모의 해킹/침투 테스트 업무 시 사전 정보 획득을 위해 필요한 구글 해킹 기법에 대해 설명한다. 이론적인 내용뿐만 아니라 실제 테스트 결과도 다루는데, 구글 검색 연산자의 기초부터 고급 쿼리문, 개인 정보 검색, 취약한 사이트 검색에 이르기까지 다양한 구글 해킹 기법을 소개한다. 또한 해킹으로부터 사전 정보 획득을 차단하기 위한 방법을 설명하고 있기 때문에 기업 보안 담당자가 개인 정보 노출 및 침해 사고를 예방하는 데에도 많은 도움이 될 것이다.

■ 구글 해킹에 대한 최신 연구 수록

■ 구글 해킹이 모의 침투 테스팅과 오픈소스 인텔리전스(OSINT)에 대한 결정적인 단계의 정보 수집 도구로 사용되는 양상 소개

■ 보안 진단 스캐너에서 생성된 보고서, 백업 파일, 워드프레스(WordPress) 및 SSH 설정 파일 등에서 민감한 정보를 찾는 방법과 구글 해킹을 위해 다른 검색 엔진과 API를 사용한 향상된 검색 방법을 다루는 새로운 챕터 추가

구글은 세상에서 가장 유명한 검색 엔진이며, 구글의 검색 기능은 아주 강력하다. 구글은 사회보장 번호, 신용카드 번호, 거래 상의 기밀 정보 그리고 연방에서 기밀로 분류된 문서들 같은 미공개 정보들을 검색할 수도 있다.
모의 침투 테스터를 위한 구글 해킹 3판은 보안 전문가 혹은 시스템 관리자가 구글을 이용해 민감한 정보를 찾아볼 수 있도록 안내하고, 그들의 회사에 대한 ‘자체 보안’ 기능을 수행하도록 도와준다.

독자는 해커들(Bad guys)이 구글을 이용해서 어떻게 슈퍼웜(superworms)을 제작하고, 페이스북(Facebook), 링크드인(Linkedin)을 어지럽히는 사전 작업으로 패시브 정찰(Passive Reconnaissance)을 수행하는지 자세히 알아볼 것이다.

3판의 경우 내용이 완전히 갱신됐으며, 구글 스크립팅과 다른 검색 엔진, API를 이용한 구글 해킹의 최신 기술들이 수록되어 있다. 이 책은 독자들이 사용할 궁극의 오픈소스 정보 수집 도구와 모의 침투 테스팅을 위한 도구들을 제공해줄 것이다.

조니 롱(Johnny Long)

기독교 신자지만, 해적의 피가 흐르는 전문해커다. 무엇보다도 그는 보안 연구원이며, 이 책의 저자다. 웹사이트(http://johny.ihackstuff.com)를 통해 그와 연락할 수 있다. 또한, 실력을 갈고닦고자 하는 해커들에게 직업 경험을 쌓게 해주는 자선 단체인 Hackers for charity의 설립자이기도 하다.

빌 가드너(Bill Gardner)

마샬대학에서 조교수로 재임 중이며, 공과대학에서 정보 보안과 기초공학 과정을 담당하고 있다. 또한 BlackRock 컨설팅의 대표 및 보안 컨설턴트 장을 맡고 있으며, 변호사, 판사, 법률 집행관 등의 디지털 증거 전문가를 양성하는 비영리단체인 AIDE(Appalachian Institute of Digital Evidence)의 부회장 및 정보 보안 대표를 역임하고 있다. 마샬대학 교수로 활동하기 전에 Hack3rCon 집회와 304blog를 공동 설립했으며, 지금까지 304Geeks 부의장으로 계속 활동 중이다. 또한 SATF(Security Awareness Training Framework)의 창립 멤버로, 이 책의 주요 독자들과 함께 설립했다.

저스틴 브라운(Justin Brown)

대형 금융 기관의 정보 보증 분석가다. 이전에는 공개출처정보(OSNT)에서 전문 컨설턴트로 일했다. 저스틴은 구글 해킹과 독스를 통해, 인터넷에 노출되어 있는 고객과 관련된 수많은 정보를 수집했다. 또한, Hackers for Charity에서 주관하는 컨퍼런스에 자주 참가하고 있다.

