🛰️ Shodan 101: cercare tutto ciò che Google non mostra

📜 Nota legale e responsabilità etica

⚠️ Attenzione: questa guida ha scopo puramente educativo e informativo.

L’uso di Shodan per accedere, tentare l’accesso, alterare o interagire con dispositivi che non ti appartengono o che non ti sono stati esplicitamente affidati può costituire un reato ai sensi delle normative italiane ed europee (es. Art. 615-ter c.p. – accesso abusivo a un sistema informatico).

Consultare dati esposti pubblicamente non è illegale, ma interagire con sistemi altrui senza permesso sì.

Questa guida non incoraggia in alcun modo attività malevole o intrusione non autorizzata. Usare Shodan in modo responsabile significa:

• Verificare la propria infrastruttura e migliorare la sicurezza dei propri dispositivi.
• Studiare la superficie di attacco esposta in rete per fini difensivi o di ricerca.

Come in ogni campo della cybersecurity, l’etica viene prima della curiosità.

Introduzione

Google ci mostra quello che vogliamo vedere.
Shodan, invece, ci mostra quello che non dovremmo vedere.

Dove il primo indicizza pagine web, Shodan scandaglia il sottosuolo della rete — i dispositivi connessi, spesso lasciati allo scoperto da configurazioni pigre, aggiornamenti mai installati o semplici dimenticanze. Una casa domotica, una centrale idrica moldava, una stampante di quartiere. Tutto, se parla TCP/IP, può finire lì.

Benvenuti su Shodan, il motore di ricerca che ti mostra l’Internet come non volevi conoscerlo.

Se sei alle prime armi: concetti base per capire Shodan

Se non hai mai sentito parlare di IP, porte o banner, nessun problema. Ecco un piccolo glossario per capire su cosa Shodan lavora:

🌐 IP pubblico

Ogni dispositivo connesso a Internet ha un “indirizzo” unico chiamato IP pubblico (es. 192.0.2.10): è una sorta di indirizzo di casa per i computer.

🔌 Porta

Un servizio (come il sito web di un router o un’interfaccia di controllo) comunica su una porta. Alcune più comuni sono:

• 80 → HTTP (siti web normali)
• 443 → HTTPS (siti sicuri)
• 22 → SSH (accesso remoto)
• 554 → RTSP (stream video, come le webcam)

📜Banner

Quando Shodan “chiede informazioni” a un dispositivo, riceve in risposta un banner: un messaggio che descrive il tipo di servizio attivo, la versione del software, a volte perfino il nome del dispositivo.

Esempio:

Server: Apache/2.4.7 (Ubuntu)

Perché è importante?

Perché un hacker può:

• Capire che software stai usando
• Verificare se è aggiornato
• Cercare vulnerabilità note per quella versione

Shodan rende tutto questo automatizzato e indicizzato, praticamente come un Google per dispositivi invece che per siti.

Come si usa Shodan: guida pratica all’inferno (o alla consapevolezza)

1. Registrarsi

Vai su shodan.io e crea un account gratuito.
Senza registrazione puoi fare pochissimo: 1 query ogni tanto e risultati limitati.

Ricordati durante la registrazione che, volendo, puoi “decentralizzarti” ed usare e-mail temporanee.

Shodan senza account: cosa puoi fare (e cosa no)

Anche senza registrarti su Shodan.io puoi iniziare a farti un’idea di cosa offre. Ma le funzionalità sono molto limitate.

✅ Cosa puoi fare senza registrazione

• Usare la barra di ricerca per eseguire alcune query base (es. port:80 o apache)
• Visualizzare una manciata di risultati per ogni ricerca (spesso solo 1–2 pagine)
• Esplorare alcune delle categorie pubbliche, come webcam, SCADA, dispositivi IoT
• Vedere mappe interattive e grafici riassuntivi

❌ Cosa non puoi fare senza registrazione

• Eseguire ricerche frequenti (c’è un limite severo al numero di query)
• Salvare le tue query preferite
• Visualizzare più di pochi risultati per volta
• Usare filtri avanzati come vuln:, org:, os:, net: o city:
• Accedere alle API o creare alert
• Scaricare dati, banner o esportazioni

💡 In sintesi:

Shodan senza account ti dà solo un assaggio.
Se vuoi usarlo in modo efficace — anche solo per esplorare con un minimo di continuità — registrarsi è praticamente obbligatorio ma gratuito e ti sblocca:

• Ricerche più frequenti
• Fino a 100 risultati per query
• Accesso ai filtri base (port, country, hostname, ecc.)

E se poi vuoi fare sul serio, come monitorare infrastrutture o cercare vulnerabilità, puoi valutare l’account PRO che costa per un privato attorno ai 43 euro una tantum e per un Freelancer sui 60 euro al mese.

2. Interfaccia Web: esplorare a colpi di query

Appena loggato, ti troverai davanti una barra di ricerca che sembra quella di Google.
Ma qui non si cercano siti, si cercano dispositivi esposti.

Scrivi, ad esempio:

port:80 country:"IT"

E Shodan ti mostrerà tutti i dispositivi italiani con la porta HTTP aperta.
Spoiler: ce ne sono tanti, e molti non dovrebbero nemmeno esserci.

