Google Translator, un bug de SQL y el User-Agent de Google

Hace ya un tiempo, no recuerdo muy bien como llegué a un artículo de una revista de la la Republica Checa. El caso es que este artículo estaba bloqueado solo para suscriptores, con lo que no se puede leer, pero... al buscarlo en Google, aparecía listado, tal y como se puede ver hoy mismo en la web.

Figura 1: El artículo sólo para suscriptores

Si está indexado en Google, pero luego no está disponible para el público en Internet es porque cuando vienen los crawlers del buscador les tiene que dar un acceso especial al contenido. Es una especie de pase VIP para el GoogleBot con el objeto de posicionarse mejor en los resultados. Cosas de SEO.

En estos entornos, lo habitual es cambiarse el User-Agent, para ver que pasa, así que me puse el GoogleBot en el User-Agent y probé a pedir la página, pero... no me la dio. No iba a funcionar ese truco.

Figura 2: Cambiando el USER-Agent para ser el bot de Google

Curioso, porque la web estaba indexada. Eso sería porque la web esté haciendo cloaking para mejorar su posición, de alguna manera, pensé. Por ejemplo puede que quite anuncios, o cualquier chorrada para hacer más SEO-friendly la web o lo que fuera.

Figura 3: El artículo indexado en Google

Para ver qué le muestra la web a Google, como dice Enrique Rando en su libro de Hacking con Buscadores, lo mejor es usar las opciones de Vista en Caché o usar el Traductor de Google para que sea él el que reciba la web y nos la muestre. En esta ocasión, al dar a traducir, la web resulta ser vulnerable y da una excepción de SQL Server como un piano.

Figura 4: La excepción de SQL Server

Es por eso que cuando se hace una auditoría de seguridad de caja negra, es muy importante hacer también la auditoría desde el punto de vista de los bots de Google, que si resulta que se el código es distinto, puede que esté quedando un agujero sin detectar.

En este caso no he tenido tiempo de estudiarlo en profundidad, pero llama la atención como sin hacer ni una sola modificación de parámetros, con solo llamar al traductor la web casque. 

Saludos Malignos!