行踪已暴露：谷歌日历泄露公开用户会议、公司详细信息

印度电商公司Grofers的安全研究人员Avinash Jain发现，已经有8000名用户的谷歌日历暴露在了网上，究其原因是其日历“邀请”功能配置而导致。据了解，谷歌日历在全球大概有10亿用户。

虽然不是什么漏洞，但其造成了极大的安全问题。如果说漏洞什么的需要有点技术才能搞的定，这回这个日历则谁都能可以。而谷歌也未曾警示用户用链接与其他人分享日历就会将日历暴露于公开网络上，该链接还能由谷歌编入索引。

也正是通过这种方法，研究人员列出了所有的公开日历或用户，其中一些还暴露了很多敏感信息，如：邮箱ID、事件名称、事件细节、地点等。

研究人员使用的是Google Dorks工具，是一些用来收集谷歌搜索的查询语句，这些语句可以找到有漏洞的系统或未公布的敏感信息，如下图：

那么，现在就来简单了解一下这些查询语句：

一、查找网站参数

• l intitle: 找到网站HTML代码中含有指定条件的页面。如：intitle:”login page” 会显示有“login page”的网站页面。

• l allintitle: 找到网站HTML代码中所有含有特定参数的页面，如：allintitle:’login page”；

• l inurl: 找到网站代码中的超链接URL参数，如：inurl:”login.php”和inurl:proftpdpasswd

• l allinurl: 找到网站代码中所有超链接URL参数，如：allinurl:”login.php”.

• l define: 谷歌会根据条件查找相关信息，如：define:“sql syntax error”

• l site: 谷歌会查找指定参数的网站信息，如：site:hackingnewstutorials.com.

• l link: 查找有sql注入漏洞的链接，如：link:index.php?id=

二、查找文件参数

• l filetype: 可以查找指定文件格式，如：filetype:pdf会查找pdf格式的文件；filetype:txt会查找文本格式的文件

• l intitle: 可直接查找网站文件目录下的指定文件，如：intitle: index of mp3可查找mp3文件；intitle: “index of ” intext: “movie name” 查找电影名称。

• l book: 查找书籍参数，如：book: java

亡羊补牢，为时未晚，要修复这个问题，就得赶紧更改设置了，是不是有点怀念曾经那个每过一天撕去一页的日历了？