反黑风暴-第2章

按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！



1．环境渗透

对特定的环境进行渗透，是社会工程学为了获得所需的情报或敏感信息经常采用的手段之一。社会工程学攻击者通过观察目标对电子邮件的响应速度、重视程度以及可能提供的相关资料，比如一个人的姓名、生日、ID电话号码、管理员的IP地址、邮箱等，通过这些收集信息来判断目标的网络构架或系统密码的大致内容，从而获取情报。

2．引诱

网上冲浪经常碰到中奖、免费赠送等内容的邮件或网页，诱惑用户进入该页面运行下载程序，或要求填写账户和口令以便“验证”身份，利用人们疏于防范的心理引诱用户，这通常是黑客早已设好的圈套。

3．伪装

目前流行的网络钓鱼事件以及更早以前的求职信病毒、圣诞节贺卡，都是利用电子邮件和伪造的Web站点来进行诈骗活动的。有调查显示，在所有接触诈骗信息的用户中，有高达5％的人都会对这些骗局做出响应。

4．说服

说服是对信息安全危害较大的一种社会工程学攻击方法，它要求目标内部人员与攻击者达成某种一致，为攻击提供各种便利条件。个人的说服力是一种使某人配合或顺从攻击者意图的有力手段，特别地，当目标的利益与攻击者的利益没有冲突，甚至与攻击者的利益一致时，这种手段就会非常有效。如果目标内部人员已经心存不满甚至有了报复的念头，那么配和就很容易达成，他甚至会成为攻击者的助手，帮助攻击者获得意想不到的情报或数据。

攻击者在施行攻击时，经常会采用维修人员、技术支持人员、经理、可信的第三方人员，或者是企业同事等角色，这点在一个大公司是不难实现的。

因为每人不可能都认识公司中的每个人员而身份标识是可以伪造的，这些角色中的大多数都具有一定的权利，让别人会不由自主的去巴结。大多数的雇员都想讨好老板，所以他们会点头哈腰的对那些有权利的人提供他们所需要的信息。

5．恐吓

社会工程学师常常利用人们对安全、漏洞、病毒、木马、黑客等内容的敏感性，以权威机构的身份出现，散布安全警告、系统风险之类的信息，使用危言耸听的伎俩恐吓欺骗计算机用户，并声称如果不按照他们的要求去做，会造成非常严重的危害或损失。

6．恭维

高明的黑客精通心理学、人际关系学、行为学等社会工程学方面的知识与技能，善于利用人类的本能反应、好奇心、盲目信任、贪婪等人性弱点设置陷阱，实施欺骗，控制他人意志为己服务。他们通常十分友善，很讲究说话的艺术，知道如何借助机会均等去迎合人，投其所好，使多数人会友善地做出回应，乐意与他们继续合作。

7．反向社会工程学

反向社会工程学是指攻击者通过技术或者非技术的手段给网络或者计算机应用制造“问题”，使其公司员工深信，诱使工作人员或网络管理人员透露或者泄漏攻击者需要获取的信息。这种方法比较隐蔽，很难发现，危害特别大，不容易防范。

第二章　生活中的社会工程学攻击案例

社会工程学作为信息时代发展出来的一门“欺骗的艺术”，在现今不论是虚拟的网络空间还是现实的日常生活场景，凡是涉及信息安全的方面，无不有社会工程学的应用。

本节将介绍几种生活中常见的有关社会工程学攻击的安全，希望大家能够进一步地了解社会工程学，并提高警惕。

1。2。1巧妙地获取用户的手机号码

社会工程学就是一种与计算机技术相结合的行骗过程，而社会工程学的实施者，则可以看作是一个精通计算机的超级骗子。

下面通过一个虚拟的例子，说明如何通过社会工程学获取用户的手机号码。

假设攻击者试图入侵某个公司的内部办公系统，但无法破解管理员的登录密码。可先利用一些手段获得管理员的手机号，再想办法得到管理员的登录密码即可。

首先，打开公司的网站，在网站首页的左上角有一个“内部办公系统登录”链接，在该链接下有一个快速登录口，在“登录名”和“密码”文本框中输入相应的内容，即可进入该公司的内部办公系统。

