. Shodan Credits Explained

Which filters aren’t available in the Freelancer/ Small Business plan?

The «vuln» filter requires at least the Small Business plan and the «tag» filter is only available on the Corporate plan.

How do I download the entire Shodan database?

For bulk access to the Shodan data feed please check out our Enterprise Data License. Learn more

Источник

Shodan io что это

See which ports an IP has open, what SSL/ TLS versions it supports, which country it’s located in, what web technologies the website uses and much more.

Shodan has a curated DNS database that contains information about hostnames likely to run a service. Use it to help map out your organization’s attack surface.

Subscribe to real-time data feeds to get notified when new ports are detected, vulnerabilities are discovered or network configurations change.

Easy Integration

The Shodan API is the easiest way to provide users of your tool access to the Shodan data. The API provides access to all data stored in Shodan, allowing you to get exactly the information you want.

Automate Everything

Use the API to automatically generate reports, notify you if something popped up on Shodan or keep track of results over time.

Beyond the Web

The Shodan website only shows a small fraction of the information that is gathered. Use the API to gain full access to all the data collected and extract the information you care about.

Real-Time Notifications

The Streaming API gives you the ability to subscribe to events in real-time so you can immediately respond to new discoveries.

Command-Line Friendly

The Shodan command-line interface exposes most of the API in a user-friendly way so you can access the Shodan database without needing to write your own scripts.

API-First Development

All Shodan websites, including Shodan Images and Shodan Monitor, are powered by the API. Anything that can be done using those websites you can also do directly via the API. To get started find an API binding in your favorite language:

Источник