谷歌黑客是一种黑客技术，使用谷歌搜索引擎和其它的谷歌应用，寻找网站代码中的相关配置和安全漏洞
谷歌是一个非常强大的搜索引擎，是能够做很多事情的，是非常有用的黑客工具.使用简单的google dorks,人们能够破解一个网站和许多WEB开发人员都没有办法保护的自己和用户个人数据资料。例如，使用Google dorks,攻击者可以提取各种信息，如数据库配置的详细信息，用户名、密码、目录列表和错误信息等。例如：
这些目录可以显示web服务器的配置信息.这些目录并不意味这所有都是公开的，因为它包含的安全级别取决于密码的文件,它也可以包含有关各个端口，安全权限的信息。
公共服务器总是用户存储大多允许公共访问的数据，如果你真的关系数据库的私密性，那么最好的办法是和公共服务器隔离。很多人都知道目录列表相关的风险，目录列表可以让用户看到目录内存储的文件，子目录等，有时连.htaccess文件都被列出，实际上这个文件是用来保护目录的内容，是不能配置为可读的，但是一个简单的可读配置错误，让这个文件很容易被列出。因为很多人上传重要数据到服务器是为了更好的随时随地能够访问，黑客通过网络搜索爬虫索引，很容易会获取相关的敏感目录信息。最简单的防范方法之一是网站管理员可以创建一个robots.txt文件指定特定位置，不让搜索引擎访问。为了保护自己，使用robots.txt文件来避免这些重要的目录或者文件被搜索引擎收录读取，例如：
我也可以禁止搜索引擎不收录指定的目录,下面的例子将禁止搜索引擎收录infosec目录及其子目录
下面的例子将组织谷歌机器人来抓去我们网站上的任何东西,但是允许其它的搜索引擎机器人访问整个网站.
应该进制可列目录，除非需要其开启.服务器配置中定义的索引文件丢失也会导致可列目录.在apache服务器上,我们可以使用在httpd.config文件前使用减号或者破折号的方法进制目录可列.
本文向您展示防止黑客通过手动和自动测试来获取你网站的潜在安全漏洞.我们将讨论如何防止您的网站被google hacker获取到,我会告诉您如何站在google的角度看您的网站.
现在您可以点击打开上面列出的所有链接，来检查那些目录或者文件是否被公开访问.但是，如果要检查超过100W的连接，以上方法可能有点耗时,下面介绍一些自动化测试工具.
gooscan是一款基于linux的工具,可用来大批的显示google的搜索结果.因为它没有使用google的API，是违反google服务条款的,使用这款工具有可能会被google封锁掉IP地址.
-t target(目标),这个参数是用来定义目标的,一个目标可以是一个主机名或ip地址.
-q query(查询),这个参数用语查询一个特定的搜索结果.使用-q只需要单一的参数.例如
-o output_file: 如果你想创建一个html的输出文件,你可以使用此参数.输出文件将包含所有的链接,这个是取决于查询结果.
使用gooscan执行多个查询的时候可能会遇到问题,为了避免这种情况,我们可以使用小批次的查询而不是发送大量的文件,使用head命令创建一个小的数据文件.
Wikto是另外一个Google hacking使用的工具,它是一个完整的web评估工具,这意味着你可以用这个工具来测试你的服务器.在服务器上运行这款应用程序.为了实施google hacking,我们一个名为googler的applet。此applet将做为后端,然后导入和使用google的索引来搜索特定的文件类型.还有另外一个叫googlehacks的小程序,可以在Wikto中使用,使用其中的GHDB可以自动的查询任何特定网站.
Goole hack密码（GHH）旨在提供对使用搜索引擎做为一个黑客工具的攻击行为进行观察.这实现了蜜罐的概念,为您的网页提供了额外的安全性.它允许我们监视任何企图危害您安全的攻击行为.GHH也有记录的功能,他允许我们来管理这些攻击行为,并采取相应的行动.
