第11章社會工程學攻擊與防范

本章內(nèi)容提要社會工程攻擊概述1本章主要內(nèi)容社會工程攻擊的形式2社會工程攻擊的案例3社會工程攻擊的防范411.1社會工程攻擊概述只有兩種事物是無窮盡的——宇宙和人類的愚蠢,但對于前者我不敢確定11.1社會工程攻擊概述1、社會工程學：社會工程學（SocialEngineering）是關(guān)于建立理論通過自然的、社會的和制度上的途徑并特別強調(diào)根據(jù)現(xiàn)實的雙向計劃和設計經(jīng)驗來一步一步地解決各種社會問題。社會工程學利用人的粗心、輕信、疏忽、警惕性不高來操縱其執(zhí)行預期的動作或泄漏機密信息的一門藝術(shù)與學問。11.1社會工程攻擊概述2、社會工程學不等同于欺騙、詐騙社會工程學攻擊比較復雜，再小心的人也可能被高明的手段損害利益層次不一樣，社會工程學攻擊會根據(jù)實際情況，進行心理戰(zhàn)。目的不一樣，社會工程學攻擊其目的是獲得信息系統(tǒng)的訪問控制權(quán)，從而得到機密信息并從中獲利。11.2社會工程攻擊的形式3、社會工程學攻擊者：一般這類人具有很強的人際交往能力。他們有魅力、講禮貌、討人喜歡，并具有快速建立起可親近、可信任感。4、社會工程學攻擊對象——人計算機信息安全鏈中最薄弱的環(huán)節(jié)人具有貪婪、自私、好奇、信任等心理弱點11.1社會工程攻擊概述系統(tǒng)、制度可能沒有漏洞。信息安全的防范應該具有三個層次：物防、技防、人防。其中人防是不到位，則有可能成為最大的安全漏洞。盡管我們很聰明，但對我們?nèi)祟悺恪⑽?、他的安全最嚴重的威脅，來自于我們彼此之間。社會工程學攻擊是信息安全的最大威脅！11.2社會工程攻擊的形式1、信息收集：通過各種手段去獲取機構(gòu)、組織、公司的一些不敏感信息。不敏感信息容易獲取

不敏感信息降低了攻擊者的風險11.2.1信息收集11.2社會工程攻擊的形式2、不敏感信息：某些關(guān)鍵人物的資料：部門、職位、郵箱、手機號、座機分機號等

機構(gòu)內(nèi)部某些操作流程步驟：如報銷流程、審批流程等機構(gòu)內(nèi)部的組織關(guān)系：隸屬關(guān)系、業(yè)務往來、職權(quán)劃分、強勢還是弱勢等機構(gòu)內(nèi)部常用的術(shù)語和行話11.2.1信息收集11.2社會工程攻擊的形式3、信息收集方法：官方網(wǎng)站搜索引擎離職員工或新員工垃圾分析電話詢問（常常是面對前臺或客服人員）11.2.1信息收集11.2社會工程攻擊的手法3、信息收集方法：官方網(wǎng)站搜索引擎微博、微信、QQ、FB、人人等等離職員工或新員工垃圾分析電話詢問（常常是面對前臺或客服人員）11.2.1信息收集11.2社會工程攻擊的形式11.2.1信息收集4、信息收集案例

