Spis treści

Czym Jest Shodan i Dlaczego Powinieneś Go Znać?

Wyobraź sobie wyszukiwarkę, która zamiast stron internetowych, newsów i zdjęć kotów, indeksuje urządzenia podłączone do internetu: od serwerów i routerów, przez kamery przemysłowe i systemy inteligentnego domu, aż po infrastrukturę krytyczną, jak sterowniki przemysłowe (ICS/SCADA) 1. To właśnie jest Shodan. Często nazywany „Google dla hakerów” lub, bardziej precyzyjnie, „wyszukiwarką urządzeń sieciowych” 2, pozwala on przeszukiwać miliardy urządzeń na całym świecie i analizować informacje, które te urządzenia publicznie udostępniają 3. Zrozumienie jego działania jest kluczowe dla każdego, kto interesuje się cyberbezpieczeństwem, ponieważ Shodan pokazuje surowy, często niezabezpieczony obraz globalnej sieci – w tym jej polskiego fragmentu.

Podstawowa różnica między Shodanem a tradycyjnymi wyszukiwarkami, takimi jak Google, leży w sposobie zbierania danych. Google wysyła swoje roboty (crawlery), aby odwiedzały strony internetowe, podążały za linkami i indeksowały treść tych stron. Shodan działa inaczej: jego skanery systematycznie „odpytują” adresy IP w internecie na różnych portach – czyli cyfrowych „drzwiach” do usług działających na danym urządzeniu. W odpowiedzi na takie zapytanie, usługa często wysyła tzw. banner, czyli pakiet metadanych zawierający informacje o sobie, np. typ i wersję oprogramowania, nazwę urządzenia czy komunikat powitalny. To właśnie te bannery Shodan zbiera i indeksuje, a nie zawartość stron WWW 4. Dzięki temu pozwala zidentyfikować konkretne usługi działające na otwartych portach .

CechaGoogleShodan
Co indeksuje?Treść stron internetowych (HTML, tekst, obrazy).Metadane (bannery) z urządzeń i usług.
Jak działa?Podąża za hiperłączami (crawling).Skanuje porty na adresach IP.
Typowe zapytanie„najlepszy antywirus 2024”product:"nginx" country:"PL"
CelZnalezienie informacji w internecie.Znalezienie urządzeń podłączonych do internetu.

Wiedza o Shodanie jest niezbędna z kilku powodów. Dla specjalistów ds. bezpieczeństwa to fundamentalne narzędzie do przeprowadzania testów penetracyjnych (pentestów) i białego wywiadu (OSINT) 5. Umożliwia szybkie zlokalizowanie potencjalnie wrażliwych punktów w infrastrukturze firmy, zanim zrobią to cyberprzestępcy. Administratorzy systemów używają go do monitorowania własnej sieci i weryfikacji, czy przez przypadek nie wystawili do internetu niezabezpieczonych usług 6. W dobie Internetu Rzeczy (IoT), gdy lodówki, telewizory, a nawet systemy ogrzewania mają własne adresy IP, Shodan staje się barometrem globalnego (i lokalnego) cyberbezpieczeństwa, pokazując, jak wiele urządzeń jest dostępnych publicznie, często z domyślnymi hasłami.

Na koniec warto wyjaśnić kilka popularnych pomyłek związanych z nazwą. Wyszukiwarka Shodan nie ma nic wspólnego z postacią złowrogiej sztucznej inteligencji SHODAN z serii gier komputerowych System Shock 7. Nie jest też powiązana z polską stroną shodan.pl, która dotyczy stopni w japońskiej sztuce walki Ju-Jitsu 8. Samo słowo „shodan” (初段) w japońskich sztukach walki, takich jak kendo czy karate, oznacza po prostu pierwszy stopień mistrzowski (pierwszy dan) 9. W kontekście naszego poradnika mówimy wyłącznie o wyszukiwarce urządzeń pod adresem shodan.io.

Pierwsze Kroki z Shodanem: Rejestracja i Podstawowe Funkcje

Choć Shodan pozwala na wykonywanie podstawowych zapytań bez logowania, założenie darmowego konta jest pierwszym i kluczowym krokiem, który znacząco rozszerza możliwości. Bez konta widzisz tylko niewielki ułamek wyników i nie masz dostępu do podstawowych filtrów. Rejestracja jest prosta i odblokowuje funkcje niezbędne do efektywnego korzystania z platformy. Dzięki niej możesz zacząć na poważnie eksplorować miliardy urządzeń podłączonych do internetu, które indeksuje Shodan 3. Proces zakładania konta jest standardowy i nie zajmuje więcej niż kilka minut.

Proces rejestracji krok po kroku:

  1. Odwiedź stronę główną Shodan.io.
  2. Kliknij przycisk „Create Account” lub „Sign Up” w prawym górnym rogu.
  3. Wypełnij formularz, podając nazwę użytkownika, adres e-mail i hasło.
  4. Potwierdź swój adres e-mail, klikając w link aktywacyjny wysłany na Twoją skrzynkę.
  5. Po aktywacji możesz zalogować się na swoje nowe konto i rozpocząć pracę.

Po zalogowaniu się na darmowe konto szybko zauważysz różnicę. Najważniejszą jest dostęp do filtrów wyszukiwania (które szczegółowo omówimy w kolejnej sekcji) oraz możliwość przeglądania większej liczby wyników – zazwyczaj do dwóch stron, czyli 20 rekordów. Konto darmowe jest idealne do nauki i sporadycznych poszukiwań. Jednak do prowadzenia dogłębnych analiz, monitoringu czy projektów badawczych niezbędne staje się konto płatne, które znosi większość ograniczeń .

