DorkLab

Riset historis Google Dorking 2009–2013 · read-only · responsible disclosure

📈 Sejarah: Era 2009–2013

Kenapa 2009–2013? Itu masa paling "subur" pada data yang bocor ke indeks karena eksposur default: shared hosting dengan directory listing aktif, phpMyAdmin terpasang di root, phpinfo() yang nggak dihapus, dan belum ada budaya security header. Google mengindeks semuanya, dan intitle:index.of + ext:sql jadi pintu masuk siapa saja.

2009
Awal paito besar indeks

Johnny Long sudah populerkan Google Hacking Database (GHDB) sejak 2004, tapi 2009 godmode era shared hosting: cpanel/phpMyAdmin ikut terindeks karena konfigurasi default. Dork populer: intitle:"index of" "parent directory"

2010
Directory listing era

Apache tanpa Options -Indexes buka produksi di hosting publik. Dork: intitle:"index of" ext:sql | ext:bak | ext:zip. Banyak dump database .sql ukuran puluhan MB terindeks penuh.

2011
phpinfo & config

Dork ext:php intitle:phpinfo "published by the PHP Group" dan inurl:config.php pasar luas. IDS pengembang mulai sadar tapi tooling prevention belum populer (WAF masih premium).

2012
Kamera & IoT terindeks

Dork untuk network camera (inurl:"CgiStart?page=Single", intitle:" nettica ", intitle:"TrendNet") jadi isu besar — bukti bahwa "file terkubur" bukan cuma server web: perangkat pun ikut.

2013
Awal era cleanup

Google mulai menekan abuse lewat Safe Browsing + pemilik situs belajar robots.txt terlambat. GitHub (ada sejak 2008) dan S3 (2006) mulai jadi medan baru menggantikan FTP lama — era "file terkubur" klasik 2009–2012 mulai jarang karena index cleanup + HTTPS massal.

GHDB 2009±3.200 dork terkumpul
2010era SQL dump .bak public
2011phpinfo jadi telat hapus default
2012kamera & NAS masuk indeks

🛠️ Dork Generator (read-only)

Tool ini tidak mengunjungi situs target. Yang dihasilkan string query Google — eksekusinya manual oleh lo di google.com atau via site:heiddomain. Untuk riset academic/historis, pakai output ini hanya untuk dokumentasi, audit milik sendiri, atau laporan ke pemilik.

---- hasil dork muncul di sini ----

🔍 Audit Self-Domain (authorized only)

Audit domain milik lo sendiri atau domain yang lo punya izin tertulis. Semua simpanan di localStorage browser lo saja — nggak dikirim ke server.

📮 Alur Responsible Disclosure

Kalau riset lo menemukan data yang ter-expose domain orang lain — nggak boleh dibuka isinya (hanya catat URL + tipe). Ini jalur yang bener & legal:

  1. Catat bukti minimal — screenshot/URL, tanggal, jenis exposure. Jangan unduh isi file milik orang.
  2. Cari kontak security — halaman /security.txt, security@domain, atau halaman disclosure di situsnya.
  3. Ke CERT nasional — Indonesia: CSIRT Komdigi. Eksternal serius internasional: FIRST.org list.
  4. Report ke mesin pencari — Google Safe Browsing report kalau konten itu berbahaya/verify.
  5. Beri waktu pemilik — 90 hari adalah standar etis sebelum publikasi ulang (tanpa detail exploit).

💰 Bidang Bounty yang Legal & Bayar

Ingin uang nyata dari skill riset lo? Ini jalur yang dirokokani:

Google VRP

bughunters.google.com — reward sampai $60k+ untuk top findings. Termasuk ekspose data di Google service.

HackerOne / Bugcrowd

Platform bounty: hackerone.com/directory & bugcrowd.com/programs. Skill dorking + recon = entry sering banget ke sini, triage dari $50–$500.

CERT / Kroco

CSIRT Komdigi kalau target .go.id / .ac.id — nggak bayar tapi reputasi + public credit. Banyak diskominfo lokal kasih penghargaan resolver.

Self-owned audit

Audit domain milik lo sendiri di tab Audit Self-Domain — ketahuan kesalahan di infra lo sendiri itu worth lebih dari bounty: satu kebocoran dapat bawa down reputation + denda.