Как стать автором
Обновить
265.23
Рейтинг
Инфосистемы Джет
российская ИТ-компания

Подмена поисковой выдачи Google

Блог компании Инфосистемы Джет Информационная безопасность *Поисковые технологии *
Перевод
Автор оригинала: Wietze Beukema

 
Эксперт по информационной безопасности Wietze Beukema обнаружил довольно простую логическую уязвимость в формировании поисковой выдачи Google, позволяющую производить манипуляцию результатами выдачи. Несмотря на простоту уязвимости, последствия от ее применения могут быть довольно серьезными.


Простое добавление параметров в uri позволяет подменить т.н. Knowledge Graph при формировании поисковой выдачи по запросу.


Knowledge Graph — семантическая технология и база знаний, используемая Google для повышения качества своей поисковой системы с семантическо-розыскной информацией, собранной из различных источников. Граф знаний предоставляет структурированную и подробную информацию о теме в дополнение к списку ссылок на другие сайты.
 



 
Цель состоит в том, чтобы пользователи могли использовать эту информацию для решения своих запросов без необходимости перехода на другие сайты и сбора информации самостоятельно.


При формировании графа можно поделиться его результатами в виде short-URL, который содержит параметр kgmid, отвечающий за отображение Knowledge Graph, а также параметр kponly, отвечающий за приоритет Knowledge Graph.



 
После перехода по short-URL ссылка трансформируется, и можно получить необходимый параметр kgmid:



 
Далее полученный параметр можно использовать для формирования поддельной выдачи:
https://www.google.com/search?q=торт&kgmid=/m/07s4h8h&kponly


Для маскировки uri можно воспользоваться goo.gl: https://goo.gl/5FK7Na


Данные манипуляции могут быть использованы злоумышленниками для создания недостоверной информации, поддельных новостей, вбросов и т.д.



 



 



 
UPD: 11.01.2019 уязвимость закрыта.

Теги:
Хабы:
Всего голосов 115: ↑112 и ↓3 +109
Просмотры 46K
Комментарии Комментарии 22

Информация

Дата основания
1991
Местоположение
Россия
Сайт
jet.su
Численность
1 001–5 000 человек
Дата регистрации