FunkcjaKonto darmoweKonto płatne (Membership)
Liczba wynikówDo 20 (2 strony)Bez limitu
Filtry wyszukiwaniaPodstawowe (np. country, port)Wszystkie filtry dostępne
Eksport danychNiedostępnyDostępny (do 1 miliona wyników)
Dostęp do APIOgraniczony (Query Credits)Znacznie rozszerzony (Scan/Query Credits)
Alerty (Shodan Monitor)1 monitorowany adres IPDo 32 monitorowanych adresów IP
Dostęp do Shodan MapsOgraniczonyPełny

Główny interfejs Shodana jest minimalistyczny i skupiony na centralnie umieszczonym pasku wyszukiwania. Po lewej stronie wyników znajdziesz panel podsumowujący, który agreguje dane: najpopularniejsze usługi (porty), organizacje (dostawcy internetu), systemy operacyjne czy produkty. To potężne narzędzie do szybkiej analizy znalezionych urządzeń. Każdy wynik na liście głównej przedstawia adres IP, kraj pochodzenia, dostawcę internetu oraz, co najważniejsze, tzw. banner. Banner to fragment danych tekstowych, które urządzenie wysyła w odpowiedzi na próbę połączenia. Zawiera on kluczowe informacje, takie jak nazwa i wersja oprogramowania serwera (np. Apache/2.4.52), co jest podstawą do dalszej identyfikacji i analizy bezpieczeństwa.

Aby oswoić się z działaniem wyszukiwarki, zacznij od prostych zapytań, wpisując w pasek wyszukiwania ogólne terminy. Nie potrzebujesz na tym etapie skomplikowanych filtrów. Spróbuj wpisać webcam aby zobaczyć publicznie dostępne kamery internetowe, apache by znaleźć serwery WWW działające na tym popularnym oprogramowaniu, lub MikroTik w poszukiwaniu routerów tego producenta. Takie proste wyszukiwania dadzą Ci pierwsze pojęcie o tym, jak różnorodne urządzenia są podłączone do sieci i jakie informacje o nich można uzyskać, zanim jeszcze zagłębimy się w zaawansowane techniki filtrowania.

Składnia Zapytań Shodana: Opanuj Filtry

Shodan bez filtrów jest jak ocean bez mapy – ogromny i przytłaczający. Prawdziwa moc tej wyszukiwarki tkwi w precyzyjnym zadawaniu pytań za pomocą specjalnych poleceń zwanych filtrami. Opanowanie ich składni to klucz do efektywnego znajdowania interesujących nas urządzeń. Filtr pozwala zawęzić wyniki wyszukiwania do konkretnego kraju, otwartego portu, działającej usługi czy nawet wersji oprogramowania . Każde zapytanie w Shodanie budujemy w prostym schemacie: filtr:wartość.

Podstawą pracy z Shodanem jest znajomość najważniejszych filtrów, które pozwalają precyzyjnie określić cel poszukiwań. Poniższa tabela przedstawia listę kluczowych filtrów wraz z ich opisem i praktycznym przykładem użycia. Zapamiętanie ich pozwoli Ci swobodnie poruszać się po zasobach wyszukiwarki i konstruować skuteczne zapytania 10.

FiltrOpisPrzykład użycia
countryOgranicza wyniki do urządzeń w danym kraju (użyj dwuliterowego kodu ISO).country:PL
portWyszukuje urządzenia z otwartym konkretnym portem TCP/IP.port:22 (dla usługi SSH)
serviceZnajduje urządzenia, na których działa określona usługa (np. FTP, HTTP).service:ftp
hostnameFiltruje po nazwie hosta, czyli domenie lub subdomenie.hostname:.gov.pl
orgWyszukuje urządzenia należące do konkretnej organizacji (np. dostawcy internetu).org:"Orange Polska"
osFiltruje po systemie operacyjnym zidentyfikowanym na urządzeniu.os:"Windows Server 2019"
productZnajduje konkretny produkt (np. model serwera, oprogramowanie).product:"Apache httpd"
versionWyszukuje konkretną wersję znalezionego produktu.version:1.1.2

Najprostszą i najczęstszą metodą jest łączenie kilku filtrów w jednym zapytaniu. Shodan domyślnie traktuje spację między filtrami jak operator AND, co oznacza, że wszystkie warunki muszą być spełnione jednocześnie. Na przykład, aby znaleźć serwery WWW (działające na standardowym porcie 80) zlokalizowane w Polsce, które działają na oprogramowaniu Apache, wpiszemy: country:PL port:80 product:"Apache httpd". Zwróć uwagę na cudzysłów – jest on niezbędny, gdy wartość filtra, jak nazwa produktu czy organizacji, zawiera spacje.

Możemy również wykluczać wyniki z naszych poszukiwań. Służy do tego znak minus (-) postawiony bezpośrednio przed filtrem, który chcemy zanegować. Jeśli chcielibyśmy znaleźć wszystkie serwery bazodanowe MySQL w Polsce, ale wykluczyć te należące do popularnego dostawcy hostingu OVH, nasze zapytanie wyglądałoby tak: country:PL product:"MySQL" -org:"OVH". Ta prosta funkcja pozwala na błyskawiczne odfiltrowanie nieistotnych lub zbyt licznych wyników, co znacząco przyspiesza analizę.

Zobaczmy, jak zbudować zapytanie krok po kroku, aby zidentyfikować potencjalnie niezabezpieczone kamery przemysłowe w Polsce. Wiele z nich transmituje obraz za pomocą protokołu RTSP (Real-Time Streaming Protocol), który standardowo działa na porcie 554.

  1. Krok 1: Zawężenie geograficzne. Zaczynamy od ograniczenia wyników do Polski: country:PL
  2. Krok 2: Dodanie portu. Szukamy urządzeń z otwartym portem charakterystycznym dla streamingu wideo: country:PL port:554
  3. Krok 3: Wyszukanie słowa kluczowego. Możemy spróbować zawęzić wyniki do urządzeń, które w swoim banerze (informacji powitalnej zwracanej przez usługę) zawierają słowo „webcam” lub „camera”. Wpisujemy je bez filtra, co powoduje przeszukanie całej treści banera: country:PL port:554 webcam
  4. Krok 4: Sprecyzowanie producenta. Aby uzyskać jeszcze bardziej precyzyjne wyniki, możemy poszukać urządzeń konkretnego producenta, np. Hikvision: country:PL product:"Hikvision"

Ten proces iteracyjnego budowania zapytań jest podstawą skutecznego researchu w Shodanie. Zaczynając od ogólnego filtra i stopniowo dodając kolejne, bardziej szczegółowe warunki, możemy precyzyjnie dotrzeć do poszukiwanych urządzeń.

Wyszukiwanie w Polsce: ‘country:PL’ i Co Dalej?