QQ聊天：攻擊者：你多大啊？受害者：我84年的攻擊者：我也84的，我3月1號的，你呢？受害者：那我比你大，我2月3號得到受害者的生日信息：84020311.2社會工程攻擊的手法1、為什么要假冒身份哪個攻擊者，愿意暴露自己真實身份呢？11.2.2假冒身份2、假冒的效果獲得信任、好感或同情樹立權(quán)威性你是騙子11.2社會工程攻擊的手法3、假冒的方法選擇一個合適的身份，秘書-秘書，同學-同學，新員工-新員工。前臺-領(lǐng)導秘書外貌粉飾：磁性的嗓音、柔情的語言，儀表堂堂，氣質(zhì)非凡等11.2.2假冒身份你是騙子11.2社會工程攻擊的手法4、假冒案例：利用第一代QQ密保騙取買狗人QQ控制權(quán)11.2.2假冒身份Tdby：你好啊,是賣狗的嗎***狗場：是的，你想買嗎？Tdby：恩，我開了個場子，想買條狗看家，要個大點的。***狗場：你要是買狗看家就要個兇點的。Tdby：狗大不就厲害嗎***狗場：呵呵！不是，我這有個德國黑背，很兇狠，價格也很便宜。Tdby：多少錢***狗場：15000Tdby：能不能便宜點***狗場：不能Tdby：便宜點我是誠心買的。***狗場：最便宜13000.Tdby：那好吧，那個網(wǎng)站上的電話是你的嗎***狗場：是的。Tdby：我們電話聯(lián)系吧。***狗場：恩，159306*****。Tdby：知道了。然后我就用SKYPE網(wǎng)絡電話給他打了過去，然后我們又商量商量價錢，最后我說，下午我就去取錢，取了錢再聯(lián)系你。然后掛了電話。闖蕩

：你好啊**狗場

：恩，你好。闖蕩

：剛才是不是有個人買狗啊。他的網(wǎng)名叫******狗場

：恩，你怎么知道？闖蕩：呵呵，是我介紹他去的。我很喜歡狗，經(jīng)常去你的網(wǎng)站看狗，那個人是我的個朋友，他問我哪有賣狗的。我就說你那賣。**狗場

：哦，謝謝你的觀顧，喜歡狗那天我送你條小的。闖蕩

：真的嗎謝謝了。**狗場

：打7折。闖蕩

：暈狗還打折。闖蕩

：該多少錢就多少錢，你也不容易。**狗場

：呵呵，是啊。都是有本的。闖蕩

：你今年多大？

**狗場

：24，你呢。闖蕩

：我**。闖蕩：哦，你結(jié)婚了嗎**狗場：沒呢，你結(jié)了嗎闖蕩：沒呢，闖蕩：怎么還不結(jié)啊，該結(jié)了。**狗場：呵呵，不著急。闖蕩：你知道嗎？香港出了一件大事。**狗場：什么大事。闖蕩：香港最紅的歌星黃家駒死了。**狗場：我暈，不是早就死了嗎，都10多年了。你怎么才知道啊。闖蕩：哦是嗎，死了10多年啦。**狗場：恩。闖蕩：我挺喜歡他的歌的。**狗場：恩，還行。闖蕩：你最喜歡哪個歌星。**狗場：很多。闖蕩：那你最喜歡的呢。**狗場：最喜歡的就是譚詠麟吧，他的歌很好聽。闖蕩;哦是嗎，我也挺愛聽的。**狗場:我有事，出去一下，下午聊。闖蕩:恩。正好他有事走了，說完就下了，我便跑網(wǎng)站上去改密碼，他的問題是我的偶像是誰？我輸入譚詠麟，點確定,暈不對，我又試著輸入詠麟，OK，對了，但是郵件發(fā)了默認郵箱去了，我又改了一下，然后打開我郵箱，按照郵件上說的順利改了密碼，然后把問題改了，手機綁定也撤了，一個號就這樣到手了.11.2社會工程攻擊的形式11.2.3施加影響1、博取好感通過外在特征的“光環(huán)效應”：以貌取人（如馬云）、以名取人（如明星的人品）通過相似性：如同學、同鄉(xiāng)、校友、經(jīng)歷等2、通過互惠原理騙取好處投桃報李：給予小恩惠，索取小回報拒絕-退讓式：先A要求，再B要求，A遠大于B11.2社會工程攻擊的形式11.2.3施加影響3、通過社會認同來施加影響快樂大本營等節(jié)目的笑聲好評多的物品，一定好餐館人多的，一定是好餐館都喜歡和熟悉的人呆在一起4、通過威權(quán)來施加壓力專家、總裁秘書、某個官威脅、恐嚇。。。11.2社會工程攻擊的手法5、施加影響案例：另類獲取密碼的方法11.2.3施加影響滲透測試者：真的不錯，我聽說，有些公司也強制實施這樣的策略，但員工可能會寫下他們的口令，并把它放在某個地方，你們公司存在這樣的問題嗎？受騙用戶：哈哈哈．是的，總是滋生這樣的情況我希望能蝣杜絕發(fā)生這樣的事情．我敢打賭．我們的用戶中有50％上的用戶會把口令寫在他們辦公桌的某個地方。測試者：到目前為止，你為保護你的基礎(chǔ)設施的安全采取的步驟給我留下了很深刻的印象。(拍馬屁是打開更多信息大門的第一步，)