IT 업계 종사자들에게 가장 많이 접속하고 사용하는 웹사이트가 무엇이냐고 물어본다면 대다수는 구글이라고 말할 것이다. 이전에는 검색 엔진이라고 하면 국내 포털의 엔진만 머리에 떠올렸지만, 최근 들어 구글 검색 서비스는 IT 업계 종사자에게는 물론이고 대중들에게도 익숙해지고 있다. 최근에는 알파고의 영향으로 구글이 더 많이 알려진 탓도 있을 것이다.
구글 검색의 장점은 방대한 정보를 검색할 수 있는 검색 엔진을 제공한다는 것이다. 정보가 너무 많아 원하는 결과를 찾기 어려울 때도 있지만, 구글은 좀 더 정확한 결과를 얻을 수 있도록 연산자라는 기능을 제공한다.
보안 쪽으로 눈을 돌려보면, 구글을 통해 웹에 노출된 개인 정보와 취약한 사이트도 검색할 수 있다. 구글은 개발자/컨설턴트/분석가 등에게 수많은 유용한 정보를 제공하면서도 사용자도 모르게 공개되어 있는 개인 정보나 관리자도 파악하지 못하고 있는 다수의 취약점을 노출시키기 때문이다. 구글 봇은 데이터를 수집해 서버에 캐시 상태로 저장해두기 때문에, 사이트가 삭제된 후에도 오랜 시간이 지나지 않으면 검색 결과에 노출되기 때문에 이 정보를 모으면 손쉽게 취약점을 찾을 수 있다.
허가된 시간과 방법으로 침해 사고를 예방하고 보안 취약점을 발견하려는 화이트 해커와 악의적인 의도를 가지고 시스템 침투를 시도하려는 블랙 해커의 입장에서 구글은 사전 정보를 수집하거나 침투 경로를 찾기 위한 가장 중요한 정보처다. 시스템 침투를 위해서는 최대한 많은 정보를 수집해야 하며, 최종 목표가 내부 서버 침투라면 먼저 웹 서버를 장악하기 위한 공격을 시도해야 한다.
구글에서 연산자를 조합하면 어렵지 않게 관리자 페이지가 노출되어 있는 곳을 찾을 수도 있고, 알려진 애플리케이션 취약점 URL을 포함하고 있는 도메인을 검색할 수 있기 때문에 해커들이 구글 해킹 기법을 많이 사용한다.
이 책은 구글 해킹용 연산자에 대한 설명과 다양한 기법을 사용한 정보 수집 방법, 그리고 이를 막기 위해 기업 보안 담당자나 서버 운영자가 해야 할 조치 방안에 대해서도 설명하고 있다. 이 책은 원래 모의 해킹/침투 테스트를 업무로 하는 사람이나 보안 담당자에게 유익한 내용이지만, 구글을 통해 원하는 정보를 정확하고 빠르게 얻고 싶은 모든 사람에게도 도움이 될 만한 내용을 담고 있다.
기업의 모의 침투 테스터를 진행하는 모의 해커, 침해 사고를 대응/분석하는 분석가, IT 개발에 종사하며 구글 해킹 기법을 궁금해하는 분들에게 이 책이 많은 도움이 됐으면 하는 바람이다.

이충만

세종대학교 컴퓨터공학과를 졸업했고, 안랩AhnLab CERT에서 취약점 진단 및 침해 사고 분석 업무를 담당했다. 포렌식 기술과 다양한 오픈소스를 활용해 정확하고 효율적으로 침해 사고를 분석하는 업무에 관심이 많다. 옮긴 책으로는 에이콘출판사에서 출간한 『네트워크 포렌식』(2014)과 『실전 모의 해킹과 침투 테스트』(2014)가 있다.

김지우

안랩 CERT에서 보안 엔지니어로 근무 중이다. 최근에는 클라우드 보안에 관심이 많으며, 관련하여 오픈소스 커뮤니티에서 활동하고 있다.

이동건

안랩 CERT에서 원격보안관제 연구원으로 일하고 있다. 최신 보안 동향과 취약점 공격 기법 분석 및 대응에 대해 다방면으로 연구 중이다. 에이콘출판사에서 출간한 『실전 모의 해킹과 침투 테스트』(2014)를 공역했다.