Gdy opanujesz już podstawowe filtry, czas skierować skanery Shodana na polski internet. Podstawowym i najważniejszym narzędziem do tego celu jest filtr country:PL. Wpisanie go w pasek wyszukiwania instruuje Shodana, aby ograniczył wyniki wyłącznie do urządzeń, których adresy IP zostały zidentyfikowane jako należące do puli adresowej przypisanej do Polski. Po wykonaniu zapytania zobaczysz nie tylko listę znalezionych hostów, ale przede wszystkim niezwykle przydatny panel podsumowania po lewej stronie. Znajdziesz tam zagregowane dane: liczbę wszystkich wyników (często idącą w miliony), listę najpopularniejszych organizacji (dostawców internetu jak Orange Polska, UPC, Netia), najczęściej otwarte porty (czyli „bramy” do usług na urządzeniu) oraz najpopularniejsze produkty (oprogramowanie serwerowe, modele routerów itp.). To pierwszy, ogólny obraz polskiej cyberprzestrzeni widzianej oczami Shodana.

Samo wyszukiwanie po kraju to jednak dopiero początek. Prawdziwa siła Shodana leży w łączeniu filtrów, co pozwala na drastyczne zawężenie wyników i odnalezienie dokładnie tego, czego szukasz . Filtr country:PL staje się wtedy fundamentem, do którego dodajesz kolejne kryteria. Chcesz znaleźć wszystkie serwery WWW w Polsce? A może interesują Cię tylko kamery przemysłowe w konkretnym mieście? Kombinacje filtrów pozwalają zadawać tak precyzyjne pytania. Każdy dodany filtr działa jak sito, które odsiewa nieistotne wyniki, pozostawiając tylko te spełniające wszystkie podane warunki. Dzięki temu zamiast milionów anonimowych adresów IP, otrzymujesz czytelną, konkretną listę interesujących Cię urządzeń.

Zobaczmy, jak to wygląda w praktyce. Poniższe przykłady pokazują, jak krok po kroku zawężać poszukiwania w polskim internecie:

  • Wyszukiwanie serwerów webowych: country:PL port:80 To zapytanie znajdzie wszystkie urządzenia w Polsce, które mają otwarty port 80. Jest to standardowy port dla protokołu HTTP, używanego do przesyłania stron internetowych bez szyfrowania. W wynikach znajdziesz nie tylko publiczne strony WWW, ale też panele logowania do routerów, drukarek sieciowych czy systemów zarządzania budynkiem.

  • Wyszukiwanie konkretnego oprogramowania: country:PL product:"Apache" Filtr product pozwala szukać urządzeń z zainstalowanym konkretnym oprogramowaniem, które Shodan był w stanie zidentyfikować na podstawie tzw. bannera – czyli informacji, jaką urządzenie samo o sobie przedstawia. Apache to jedno z najpopularniejszych na świecie oprogamowań dla serwerów WWW, a to zapytanie pokaże wszystkie jego instancje wykryte w Polsce.

  • Wyszukiwanie w konkretnym mieście i organizacji: country:PL city:"Krakow" org:"UPC Polska" Możesz połączyć filtr kraju z miastem (city) i organizacją (org), która najczęściej jest dostawcą usług internetowych (ISP). To zapytanie pokaże wszystkie urządzenia zidentyfikowane w Krakowie, podłączone do sieci UPC.

  • Wyszukiwanie potencjalnie niezabezpieczonych baz danych: country:PL port:27017 -authentication To bardziej zaawansowany przykład. Szuka on w Polsce urządzeń z otwartym portem 27017, który jest domyślnym portem dla baz danych MongoDB. Dodatkowy człon -authentication (znak minusa oznacza negację) próbuje wykluczyć te serwery, które w swoim bannerze informują o włączonym uwierzytelnianiu, co może wskazywać na instancje dostępne bez hasła.

Należy jednak pamiętać o ograniczeniach geolokalizacji. Informacja o kraju pochodzi z baz danych mapujących adresy IP na lokalizacje geograficzne, które nie zawsze są w 100% dokładne. Adres IP zarejestrowany w Polsce może w rzeczywistości być używany przez serwer wirtualny (VPS) zlokalizowany w niemieckiej serwerowni lub przez użytkownika korzystającego z usługi VPN z polskim punktem wyjściowym. Ponadto, dane w Shodanie nie są obrazem w czasie rzeczywistym, a migawką z ostatniego skanowania. Urządzenie widoczne dzisiaj, jutro może być już wyłączone lub mieć inny adres IP. Traktuj więc wyniki jako cenną wskazówkę, a nie niepodważalny fakt.

Co Znajdziesz w Polsce? Typowe Urządzenia i Usługi

Po zawężeniu wyszukiwania do Polski za pomocą filtra country:PL, Shodan odsłania fascynujący przekrój krajowej infrastruktury cyfrowej. Znajdziesz tu wszystko, od domowych routerów po krytyczne systemy przemysłowe 1. Kluczem do zrozumienia tych wyników jest umiejętność rozpoznawania usług działających na konkretnych portach. Port to cyfrowy „kanał” komunikacyjny, który pozwala komputerom na jednoczesne prowadzenie wielu rozmów przez sieć. Każda usługa, jak strona internetowa czy zdalny pulpit, nasłuchuje na przypisanym jej numerze portu. Shodan skanuje internet w poszukiwaniu urządzeń z otwartymi portami, a następnie identyfikuje działające na nich usługi . Dzięki temu, używając odpowiednich filtrów, możemy precyzyjnie namierzać interesujące nas cele .

Najczęściej Spotykane Porty i Usługi

Analizując wyniki dla Polski, szybko zauważysz, że pewne porty pojawiają się znacznie częściej niż inne. Są one bramą do najpopularniejszych usług internetowych. Poniższa tabela przedstawia te najczęściej spotykane, wraz z ich przeznaczeniem i przykładowymi zapytaniami, które pozwolą Ci je odnaleźć.