受騙用戶：謝謝，在我們公司，我們把安全看得十分重要。滲透測試者：我已經(jīng)感受到了。你們公司強制實施什么安全策略了嗎？受騙用戶：嗯，當然，我們制定了可接受的互聯(lián)網(wǎng)策略和口令策略，公司的所有員工在進入公司時都要簽署這些策略。滲透測試者：很不錯．詳細談一談，這很有意思。

受騙用戶：嗯，例如，我們的口令策略要求所有用戶的口令至少要八個字符長．并且同時包含字母和數(shù)字。要求口令每三個月就要更換一次口令。11.2社會工程攻擊的手法1、反向社會工程讓被攻擊者求助于攻擊者破壞->發(fā)送廣告->接受你的服務->安裝后門11.2.4其他手法2、密碼心理學中文姓名拼音、常用數(shù)字（123456、1314、520）、生日。。。11.2社會工程攻擊的手法3、網(wǎng)絡釣魚（Phishing）是通過大量發(fā)送聲稱來自于銀行或其他知名機構(gòu)的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息（如用戶名、口令、帳號ID、ATMPIN碼或信用卡詳細信息）的一種攻擊方式。11.2.4其他手法4、調(diào)虎離山例：押款車既定的路線設置了重重安防，如果讓其被迫改道，則實施攻擊就容易多了。如果你電腦上有機密資料，想要獲取的有心人可以臨時叫你出去喝杯咖啡，另外的人就可以在其之上進行信息偷竊。11.2社會工程攻擊的手法5、下餌（Phishing）軟件下載各種附件（郵件、QQ群里等）各種資源（如鳥國愛情動作片、XX行業(yè)或公司薪資實名大揭秘、黑客工具集合）11.2.4其他手法11.3社會工程攻擊的綜合案例1、概述某個聰明的獵頭小黑需要搞到一家大公司研發(fā)部門的通訊錄。為了達到目的，小黑決定采取一些社會工程學的技巧。案例1獵頭獲取通訊錄2、突破口前臺、研發(fā)部秘書（被培訓得樂于助人嘛）11.3社會工程攻擊的綜合案例3、步驟獲取前臺Email地址——信息收集，前臺郵箱地址是不敏感信息搞定研發(fā)秘書——打電話給研發(fā)部秘書（弄到電話不難吧），謊稱自己是總裁秘書或別的什么有點威權(quán)的人，急需一份研發(fā)人員的清單，并發(fā)送給前臺。（重點：假冒、威權(quán)、焦急、發(fā)前臺）搞定前臺——打電話給前臺、收郵件、打印傳真到某個號碼案例1獵頭獲取通訊錄前臺：你好，哪位？小黑：我是總裁辦的XXX秘書。前臺：你有什么事情嗎？小黑：我正陪同XX副總裁在某處開會，XX副總裁需要一份資料。我已經(jīng)找人整理好了，等一下會發(fā)到你的郵箱。你收到之后，請幫忙傳真到XXXXXXXX號碼。前臺：好的。還有其它事情嗎？小黑：沒有了，多謝！11.3社會工程攻擊的綜合案例1、概述某商業(yè)間諜兼資深黑客小黑需要搞到某大公司內(nèi)部的財務報表（可以賣大價錢哦）。由于這個財務報表是很敏感的資料，只有財務部的少數(shù)主管才能看到這些報表。而財務部的主管，肯定都知道這些報表的重要性。