Google Dorking Nedir? Kendi Siteni Denetleme Rehberi

Google dorking nedir sorusunun kısa cevabı şu: Google'a sıradan kelimeler yerine operatörlü sorgular yazmak. site: ile tek bir siteye, filetype: ile tek bir dosya türüne inersin. Bu yazıda hangi operatörlerin hâlâ çalıştığını, kendi sitende neyi arayacağını, bulduğunu nasıl kaldırtacağını ve yasal sınırın nerede başladığını göreceksin.

Google dorking nedir ve nasıl çalışır?

Google, internetteki herkese açık sayfaları tarar ve dizinine ekler. Kimlik doğrulaması istemeyen bir dosya, bir yerden bağlantı aldığında ya da başka yollarla keşfedildiğinde bu dizine girebilir. Dorking bu dizini süzer. Hiçbir sisteme girmez, hiçbir açığı kullanmaz.

Asıl hata dosyayı açıkta bırakandadır. Personel listesi olan bir tabloyu herkese açık klasöre koyan site, onu Google'a da açmış olur. Dorking yalnız bu hatayı bulmayı hızlandırır. Saldırgan da savunmacı da aynı sorguyu yazabilir. Fark, kimin önce baktığıdır.

Bu teknik, açık kaynak istihbaratının (OSINT) bir parçasıdır. Genel çerçeveyi OSINT rehberinde, internete açık cihazları bulan arama motorunu Shodan nedir yazısında bulabilirsin. Bu yazının odağı kendi varlığını denetlemek.

Bir uyarı: Google, operatör sonuçlarının dizine ekleme ve getirme sınırlarına bağlı olduğunu söyler. Bir sorgunun sonuç vermemesi, sitende açık dosya olmadığını kanıtlamaz.

Hangi Google arama operatörleri hâlâ çalışır?

Google'ın kendi yardım sayfalarında belgelenen operatörler aşağıda. Örneklerde example.com yerine kendi alan adını yaz. Operatör ile terim arasına boşluk koyma: site:example.com çalışır, site: example.com çalışmaz.

Eski dorking listelerinde intitle: ve inurl: gibi operatörler de sık geçer. Google bunları güncel yardım sayfalarında listelemiyor. Çalıştıklarını görsen bile sonucu yaklaşık kabul et. cache: gibi önbellek odaklı sorgulara hiç güvenme, çünkü Google 2024 başında önbellek bağlantılarını kaldırdı.

Kendi sitende hangi bilgiler açıkta kalabilir?

Açıkta kalan bilginin nedeni çoğu zaman kötü niyet değil, dikkatsizliktir. Bir yedek dosyası silinmeden kalır, bir test alt alanı unutulur, bir belge yanlış klasöre yüklenir. Aşağıdaki tablo kendi alan adında neyi arayacağını ve bulursan ne yapacağını özetler.

Belgelerin üst verisini de unutma. PDF ve ofis dosyaları yazar adını, kullanıcı adını ve kullanılan yazılımı taşıyabilir. Yayımlamadan önce bu alanları temizle.

Web kökünde unutulan .bak ve .old dosyalarını bulup temizlediğin bir senaryoyu saha görevlerinde deneyebilirsin.

Kendi siteni adım adım nasıl denetlersin?

Denetimi bir kez yapıp bırakma. Kısa bir liste hazırla ve düzenli tekrarla.

1. Kapsamı yaz: sahibi olduğun alan adları ve alt alan adları.
2. site: sorgusuyla Google'ın dizine eklediği sayfalara genel bak.
3. Belge, tablo, döküm ve yedek türlerini filetype: ile tek tek ara.
4. Kurum adınla, proje adlarınla ve "gizli", "iç kullanım" gibi ifadelerle ara.
5. Her sonuç için sor: bu sayfa herkese açık olmalı mı?
6. Olmaması gerekeni önce sunucuda kapat, sonra kaldırma iste.
7. Bulguyu kaydet: adres, içerik türü, sahibi, risk ve kapatılma tarihi.

Önceliği iki ölçüt belirler: içeriğin ne kadar hassas olduğu ve ne kadar kolay erişildiği. Kişisel veri ya da parola içeren açık bir dosya bekleyemez. Eski bir duyuru sayfası bekleyebilir.