PortUsługaOpis i Potencjalne RyzykoPrzykładowe Zapytanie w Shodan
80, 443HTTP, HTTPSProtokół do przesyłania stron WWW. Port 80 (HTTP) jest nieszyfrowany, port 443 (HTTPS) używa szyfrowania SSL/TLS. To najczęściej spotykane otwarte porty, prowadzące do serwerów webowych.country:PL port:80,443 product:"nginx"
21FTP (File Transfer Protocol)Służy do przesyłania plików. W podstawowej wersji jest nieszyfrowany, co oznacza, że loginy i hasła przesyłane są otwartym tekstem. Wiele serwerów FTP pozwala na anonimowy dostęp.country:PL port:21 "220 Welcome"
22SSH (Secure Shell)Szyfrowany protokół do zdalnego zarządzania serwerami i urządzeniami sieciowymi. Jest standardem w bezpiecznej administracji, ale błędnie skonfigurowany może być wektorem ataku.country:PL port:22 "SSH-2.0-OpenSSH"
23TelnetPrzestarzały, nieszyfrowany poprzednik SSH. Każda informacja, w tym dane logowania, jest przesyłana otwartym tekstem. Znalezienie otwartego portu 23 jest poważnym sygnałem ostrzegawczym.country:PL port:23
3389RDP (Remote Desktop Protocol)Protokół Microsoftu umożliwiający graficzny, zdalny dostęp do pulpitu systemu Windows. Często jest celem ataków typu brute-force, jeśli nie jest odpowiednio zabezpieczony.country:PL port:3389

Kategorie Urządzeń w Polskim Internecie

Poza samymi usługami, Shodan pozwala kategoryzować znalezione urządzenia. Wpisując country:PL, natrafisz głównie na trzy grupy sprzętu:

  1. Serwery i Urządzenia Sieciowe: To trzon internetu. Znajdziesz tu tysiące serwerów webowych (np. Apache, Nginx), serwerów pocztowych (np. Postfix, Exim) oraz baz danych (MySQL, PostgreSQL). Polska sieć jest również pełna routerów i przełączników, z ogromną popularnością urządzeń marki MikroTik.

    • Przykład: Aby znaleźć serwery Nginx w Polsce, użyj zapytania: country:PL product:"nginx"
    • Przykład: Aby zlokalizować urządzenia MikroTik, wpisz: country:PL org:"MikroTik"

  2. Urządzenia IoT (Internet Rzeczy): Ta kategoria obejmuje wszystko, od publicznie dostępnych kamer internetowych, przez systemy inteligentnego domu, po domowe routery z domyślnymi ustawieniami. Szczególnie często można natrafić na kamery IP, które przez błąd konfiguracji transmitują obraz do publicznego internetu. Można je znaleźć, szukając charakterystycznych dla nich tytułów stron lub oprogramowania.

    • Przykład: Wyszukiwanie kamer z popularnym oprogramowaniem: country:PL http.title:"webcamXP"

  3. Systemy Sterowania Przemysłowego (ICS/SCADA): To najbardziej wrażliwa kategoria urządzeń. Systemy ICS/SCADA zarządzają procesami w infrastrukturze krytycznej, takiej jak elektrownie, wodociągi czy linie produkcyjne. Ich obecność w publicznym internecie jest niemal zawsze wynikiem poważnego błędu konfiguracyjnego. Shodan potrafi identyfikować protokoły używane w automatyce przemysłowej, takie jak Modbus (port 502) czy S7 (port 102).

    • Przykład: Wyszukiwanie urządzeń potencjalnie używających protokołu Modbus: country:PL port:502

Przeglądając te wyniki, otrzymujesz unikalny wgląd w cyfrowy krajobraz Polski – od serwerowni hostingowych, przez nasze domy, aż po strategiczne obiekty przemysłowe. To potężna wiedza, która w następnym kroku pozwoli nam zidentyfikować konkretne zagrożenia.

Identyfikacja Zagrożeń: Domyślne Hasła i Luki Bezpieczeństwa

Poza zwykłą inwentaryzacją, prawdziwa moc Shodana dla każdego entuzjasty cyberbezpieczeństwa leży w jego zdolności do identyfikacji potencjalnych zagrożeń. To właśnie ta funkcjonalność sprawia, że jest on nieocenionym narzędziem w rękach zarówno etycznych hakerów, jak i administratorów systemów. Shodan pozwala na szybkie wykrywanie dwóch najczęstszych i jednocześnie najbardziej niebezpiecznych typów słabości: urządzeń zabezpieczonych domyślnymi danymi logowania oraz systemów z publicznie znanymi, lecz niezaopiekowanymi lukami bezpieczeństwa. Wiedza o tym, jak szukać takich punktów, jest kluczowa do zrozumienia realnego krajobrazu zagrożeń w polskim internecie 6.

Wyszukiwanie Domyślnych Haseł

Jednym z największych grzechów w konfiguracji urządzeń podłączonych do sieci jest pozostawienie domyślnych, fabrycznych danych logowania. Są one publicznie znane, często zawarte w instrukcji obsługi, a co za tym idzie – stanowią otwartą furtkę dla każdego, kto je znajdzie. Shodan potrafi wyszukiwać urządzenia, których banery (informacje tekstowe wysyłane przez usługę) zawierają frazy sugerujące użycie domyślnych poświadczeń.

Przykładowe zapytania:

  • country:PL "default password": To podstawowe zapytanie, które szuka w Polsce urządzeń, w których odpowiedzi pojawia się dokładna fraza „default password”. Często są to ekrany logowania, które wprost informują użytkownika o konieczności zmiany hasła.
  • country:PL "admin" "1234": Bardziej specyficzne zapytanie, które może ujawnić urządzenia, gdzie w odpowiedzi pojawiają się jednocześnie domyślny login „admin” i fragment domyślnego hasła.
  • country:PL product:"CCTV" "default credentials": To zapytanie jest już bardzo ukierunkowane. Szukamy w Polsce urządzeń zidentyfikowanych jako kamery przemysłowe (CCTV), które w swojej odpowiedzi zawierają frazę „default credentials”. Wyniki mogą prowadzić bezpośrednio do paneli zarządzania kamerami, które nie zostały prawidłowo zabezpieczone.

Znalezienie takiego urządzenia to sygnał alarmowy. Oznacza, że potencjalnie każdy, kto zna domyślne hasło do danego modelu, może uzyskać do niego dostęp.

Identyfikacja Znanych Podatności (CVE)

Drugim filarem identyfikacji zagrożeń jest wyszukiwanie urządzeń z oprogramowaniem, w którym odkryto luki bezpieczeństwa. Każda publicznie ujawniona podatność otrzymuje unikalny identyfikator w formacie CVE (Common Vulnerabilities and Exposures), np. CVE-2021-44228 (słynna luka Log4Shell). Shodan nie tylko indeksuje wersje oprogramowania działającego na urządzeniach, ale także posiada wbudowaną bazę podatności i potrafi oznaczać systemy, które są na nie narażone .

