Como usar o Shodan: guia para iniciantes com filtros e exemplos

O Shodan é um buscador de dispositivos conectados à internet. Enquanto o Google indexa páginas web, o Shodan indexa o banner que serviços expõem ao responder em suas portas: servidores, câmeras, roteadores, bancos de dados, sistemas industriais e muito mais. Para quem trabalha com OSINT e segurança defensiva, dominar o Shodan significa enxergar a superfície de exposição de uma organização em minutos.

Como o Shodan funciona?

O Shodan varre continuamente a internet, conecta-se a portas abertas e grava a resposta do serviço (o banner). Esse banner contém versão de software, cabeçalhos HTTP, certificados TLS, títulos de página e outros metadados. Quando você busca no Shodan, está pesquisando dentro desses banners, não dentro do conteúdo das páginas.

Por padrão, a busca sem filtro procura apenas na propriedade data do banner. Para pesquisar em outras propriedades, você usa filtros.

Sintaxe de busca

A regra básica é simples: filtro:valor, sem espaço depois dos dois-pontos. Algumas convenções importantes:

• Valores com espaço precisam de aspas: org:"Petrobras S.A."
• Vários filtros são combinados com AND implícito (todos precisam ser verdadeiros).
• Negação usa o prefixo de menos: -port:80 exclui a porta 80.
• Listas separadas por vírgula funcionam como OR: port:80,443

Exemplo combinando regras:

org:"SingTel Mobile" city:Singapore

Essa busca retorna hosts cuja organização é a SingTel Mobile e cuja cidade é Singapura.

Os filtros essenciais

Aprender cerca de dez filtros já permite mapear boa parte de uma superfície de ataque. Os mais úteis:

Filtro	O que faz	Exemplo
port:	Serviços naquela porta	port:3389
country:	Código de país de 2 letras	country:BR
city:	Cidade	city:"Sao Paulo"
org:	Organização dona do IP	org:"Acme Corp"
net:	Faixa CIDR	net:198.51.100.0/24
hostname:	Nome de host associado	hostname:acme.example
product:	Software identificado	product:MongoDB
os:	Sistema operacional estimado	os:"Windows Server 2012"
http.title:	Texto do título da página	http.title:"index of /"
vuln:	Hosts associados a um CVE	vuln:CVE-2014-0160

O filtro vuln: costuma exigir uma conta com permissões adequadas e deve ser usado apenas em infraestrutura própria ou autorizada.

Na prática: mapeando a exposição de uma organização

O passo a passo abaixo é um exercício defensivo clássico, feito sobre uma organização que você tem autorização para avaliar (a sua própria, por exemplo).

1. Encontrar os ativos da organização

Comece pelo nome da organização ou pela faixa de rede:

org:"Minha Empresa"

Se você conhece o bloco de IPs, o filtro net: é mais preciso:

net:203.0.113.0/24

2. Procurar serviços que não deveriam estar expostos

Bancos de dados abertos à internet são um achado comum e perigoso. Para listar possíveis MongoDB na faixa:

net:203.0.113.0/24 product:MongoDB

Painéis administrativos e serviços de acesso remoto também merecem atenção:

org:"Minha Empresa" port:3389
org:"Minha Empresa" http.title:"login"

3. Ler o banner criticamente

A habilidade real não é decorar queries, e sim ler o banner com senso crítico. Um banner pode indicar uma versão desatualizada, um certificado expirado ou um serviço que ninguém lembrava existir. A informação de versão é um palpite do Shodan, não uma certeza; confirme antes de concluir.

4. Usar a linha de comando (opcional)

O Shodan tem uma CLI oficial em Python. Depois de instalar e configurar a chave de API:

pip install shodan
shodan init SUA_CHAVE_DE_API

Buscas e contagens ficam diretas no terminal:

shodan count org:"Minha Empresa" port:3389
shodan search --fields ip_str,port,org 'net:203.0.113.0/24'

O comando count retorna apenas o número de resultados (sem gastar créditos de busca), ótimo para dimensionar antes de baixar dados.

Casos de uso legítimos

• Gestão de superfície de ataque: descobrir ativos esquecidos da própria organização.
• Due diligence: avaliar a higiene de segurança de um fornecedor com autorização.
• Pesquisa acadêmica: medir a prevalência de um software ou de uma vulnerabilidade na internet.
• Resposta a incidentes: verificar se um serviço comprometido ainda está exposto.

Armadilhas comuns

• Dados defasados: o Shodan mostra a última vez que viu o host. Um serviço pode já ter sido corrigido. Sempre valide ao vivo e com autorização.
• Atribuição errada de organização: o campo org vem do provedor e nem sempre reflete o dono real. Cruze com hostname e certificado.
• Falsos positivos de vulnerabilidade: vuln: é inferência por versão, não exploração confirmada.
• Gasto de créditos: paginar resultados grandes consome a cota. Use count antes de search.

Ética e legalidade

Buscar informação pública no Shodan é legal. Acessar, testar ou explorar um serviço de terceiros sem autorização não é, e pode configurar crime no Brasil (Lei 12.737/2012, invasão de dispositivo informático, e o Marco Civil da Internet). A regra de ouro: observe à vontade, mas só interaja com sistemas que são seus ou para os quais você tem permissão escrita. A LGPD também se aplica quando os dados expostos identificam pessoas.

Conclusão

O Shodan é uma das ferramentas mais poderosas do arsenal OSINT justamente porque revela o que está exposto sem que ninguém perceba. A proficiência vem de empilhar filtros com propósito e ler banners com ceticismo, não de colecionar queries prontas. Para trocar dorks, discutir achados e aprender com casos reais, dê uma passada na comunidade OsintHunters Brasil.