Из многих, в том числе не очень приличных значений довольно-таки жаргонного слова dork в сочетании Google dorks наиболее подходящим будет — глупости, оплошности, проколы. А само сочетание можно перевести как «поиск проколов» или «запросы на засыпку».
Самые разнообразные дорки широко используют хакеры в поиске открытых уязвимостей в расчете на то, что вебмастер по оплпшности и легкомыслию оставил важную информацию лежать в доступном месте, а Гугл её проиндексировал. И надо сказать, такой расчет оправдывается в довольно массовом порядке. Информацию о многочисленных дорках можно найти в гугловской Google Hacking Database (GHDB).
Google dorks для Вордпресса
В отношении Вордпресса одни из самых критичных сведений, а именно о параметрах доступа к базе данных, лежат в файле wp-config.php. Сам этот файл обычно защищен от доступа (хотя, и тут бывает всяко), но расчет злоумышленника основан на том, что его редактировали, причем на месте (как правило, в корневом каталоге), и делали это одним из текстовых редакторов, автоматически сохраняющих резервную копию редактируемого файла. Не стоит даже перечислять такие редакторы, их много, и большинство имеют функцию автосохранения. Далее происходит dork base, вебмастер забывает почистить мусор, или из-за низкой квалификации и не подозревает о его существовании. Осталось Гуглу проиндексировать резервные копии и предоставить информацию о них всем желающим.
В частности, это могут быть такие файлы (но возможны и другие):
wp-config.php~ #wp-config.php# wp-config.php.save .wp-config.php.swp wp-config.php.swp wp-config.php.swo wp-config.php_bak wp-config.bak wp-config.php.bak wp-config.save wp-config.old wp-config.php.old wp-config.php.orig wp-config.orig wp-config.php.original wp-config.original wp-config.txt
Как выглядит дорк? Вариантов много, но например, так:
inurl:wp-config -intext:wp-config "'DB_PASSWORD'"
Или так:
filetype:txt inurl:wp-config.txt
Можно пофантазировать.
Что делать вебмастеру? Или тщательно прибирать за собой, или воспользоваться директивой в .htaccess:
RedirectMatch 403 wp-config\.
Ну, или как-то так.
P.S. Занимаясь пентестингом конкретного сайта, можно без обращения к Гуглу просто проверить существование таких файлов.
P.P.S. На собственном сайте попытки доступа к таким файлам можно отслеживать и блокировать. Вряд ли благонамеренный посетитель станет обращаться к файлу wp-config.php.bak.
P.P.P.S. Многие дорки, не специфичные для Вордпресса, для вордпресс-сайтов тоже работают.