Do wyszukiwania podatności służy potężny filtr vuln:

  • country:PL vuln:CVE-2021-44228: To zapytanie pokaże wszystkie zindeksowane przez Shodana urządzenia w Polsce, które zostały zidentyfikowane jako podatne na lukę Log4Shell.
  • country:PL product:"Apache Tomcat" vuln:CVE-2020-1938: W ten sposób znajdziemy serwery Apache Tomcat w Polsce, które są podatne na konkretną lukę „Ghostcat”.

Shodan często automatycznie dodaje sekcję „Vulnerabilities” do wyników dla danego hosta, nawet jeśli nie użyjemy filtra vuln. Wystarczy, że wersja oprogramowania wykryta na danym porcie będzie pasowała do wpisu w bazie CVE.

FiltrPrzykład UżyciaCo Znajduje
"default password"country:PL "default password"Urządzenia wprost informujące o domyślnym haśle.
http.titlecountry:PL http.title:"D-Link Router"Urządzenia z konkretnym tytułem strony, np. panele routerów.
vulncountry:PL vuln:CVE-2017-7921Urządzenia z konkretną, zidentyfikowaną luką bezpieczeństwa.
productcountry:PL product:"MikroTik RouterOS"Urządzenia konkretnego producenta, co ułatwia szukanie podatności.

Interpretacja Wyników i Odpowiedzialne Działanie

Odnalezienie podatnego urządzenia w Shodanie to dopiero początek. Kluczowe jest to, co zrobisz z tą informacją.

  1. Jeśli to Twoje urządzenie: Działaj natychmiast. Zmień domyślne hasło, zaktualizuj oprogramowanie do najnowszej wersji, a jeśli to możliwe, schowaj urządzenie za firewallem i ogranicz dostęp z publicznego internetu.
  2. Jeśli to urządzenie obce: Pamiętaj o etyce. Nigdy nie próbuj się logować ani wykorzystywać znalezionej luki. Takie działanie jest nielegalne. Zamiast tego postępuj zgodnie z zasadami odpowiedzialnego ujawniania (responsible disclosure):
    • Spróbuj zidentyfikować właściciela (np. na podstawie nazwy domeny, informacji w banerze) i poinformuj go prywatnie o zagrożeniu.
    • Jeśli nie możesz znaleźć właściciela, zgłoś problem do polskiego zespołu reagowania na incydenty – CERT Polska (NASK). To ich zadaniem jest koordynacja takich zgłoszeń.

Zdolność Shodana do szybkiego mapowania słabych punktów sprawia, że jest on fundamentalnym narzędziem w arsenale specjalistów od bezpieczeństwa. Jest powszechnie wykorzystywany w testach penetracyjnych (pentestach) do fazy rekonesansu oraz w ramach białego wywiadu (OSINT) do oceny cyfrowego śladu i potencjalnych wektorów ataku na daną organizację 5.

Shodan w Praktyce: Scenariusze Użycia dla Bezpieczeństwa i OSINT

Teoretyczna znajomość filtrów to jedno, ale prawdziwa siła Shodana ujawnia się dopiero w praktycznym działaniu. To narzędzie jest nieocenione w dwóch kluczowych dziedzinach: proaktywnym zabezpieczaniu własnej infrastruktury oraz w procesie białego wywiadu (OSINT). Specjaliści ds. bezpieczeństwa używają go do uzyskania „widoku z zewnątrz” na swoją sieć, podczas gdy analitycy OSINT i pentesterzy wykorzystują go do mapowania cyfrowego śladu celu 5. W obu przypadkach kluczem jest kreatywne łączenie filtrów w celu uzyskania precyzyjnych i użytecznych informacji.

Scenariusz 1: Audyt bezpieczeństwa własnej firmy

Wyobraź sobie, że jesteś administratorem w firmie „Przykładowa Spółka” i chcesz sprawdzić, co z Twojej infrastruktury sieciowej jest widoczne publicznie w internecie. Twoim zadaniem jest upewnienie się, że na zewnątrz wystawione są tylko te usługi, które powinny być, czyli głównie serwer WWW na portach 80 i 443. Shodan pozwala Ci przeprowadzić taki audyt w kilka minut.

  1. Identyfikacja zasobów: Najpierw musisz zidentyfikować zakres adresów IP (jeśli go znasz) lub nazwę organizacji zarejestrowaną w bazach WHOIS.
    • Zapytanie z użyciem filtra net: net:89.161.0.0/16 (to przykładowy zakres, musisz użyć własnego).
    • Zapytanie z użyciem filtra org: org:"Przykładowa Spolka S.A." country:PL
  2. Wykrywanie nieautoryzowanych usług: Teraz możesz wyszukać wszystkie usługi, które nie są standardowymi usługami webowymi. Użyjesz do tego operatora - (minus), aby wykluczyć porty 80 i 443.
    • Zapytanie: org:"Przykładowa Spolka S.A." country:PL -port:80,443
  3. Analiza wyników: Wynik takiego zapytania może Cię zaskoczyć. Być może znajdziesz zapomniany serwer FTP na porcie 21, testową bazę danych MySQL na porcie 3306, albo panel do zdalnego zarządzania serwerem (np. RDP na porcie 3389). Każde takie znalezisko to potencjalna luka, którą należy natychmiast załatać lub schować za firmowym VPN-em. W ten sposób Shodan pomaga chronić infrastrukturę przed zagrożeniami, zanim odkryją je cyberprzestępcy 6.

Scenariusz 2: Biały wywiad (OSINT) na temat celu

Shodan to kopalnia złota dla analityków OSINT, którzy zbierają informacje o firmach z publicznie dostępnych źródeł. Załóżmy, że chcesz dowiedzieć się jak najwięcej o technologiach używanych przez firmę „Cel-Analizy.pl”.