Siteyi Search Console'a eklediysen dizindeki sayfaları oradan da gör. Google, adres denetleme aracının hata ayıklamada operatörlerden daha güvenilir olduğunu belirtir.

Aynı mantık kişisel bilgilerin için de geçerli. Adını, e-postanı ve telefonunu tırnak içinde ara. Çıkanları azaltmak için dijital ayak izi azaltma rehberini izle.

Bulduğun sayfayı Google'dan nasıl kaldırtırsın?

Önce kaynağı kapat. Sayfa sunucuda erişilebilir kaldıkça Google onu yeniden dizine ekleyebilir. Üç yol var: dosyayı sil ve sunucunun 404 ya da 410 döndürdüğünden emin ol, içeriği parolayla koru ya da sayfaya noindex ekle.

robots.txt bir koruma değildir. Google'ın kendi belgesi, bu dosyanın bir sayfayı Google dışında tutmanın yolu olmadığını açıkça yazar. Dosya herkese açıktır ve gizlemek istediğin klasörlerin adlarını da ortaya koyabilir.

Kaynağı kapattıktan sonra Search Console'daki Kaldırma aracını kullan. Bu araç sonucu yaklaşık altı ay gizler ve sayfa açıklamasını temizler. Kalıcı çözüm her zaman kaynağı kapatmaktır.

Bilgi başka birinin sitesindeyse önce site sahibine yaz. Telefon, ev adresi ya da e-posta içeren sonuçlar için Google'ın Results about you aracından kaldırma isteyebilirsin. Google'dan kaldırılan bilgi kaynak sitede durmaya devam eder. Kişisel verin işleniyorsa KVKK'nın 13. maddesine göre veri sorumlusuna başvurursun. Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırır.

Google dorking yasal mı, etik sınır nerede?

Arama yapmak ve herkese açık sonucu görmek, Google'ın sunduğu bir hizmeti kullanmaktır. Sınır, sonuçtan sonra başlar:

• Giriş denemek: TCK 243, bir bilişim sistemine hukuka aykırı olarak girmeyi ya da orada kalmaya devam etmeyi suç sayar. Bulduğun bir panelde parola denemek bu kapsama girebilir.
• Veriyi almak ve yaymak: TCK 136, kişisel verileri hukuka aykırı olarak başkasına vermeyi, yaymayı ya da ele geçirmeyi iki yıldan dört yıla kadar hapisle cezalandırır.
• Kapsam dışına çıkmak: Bug bounty programında yalnız kapsam belgesindeki varlıklara bak.

Kural kısa: kendi varlıklarında ya da yazılı izin aldığın kapsamda çalış. Başkasına ait açıkta kalan bir bilgi görürsen açma, indirme, paylaşma. Sitenin kökünde .well-known/security.txt dosyası varsa oradaki iletişim adresine yaz. Bu dosya RFC 9116 ile tanımlanan ve güvenlik bildirimi için kullanılan standart dosyadır. Bağlantı zararlı içerik ya da oltalama sayfasıysa USOM'a bildir. Sınırın ayrıntısını hacking yasal mı yazısında okuyabilirsin.

Kendi sitende kişisel veri içeren bir dosya açıkta kaldıysa bu bir veri ihlali olabilir. KVKK, veri sorumlusunun durumu en kısa sürede Kurula bildirmesini ister. Kurul bu süreyi 72 saat olarak belirlemiştir. Süreci KVKK veri ihlali bildirimi yazısı anlatıyor.

Açıkta kalan bilgiyi baştan nasıl önlersin?

En ucuz önlem, dosyanın hiç yayına çıkmamasıdır. Şu listeyi her yayından önce kontrol et:

• Gizli içerik kimlik doğrulamanın arkasında mı? "Bağlantıyı bilen görür" paylaşımı herkese açıktır.
• Web kökünde yedek, döküm ya da yapılandırma dosyası var mı?
• Sunucuda dizin listeleme kapalı mı?
• Test ve hazırlık ortamları parola arkasında mı?
• Yayımlanan belgelerin üst verisi temizlendi mi?
• Arama denetimi takvime bağlandı mı?

Kaynaklar

• Google Arama Merkezi: Arama operatörlerine genel bakış
• Google Arama Yardımı: Google aramalarını daraltma
• Google Arama Merkezi: robots.txt dosyasına giriş
• Search Console Yardımı: Kaldırma aracı
• RFC 9116: security.txt dosya biçimi