或者直接单击“内部办公系统登录”链接，在打开的“内部办公系统”页面中可直接登录进入公司的内部办公系统。现在要做的就是获得管理员的登录密码，但可以先从管理员的手机号码上入手，得到他的手机号码后，再想办法获取登录密码。

攻击者要想成功获得管理员的手机号，需要按照下面的方法进行。

1．查询用户网络信息

攻击者可以使用社会工程学，详细地收集管理员在网上的各种信息。比如，管理员常用的邮箱，通常来说，经常在网络上活动的管理员，当它们注册一些论坛或博客站点服务等，都会用到邮箱。因此，攻击者可以将这些邮箱地址作为关键字，在百度或Google等搜索引擎中搜索相关信息。

从搜索结果中可以看到许多有用的信息，如管理员注册了哪些论坛。同样，可以用管理员的其他邮箱、QQ号和MSN地址等信息为关键字在网上进行搜索，也可以搜索到不少信息。

另外，还可以在当下流行的“校内网”和“校友网”等社交类型的网络上搜索更详细的信息，以获得用户的真实资料等信息。这两个网站上注册的用户通常都会在注册信息中填写真实的家庭住址、出生日期、手机号码和QQ号码等信息，通过这种方式可以了解到管理员的手机号码或其他重要的信息。

2．获得手机号码

如果从网络中的搜索信息中可以直接得到目标的手机号码，就可以利用这个手机号码进行欺骗。如果只得到了目标者的出生日期、家庭住址或QQ号码，则可以先将管理员的QQ号加为好友，再通过其他方法骗到他的手机号码即可。

1。2。2利用社会工程学揭秘网络钓鱼

网络钓鱼就是指入侵者通过处心积虑的技术手段伪造出一些以假乱真的网站和诱惑受害者根据指定方法操作的email等方法，使得受害者“自愿”交出重要信息或被窃取重要信息（例如银行账户密码）的手段。它并不是一种新的入侵方法，但其危害范围却在逐渐扩大，并成为近期威胁网络安全的最大危害之一。

无论IE还是firefox浏览器，都在不断出现各种各样的漏洞，例如，有的浏览器漏洞可以让黑客在网页中插入恶意代码，有的可以让浏览器显示错误的网址。黑客可以向用户发送邮件或者QQ消息，让他点击某个网址。这个网址的URL看上去是个著名网站，打开之后显示的页面也像那个网站，但其实是黑客自己建立的钓鱼网站。

此时，可能会有这样的疑问——网络钓鱼与社会工程学类似，都是利用人们的弱点欺骗的？其实，网络钓鱼属于社会工程学攻击的一种，简单的说，就是通过伪造信息获得受害者的信任并且响应，由于网络信息是呈爆炸性增长的，人们面对各种各样的信息往往难以辨认真伪，依托网络环境进行钓鱼攻击是一种非常可行的攻击手段。

网络钓鱼从攻击角度上分为两种形式，一种是通过伪造具有“概率可信度”的信息来欺骗受害者。这里所说的“概率可信度”，从逻辑上说就是有一定的概率使人信任并且响应，从原理上说，攻击者使用“概率可信度”的信息进行攻击，这类信息在概率内正好吻合了受害者的信任度，受害者就可能直接信任这类信息并且响应。

另外，一种则是通过“身份欺骗”信息来攻击受害者。这与社会工程学攻击一样，攻击者需要事先掌握对方的相关信息，利用人与人之间的信任关系，通过伪造身份来捏造信息，使受害者对攻击者所说的话确信无疑并做出响应。

我们在实际生活中常常会遇到钓鱼事件，并且如此拙劣的手段仍能频频得手，主要是因为网络钓鱼充分利用了人们的心理漏洞。首先，人们收到黑客发送的影响力很大的邮件时，很多人都不会怀疑信件的真实性，更会下意识地根据要求打开邮件里面指定的URL进行操作。其次，页面打开后，我们通常不会注意浏览器地址栏中显示的地址，而只是留意页面内容，这正是让钓鱼者有机可乘的原因。