  1. Mapowanie domeny: Zaczynasz od znalezienia wszystkich serwerów powiązanych z domeną celu. Filtr hostname jest tu idealny.
    • Zapytanie: hostname:"cel-analizy.pl"
  2. Identyfikacja technologii: Gdy masz już listę serwerów, możesz zagłębić się w szczegóły. Chcesz wiedzieć, jakiego oprogramowania serwerowego używają? Użyj filtrów product lub http.component.
    • Zapytanie: hostname:"cel-analizy.pl" product:"nginx" – sprawdzi, czy firma używa serwerów Nginx.
    • Zapytanie: hostname:"cel-analizy.pl" http.component:"WordPress" – zidentyfikuje strony oparte na popularnym systemie CMS WordPress.
  3. Odkrywanie powiązanych zasobów: Czasem najciekawsze informacje kryją się w certyfikatach SSL. Jeden certyfikat może zabezpieczać wiele różnych domen i subdomen należących do tej samej organizacji.
    • Zapytanie: ssl:"cel-analizy.pl" – to zapytanie pokaże nie tylko główną stronę, ale też np. poczta.cel-analizy.pl, panel.cel-analizy.pl czy dev.cel-analizy.pl, odkrywając przed Tobą znacznie szerszy obraz infrastruktury firmy.

Poniższa tabela przedstawia kilka dodatkowych, praktycznych zapytań, które możesz wykorzystać w swoich poszukiwaniach.

CelPrzykładowe Zapytanie ShodanaWyjaśnienie
Znalezienie kamer przemysłowych w Polscetag:webcam country:PL http.title:"Live View"Szuka urządzeń oznaczonych jako kamery, które w tytule strony mają frazę „Live View”, często używaną w panelach podglądu.
Identyfikacja niezabezpieczonych baz MongoDBproduct:"MongoDB" port:27017 country:PL -authenticationWyszukuje serwery bazy danych MongoDB na domyślnym porcie, które nie wymagają uwierzytelnienia do połączenia.
Wyszukiwanie paneli sterowania systemów SCADAhttp.title:"scada" country:PLPróba zlokalizowania interfejsów webowych systemów kontroli przemysłowej (SCADA), które mogą być omyłkowo wystawione do internetu.
Lokalizacja serwerów z konkretną luką (CVE)vuln:CVE-2021-44228 country:PLZnajduje urządzenia w Polsce, które Shodan zidentyfikował jako podatne na krytyczną lukę Log4Shell (wymaga płatnego planu).

Etyka i Bezpieczne Korzystanie z Shodana

Shodan, podobnie jak wiele potężnych narzędzi, jest mieczem obosiecznym. W rękach specjalisty ds. bezpieczeństwa (tzw. „white hat”) służy do audytowania własnej infrastruktury, badania globalnych trendów i identyfikowania słabości w celu ich naprawy. W rękach cyberprzestępcy („black hat”) staje się mapą prowadzącą do łatwych celów. Zrozumienie granicy między etycznym a nielegalnym działaniem jest absolutnie kluczowe dla każdego, kto korzysta z tej wyszukiwarki. Twoim zadaniem jest używanie jej wyłącznie w sposób odpowiedzialny i zgodny z prawem, a ta sekcja wyjaśni, jak to robić.

Podstawowa zasada jest prosta: przeglądanie jest legalne, interakcja bez zgody – nie. Shodan indeksuje publicznie dostępne informacje, tzw. banery usług. Są to metadane, które serwery, routery czy kamery same wysyłają w świat, anonsując swoją obecność i konfigurację. Samo przeglądanie tych danych w Shodanie jest jak spacer po publicznej ulicy i patrzenie na fasady budynków – widzisz, które drzwi wyglądają na słabe, ale ich nie dotykasz. Przekroczenie granicy następuje w momencie, gdy próbujesz wejść w interakcję ze znalezionym urządzeniem. Próba zalogowania się, nawet przy użyciu domyślnego hasła typu admin:admin, jest już traktowana jako nieautoryzowana próba uzyskania dostępu do systemu informatycznego. W Polsce jest to przestępstwo ścigane z Art. 267 Kodeksu Karnego, zagrożone karą grzywny, ograniczenia wolności lub pozbawienia wolności do lat 2. Pamiętaj: to, że drzwi są otwarte, nie oznacza, że masz zaproszenie do wejścia.

Co jednak zrobić, gdy podczas swoich poszukiwań natrafisz na krytyczną lukę w zabezpieczeniach polskiej firmy, szpitala czy instytucji publicznej? Etycznym i właściwym postępowaniem jest tzw. odpowiedzialne ujawnianie (ang. Responsible Disclosure). Zamiast publikować informację o luce w internecie lub ją ignorować, powinieneś podjąć próbę poinformowania właściciela systemu. Proces ten wygląda następująco:

  1. Identyfikacja właściciela: Spróbuj ustalić, do kogo należy dany adres IP lub domena (np. za pomocą narzędzi WHOIS).
  2. Prywatny kontakt: Znajdź oficjalny kanał kontaktu (adres e-mail typu security@... lub ogólny adres biura) i w prywatnej wiadomości, w sposób neutralny i rzeczowy, opisz swoje znalezisko. Nie żądaj nagrody i nie formułuj komunikatu w tonie groźby.
  3. Daj czas na reakcję: Daj administratorom rozsądny czas na naprawienie błędu (standardowo przyjmuje się 30-90 dni).
  4. Ujawnienie (opcjonalne): Dopiero po naprawieniu luki lub po bezskutecznym upływie ustalonego czasu możesz rozważyć upublicznienie technicznych szczegółów, jeśli ma to wartość dla społeczności bezpieczeństwa.

Równie ważne, jak etyczne korzystanie z Shodana, jest zabezpieczenie własnych urządzeń przed pojawieniem się w jego wynikach w niekorzystnym świetle 11. Wiedza o tym, jak działa Shodan, pozwala Ci zmniejszyć swój cyfrowy ślad i powierzchnię ataku. Oto podstawowe kroki, które powinieneś podjąć, aby chronić swoją sieć domową i firmową:

  • Zmień domyślne hasła: To absolutna podstawa. Każde urządzenie z dostępem do sieci – router, kamera IP, drukarka, serwer NAS – musi mieć zmienione domyślne dane logowania.
  • Wyłączaj niepotrzebne usługi: Jeśli nie korzystasz aktywnie ze zdalnego pulpitu (RDP), serwera FTP czy panelu administracyjnego dostępnego z internetu, wyłącz te usługi. Każda włączona usługa to potencjalne drzwi dla intruza.
  • Konfiguruj zaporę sieciową (firewall): Twój router posiada wbudowaną zaporę. Upewnij się, że jest włączona i blokuje wszystkie przychodzące połączenia na portach, które nie muszą być publicznie dostępne.
  • Regularnie aktualizuj oprogramowanie: Aktualizacje często zawierają poprawki krytycznych luk bezpieczeństwa. Utrzymywanie aktualnego oprogramowania na wszystkich urządzeniach (od routera po serwer) to jeden z najskuteczniejszych sposobów ochrony.