3. Interpretare i risultati

Ogni risultato mostra:

• l’IP pubblico del dispositivo
• la porta aperta
• il banner del servizio (che software gira, e spesso quale versione)
• metadati, titoli HTML, certificati SSL, ecc.

Leggere Shodan è come fare archeologia digitale: ogni IP è un coccio, ogni banner è un’iscrizione dimenticata.

🧪 Esercizio pratico: esplora Shodan senza registrazione

Vediamo cosa puoi fare con zero account e solo un browser.

Passaggio 1 — Vai su https://www.shodan.io

Arrivi alla home page con una barra di ricerca centrale. Sembra Google… ma non lo è.

Passaggio 2 — Prova questa query semplice:

port:80 country:"IT"

📍 Cosa fa? Cerca tutti i dispositivi italiani che espongono la porta 80 (HTTP).

Passaggio 3 — Esamina i risultati

Anche da non registrato, potrai vedere:

• L’IP pubblico del dispositivo
• Il software che sta girando (es. Apache, nginx)
• Qualche informazione extra: nome host, titoli HTML, intestazioni server

Esempio di risultato:

IP: 93.40.123.XX
Server: Apache/2.2.22 (Debian)
Location: Italy
Title: Welcome to your router!

Potresti vedere nomi di aziende, piccoli siti, router, NAS o interfacce di gestione.

✅ Obiettivo dell’esercizio:

• Familiarizzare con l’interfaccia
• Capire cosa intende Shodan per “dispositivo esposto”
• Renderti conto che molti dispositivi non sono configurati correttamente

📌 Tip: cosa fare dopo

Se questo ti ha incuriosito, crea un account gratuito per:

• Vedere più risultati
• Usare query più complesse (es. org:"Fastweb" o hostname:".gov.it")
• Iniziare a monitorare la tua rete (puoi cercare il tuo IP pubblico o una /24 con net:xxx.xxx.xxx.0/24)

4. Esempi di query utili (e inquietanti)

🛜 Webcam non protette:

port:554 has_screenshot:true

🌍 Router vulnerabili in Italia:

product:"MikroTik" country:"IT"

🏢 Dispositivi esposti di un provider:

org:"Telecom Italia"

💻 Server Apache in giro per il mondo:

product:"Apache"

🔓 Login page di dispositivi D-Link:

title:"D-Link"

Tip: i risultati a volte contengono URL diretti per accedere alla dashboard. Alcune sono ancora protette da… admin:admin.

5. Altri filtri utili:

• port: — filtra per porta (es. port:22 per SSH)
• country: — filtra per paese (country:"DE" per la Germania)
• city: — filtra per città
• org: — nome del provider o azienda
• hostname: — cerca un nome di dominio parziale
• os: — cerca per sistema operativo (es. os:"Windows 7"…)

Query avanzate: per chi sa dove guardare

Una volta padroneggiata la sintassi base, puoi iniziare a combinare operatori, scavare nel profondo e persino cercare vulnerabilità note.

1. Query combinate

product:"Apache" city:"Milano" port:80

Server Apache HTTP pubblici in ascolto a Milano.

2. Ricerca per titolo web

title:"webcamXP"

Trova le videocamere che usano un software specifico. Alcune… senza login.

3. Cerca dispositivi con password di default

default password

Sì, c’è gente che lascia ancora admin:admin. Non giudichiamo. O forse sì.

4. Ricerca per vulnerabilità (CVE)

vuln:CVE-2020-3452

Mostra solo i dispositivi che espongono servizi affetti da quella vulnerabilità.

Serve un account PRO per accedere a questi risultati, ma vale ogni centesimo.

5. Monitoraggio e alert

Con un account PRO puoi:

• salvare query
• ricevere alert quando un IP o una subnet specifica espone nuovi servizi
• monitorare la tua infrastruttura

In altre parole: puoi usare Shodan per difenderti da Shodan.

🧱 Come difendersi da Shodan?

• Chiudi le porte non necessarie
• Disattiva servizi inutili (UPnP, Telnet, FTP, ecc.)
• Cambia le credenziali di default
• Aggiorna firmware e software
• Monitora la tua visibilità: usa Shodan per cercare te stesso
  (es: net:"xxx.xxx.xxx.0/24" per la tua rete)

Puoi anche usare tool come:

• 🕶️ NOShodan — scanner che ti avvisa se sei indicizzato
• 🧠 Shodan Eye — tool OSINT in Python per ricerche rapide via CLI

Conclusione: vedere l’invisibile

Shodan è uno specchio oscuro.
Non mostra “cosa c’è sul web”, ma cosa c’è nel web profondo: dispositivi dimenticati, sistemi di sorveglianza esposti, server parlanti che non sanno di essere ascoltati.

Non è solo un motore di ricerca. È un atto filosofico: la dimostrazione che nulla di ciò che è connesso è veramente privato.
Che ogni porta lasciata aperta è un invito a sbirciare, e ogni interfaccia di login è una storia in cerca di autore.

L’invisibile esiste. Ha un IP pubblico. E risponde sulla porta 80.

Shodan non va temuto, va studiato.
Perché ciò che riesci a vedere… è solo una piccola parte di quello che potresti difendere.

Hai mai trovato la tua stampante su Shodan?
Hai mai avuto l’impressione che il tuo frigorifero sapesse troppo?
Scrivicelo. Il prossimo articolo potrebbe nascere da lì.