所以，小黑再想用"案例1"的伎倆是行不通滴。案例2間諜搞到財務報表2、突破口財務部主管小白的電腦、植入木馬11.3社會工程攻擊的綜合案例3、步驟1）準備階段主要辦三件事：首先，想辦法搞到公司的通訊簿。通過案例1，大伙兒應該知道這個不難辦到；然后，通過各種途徑（具體的途徑，請看之前的“信息收集”）了解該公司內(nèi)部的一些情況（尤其是IT支持部和財務部的人員情況）；最后，用化名去開通一個手機（有經(jīng)驗的攻擊者肯定用假名，以免被抓）。案例2間諜搞到財務報表11.3社會工程攻擊的綜合案例3、步驟2）忽悠財務主管小白：搞到電話號碼和IT部情況，打電話給財務主管小白。案例2間諜搞到財務報表小白：你好，哪位？小黑：我是IT支持部的張三。你是財務部的主管小白吧？小白：對的。有啥事兒？小黑：最近幾天，你們財務部的網(wǎng)絡正常嗎？有沒有感覺網(wǎng)絡時斷時續(xù)的？小白：好像沒有嘛。小黑：有幾個其它的部門反映網(wǎng)絡不正常，所以我來問問你們的情況。如果這幾天你碰到網(wǎng)絡異常，請打電話給我。我最近忙著處理電腦網(wǎng)絡的故障，不經(jīng)常在座位上。你可以打我的手機，號碼小白：好的，我記一下。小黑：另外，我想確認一下你電腦的網(wǎng)絡端口號。小白：什么是“網(wǎng)絡端口號”？小黑：你先找到你電腦的網(wǎng)線，在網(wǎng)線插在墻上的地方應該貼個標簽，那上面的寫的號碼就是你電腦的“網(wǎng)絡端口號”。你把上面的號碼告訴我。小白：等一下，我看一下......哦，看到了，上面寫著“A1B2C3”。小黑：嗯，很好。我只是例行確認一下。祝你工作愉快。再見。11.3社會工程攻擊的綜合案例3、步驟3）欺騙IT支持部：等2~3天，打電話給IT支持部的某工程師李四（管理路由器、交換機）。小黑謊稱自己是新來的網(wǎng)絡工程師小黑說自己正在財務辦公室?guī)托“着挪榫W(wǎng)絡問題，請李四幫忙把網(wǎng)絡端口號為“A1B2C3”的網(wǎng)絡連接斷開。（對李四而言，由于對方能準確說出小白的姓名以及小白電腦的網(wǎng)絡端口號，所以李四就相信了他的話，并按照要求把對應的網(wǎng)絡連接斷開。）案例2間諜搞到財務報表11.3社會工程攻擊的綜合案例3、步驟4）等待魚兒上鉤：打完這個電話之后，接下來小黑就稍息片刻，等著財務主管小白的電話。果然，不出幾分鐘，小白就打了他的手機。案例2間諜搞到財務報表小黑：你好，我是IT支持部的張三。你是哪位？小白：我是財務部的小白主管。前幾天你給我打過電話的，還記得嗎？今天網(wǎng)絡果然出問題了。所以打你電話找你幫忙。小黑：哦，是嗎？那我?guī)湍悴橐幌?，應該很快能搞定的。大約十分鐘之后，小黑重新打給IT支持部的李四，讓他把端口號為“A1B2C3”的網(wǎng)絡連接重新開通。11.3社會工程攻擊的綜合案例3、步驟3）大功告成：網(wǎng)絡重新開通之后，小黑又打給小白。。案例2間諜搞到財務報表小白：你好，哪位？小黑：我是IT支持部