Zaawansowane Funkcje Shodana: API, Eksport Danych i Raporty

Gdy opanujesz już interfejs webowy i filtry, Shodan odkrywa przed Tobą swój prawdziwy potencjał w postaci narzędzi dla zaawansowanych użytkowników. Funkcje te, najczęściej dostępne w ramach płatnych subskrypcji , przekształcają Shodana z wyszukiwarki w potężną platformę do automatyzacji, analizy danych i ciągłego monitoringu. Pozwalają one wyjść poza ręczne wyszukiwanie i zintegrować moc Shodana z własnymi procesami i narzędziami.

Shodan API: Zautomatyzuj Swoje Wyszukiwania

Najważniejszym narzędziem zaawansowanym jest API Shodana (Interfejs Programowania Aplikacji). W najprostszych słowach, jest to brama, która pozwala Twoim własnym programom i skryptom komunikować się bezpośrednio z bazą danych Shodana, z pominięciem strony internetowej. Otwiera to drogę do niemal nieograniczonych możliwości:

  • Automatyzacja: Możesz napisać skrypt, który codziennie o 6 rano sprawdza, czy w Twojej sieci firmowej nie pojawiły się nowe, niezabezpieczone usługi.
  • Integracja: Możesz połączyć Shodana z innymi narzędziami, np. systemem SIEM (Security Information and Event Management), aby wzbogacać alerty o dane kontekstowe dotyczące atakującego adresu IP.
  • Masowe analizy: Możesz pobrać dane o tysiącach urządzeń spełniających określone kryteria i przeprowadzić na nich własne, dogłębne analizy statystyczne.

Każde konto (nawet darmowe) posiada unikalny klucz API. Użycie go w prostym skrypcie, np. w języku Python, jest bardzo łatwe. Poniższy przykład wyszukuje wszystkie serwery Apache w Polsce i wyświetla ich adresy IP oraz porty:

import shodan

# Pamiętaj, aby podmienić 'TWOJ_KLUCZ_API' na własny klucz
SHODAN_API_KEY = "TWOJ_KLUCZ_API"
api = shodan.Shodan(SHODAN_API_KEY)

try:
    # Wyszukaj serwery Apache w Polsce
    results = api.search('country:PL product:"Apache httpd"')

    # Wyświetl liczbę znalezionych urządzeń
    print(f"Znaleziono wyników: {results['total']}")

    # Przejdź przez każdy wynik i wyświetl IP oraz port
    for result in results['matches']:
        print(f"IP: {result['ip_str']}:{result['port']}")

except shodan.APIError as e:
    print(f"Wystąpił błąd: {e}")

Eksport Danych i Generowanie Raportów

Praca z danymi bezpośrednio w przeglądarce bywa niewygodna, zwłaszcza przy dużych zbiorach. Shodan umożliwia eksport wyników wyszukiwania do uniwersalnych formatów, co jest kluczowe dla dalszej analizy. Płatne plany pozwalają na pobieranie danych w formatach takich jak JSON, CSV czy XML.

FormatNajlepsze ZastosowaniePrzykład
JSONIntegracje programistyczne, import do baz danych NoSQL, skomplikowane skrypty analityczne.{"ip_str": "8.8.8.8", "port": 53, "data": "..."}
CSVArkusze kalkulacyjne (Excel, Google Sheets), prosta analiza w narzędziach BI, szybkie sortowanie i filtrowanie.8.8.8.8,53,"Google LLC",...

Oprócz surowego eksportu, Shodan oferuje funkcję generowania raportów. Zamiast listy pojedynczych urządzeń, raport jest gotowym, zagregowanym podsumowaniem wyników wyszukiwania. Po wpisaniu zapytania (np. country:PL), możesz jednym kliknięciem wygenerować dokument PDF, który zawiera czytelne wykresy i tabele przedstawiające m.in. 10 najpopularniejszych usług, systemów operacyjnych, organizacji czy najczęściej występujących luk w zabezpieczeniach (CVE) w danym zbiorze. To nieoceniona pomoc w szybkim tworzeniu podsumowań stanu bezpieczeństwa dla zarządu czy klienta.

Pozostałe Narzędzia: Shodan Monitor i Shodan Maps

Platforma Shodan to więcej niż tylko wyszukiwarka. Dwa szczególnie użyteczne narzędzia to Shodan Monitor i Shodan Maps.

  • Shodan Monitor: To Twój osobisty, cyfrowy stróż. Pozwala na zdefiniowanie zakresów adresów IP należących do Twojej organizacji (np. całej firmowej podsieci /24). Shodan będzie nieustannie skanował ten obszar i natychmiast powiadomi Cię e-mailem o wszelkich zmianach: pojawieniu się nowego urządzenia, otwarciu nowego portu na serwerze czy wykryciu nowej podatności. To proaktywne podejście do zarządzania powierzchnią ataku.
  • Shodan Maps: To narzędzie do wizualizacji danych. Każde urządzenie w bazie Shodana, które posiada informacje o geolokalizacji, może zostać naniesione na interaktywną mapę świata. Wpisując zapytanie country:PL webcam, możesz zobaczyć geograficzny rozkład znalezionych kamer na terenie Polski. Jest to nie tylko efektowne, ale również przydatne w analizach OSINT do zrozumienia fizycznej dystrybucji cyfrowych zasobów. Wizualizacja miliardów urządzeń 3 na mapie pozwala dostrzec trendy, których nie widać w tabelarycznych danych.

FAQ: Najczęściej Zadawane Pytania o Shodana

W tej sekcji zebraliśmy odpowiedzi na najczęściej pojawiające się pytania dotyczące wyszukiwarki Shodan. Jeśli dopiero zaczynasz swoją przygodę z tym narzędziem lub masz konkretne wątpliwości, to miejsce jest dla Ciebie.

Czy korzystanie z Shodana jest legalne?