1。2。3冒认身份获取系统口令

得到管理员的手机号码后，可以利用身份伪造这种方法骗取系统口令。身份伪造是指攻击者利用各种手段隐藏真实身份，以一种目标信任的身份出现来达到获取情报的目的。

攻击者大多以能够自由出入目标内部的身份出现，获取情报和信息；或者采取更高明的手段，例如伪造身份证、ID卡等，在没有专业人士或系统检测的情况下，要识别其真伪是有一定难度的。

在“校内网”和“校友网”等社交类型的网络上搜索用户的信息时，得到管理员的手机号码后，我们可以假装是管理员所在公司的一个新员工，然后利用得到的手机号给目标发信息，告诉他“我是你的新同事XXX，是新的销售经理助理，这是我的手机号码”。再寻找话题与管理员聊天，使其对自己说的话深信不疑。

最后，告诉管理员，销售部经理让我在公司内部办公系统上下载一份文档，但我不知道公司的内部办公系统设的有密码，忘了问他了，希望你可以把口令告诉我，我急需要这份文档。当管理员听到这些话后，可能就会相信你所说的，并将口令告诉你。这样，即可顺利地从管理员口中获得系统口令了。当然，这种做法可能有一定的运行成分，但像这种疏忽大意且防备心理不强的人非常多，社会工程学正是利用这一特点对目标进行攻击的。

1。2。4社会工程学盗用密码

利用社会工程学获取密码非常简单，而且不需要其他的黑客工具便能办到，危害非常大。

社会工程学破解密码就是有针对性的收集被破解人的相关信息，并对相关信息进行整理加工，达到快速高效的破解密码的目的。信息收集的方法有普通收集，即通过对平常可见的信息进行系统的收集，越全面越好。另一个方法就是借助功能强大的搜索引擎，搜索他本人和相关人员的人名，从搜索结果中筛选有用信息加以整理利用。

例如，要破解某个人的账号密码，就收集关于他的信息：姓名、生日、手机号、QQ号、家庭电话、学号、身份证号、家乡及其所在地的邮政编码和区号等。除此之外，还要收集他身边关系亲密人员的信息，如：父母、女友等。将这些收集到的信息加上其他一些常用的字母、数字进行一定的排列组合组成一系列的密码，即密码字典。

密码字典主要是配合解密软件使用的，密码字典里包括许多人们习惯性设置的密码，这样可以提高解密软件的密码破解命中率，缩短解密时间。当然，如果一个人密码设置没有规律或很复杂，未包含在密码字典里，这个字典就没有用了，甚至会延长解密时间。

下面以“亦思社会工程学字典生成器”为例，介绍如何利用收集的信息生成密码字典。

“亦思社会工程学字典生成器”用于生成特定组合的密码字典，在相应位置输入相应的字符，并单击【生成字典】按钮，即可在同目录下生成“mypass。”字典文件。

打开“亦思社会工程学字典生成器”软件，在主窗口左侧的“社会信息”栏中的相应文本框中输入收集到的信息。单击【生成字典】按钮，即可生成一个名为“mypass。”字典文件，打开该文件，即可看到该软件利用收集到的信息生成的密码字典。

生成的密码字典

需要注意的是，信息填写的越准确，填写的项目越多，生成的密码字典中出现真实密码的可能性就越大。在填写时不要局限于选项的提示，相关的重要信息都可以填写，以增加击中密码的机率。

利用收集到的信息生成密码字典后，即可利用破解密码的程序一个一个的从生成的字典里读取可能是密码的字条，一个一个的试，直到找到正确的密码。

第三章　防范社会工程学

通过前面的学习，我们知道社会工程学攻击是一种非常危险的黑客攻击技术，它就像一双隐形的眼睛一样，时刻盯着我们并找准时机进行攻击。因此，为了避免个人用户或企业遭受社会工程学攻击，要掌握一些防范社会工程学攻击的方法。

1。3。1个人用户防范社会工程学

社会工程学攻击中核心的东西就是信息，尤其是个人信息。黑客无论出于什么目的，若要使用社会工程学，必须先要了解目标对象的相关信息。对于个人用户来说，要保护个人信息不被窃取，需要避免我们在无意识的状态下，主动泄露自己的信息。

1．了解一些社会工程学的手法

俗话说：知己知彼，百