Tak, samo przeglądanie danych w Shodanie jest całkowicie legalne. Narzędzie to działa na zasadzie pasywnego zbierania publicznie dostępnych informacji (tzw. bannerów), które urządzenia same rozgłaszają w internecie – podobnie jak wyszukiwarka Google indeksuje publiczne strony WWW. Działaniem nielegalnym staje się natomiast wykorzystywanie znalezionych informacji do podejmowania prób nieautoryzowanego dostępu, logowania się na cudze urządzenia czy przeprowadzania ataków. Kluczem jest używanie Shodana w sposób etyczny i odpowiedzialny, na przykład do audytowania własnej infrastruktury lub w celach badawczych 11.

Jak usunąć moje urządzenie z wyników wyszukiwania Shodana?

Shodan nie przechowuje danych na stałe i regularnie odświeża swoją bazę, skanując ponownie cały internet. Najskuteczniejszym sposobem na trwałe zniknięcie z jego wyników jest odpowiednie zabezpieczenie urządzenia. Oznacza to przede wszystkim zamknięcie niepotrzebnych portów na zaporze sieciowej (firewallu), skonfigurowanie silnego uwierzytelniania dla wszystkich usług i unikanie wystawiania wrażliwych interfejsów administracyjnych bezpośrednio do internetu. Gdy Shodan podczas kolejnego skanowania nie otrzyma odpowiedzi od Twojego urządzenia na danym porcie, stary wpis zostanie automatycznie usunięty z bazy.

Czy Shodan aktywnie „hakuje” urządzenia, żeby je znaleźć?

Absolutnie nie. Shodan nie jest narzędziem hakerskim i nie łamie żadnych zabezpieczeń. Jego działanie polega na wysyłaniu prostych, standardowych zapytań do wszystkich możliwych adresów IP w internecie. Jeśli na danym adresie jakieś urządzenie nasłuchuje na konkretnym porcie (np. serwer WWW na porcie 80), to odpowiada, przesyłając tzw. banner – czyli pakiet podstawowych informacji o sobie, takich jak nazwa i wersja oprogramowania. Shodan jedynie zbiera i kataloguje te publicznie udostępnione odpowiedzi, nie podejmując żadnych prób logowania czy eksploitacji 3.

Czy Shodan jest w stanie znaleźć każde urządzenie podłączone do internetu?

Nie, Shodan indeksuje tylko niewielki ułamek wszystkich urządzeń. Aby urządzenie zostało znalezione, musi spełniać dwa warunki: być bezpośrednio dostępne z publicznego internetu (posiadać publiczny adres IP) oraz mieć otwarty co najmniej jeden port, na którym działa usługa odpowiadająca na zapytania skanera. Ogromna większość urządzeń domowych (np. laptopy, smartfony) znajduje się za routerami w prywatnych sieciach (za tzw. NAT-em) i jest niewidoczna dla Shodana, o ile porty nie zostały celowo przekierowane. Dlatego Shodan znajduje głównie serwery, routery, kamery i inne urządzenia IoT celowo wystawione do sieci 1.

Jakie są koszty subskrypcji Shodana i czy darmowe konto wystarczy?

Shodan oferuje kilka poziomów dostępu, dopasowanych do różnych potrzeb. Darmowe konto pozwala na wykonanie ograniczonej liczby wyszukiwań i wyświetla tylko niewielką część wyników (zazwyczaj do 10-20), co wystarcza do podstawowego zapoznania się z narzędziem. Aby uzyskać pełen dostęp do wszystkich znalezionych urządzeń, korzystać z zaawansowanych filtrów, eksportować dane czy monitorować sieć, niezbędna jest płatna subskrypcja . Najpopularniejszą opcją dla entuzjastów i freelancerów jest jednorazowa opłata za konto „Lifetime Membership” (około 49 USD), podczas gdy firmy mogą wybierać spośród droższych planów z dostępem do API i większymi limitami.

Jakie są najpopularniejsze alternatywy dla Shodana?

Chociaż Shodan jest najbardziej znaną wyszukiwarką tego typu, nie jest jedyną. Na rynku istnieje kilka konkurencyjnych narzędzi, które często uzupełniają jego możliwości. Do najważniejszych alternatyw należą Censys, który specjalizuje się w dogłębnej analizie certyfikatów bezpieczeństwa (TLS/SSL) i konfiguracji serwerów, oraz ZoomEye, projekt chińskiej firmy Knownsec, który dysponuje ogromną bazą danych i bywa skuteczny w wyszukiwaniu urządzeń w regionie Azji. Profesjonaliści ds. bezpieczeństwa często korzystają z kilku tych narzędzi jednocześnie, aby uzyskać jak najpełniejszy obraz analizowanego celu.

Źródła

Zobacz też

Footnotes

  1. pillar — https://nflo.pl/baza-wiedzy/shodan-co-to-jest-jak-dziala-i-jak-pomaga/ ↩ ↩2 ↩3

  2. corroborating — https://nflo.pl/baza-wiedzy/shodan-co-to-jest-jak-dziala-i-jak-pomaga/ ↩

  3. corroborating — https://shodan.pl/stopnie-w-ju-jitsu-przewodnik-po-ranga-i-pasach/ ↩ ↩2 ↩3 ↩4

  4. corroborating — https://becyber.pl/shodan-wyszukiwarka-niebezpiecznych-urzadzen/ ↩

  5. corroborating — https://grajpopolsku.pl/forum/viewtopic.php?t=4378 ↩ ↩2 ↩3

  6. corroborating — https://btintelligence.pl/shodan-co-to-jest-i-jak-korzystac-bezpiecznie/ ↩ ↩2 ↩3

  7. corroborating — https://sportowy24.pl/hit-internetu-neymar-nie-dal-rady-z-wymowa-dziekuje-po-polsku-wideo/ar/c2-19138195 ↩

  8. corroborating — https://anime-odcinki.pl/anime/saikyou-no-ousama-nidome-no-jinsei-wa-nani-wo-suru-season-2/11/ ↩

  9. corroborating — https://www.kendo.olsztyn.pl/taxonomy/term/97 ↩

  10. corroborating — https://zloczyncy.fandom.com/wiki/SHODAN ↩

  11. corroborating — https://www.benchmark.pl/siri-ai-nie-mowi-po-polsku-ale-apple-potwierdza-ze-prace-trwaja-7296359260497952a ↩ ↩2