第11章社會(huì)工程學(xué)攻擊與防范

本章內(nèi)容提要社會(huì)工程攻擊概述1本章主要內(nèi)容社會(huì)工程攻擊的形式2社會(huì)工程攻擊的案例3社會(huì)工程攻擊的防范411.1社會(huì)工程攻擊概述只有兩種事物是無(wú)窮盡的——宇宙和人類的愚蠢,但對(duì)于前者我不敢確定11.1社會(huì)工程攻擊概述1、社會(huì)工程學(xué)：社會(huì)工程學(xué)（SocialEngineering）是關(guān)于建立理論通過(guò)自然的、社會(huì)的和制度上的途徑并特別強(qiáng)調(diào)根據(jù)現(xiàn)實(shí)的雙向計(jì)劃和設(shè)計(jì)經(jīng)驗(yàn)來(lái)一步一步地解決各種社會(huì)問(wèn)題。社會(huì)工程學(xué)利用人的粗心、輕信、疏忽、警惕性不高來(lái)操縱其執(zhí)行預(yù)期的動(dòng)作或泄漏機(jī)密信息的一門藝術(shù)與學(xué)問(wèn)。11.1社會(huì)工程攻擊概述2、社會(huì)工程學(xué)不等同于欺騙、詐騙社會(huì)工程學(xué)攻擊比較復(fù)雜，再小心的人也可能被高明的手段損害利益層次不一樣，社會(huì)工程學(xué)攻擊會(huì)根據(jù)實(shí)際情況，進(jìn)行心理戰(zhàn)。目的不一樣，社會(huì)工程學(xué)攻擊其目的是獲得信息系統(tǒng)的訪問(wèn)控制權(quán)，從而得到機(jī)密信息并從中獲利。11.2社會(huì)工程攻擊的形式3、社會(huì)工程學(xué)攻擊者：一般這類人具有很強(qiáng)的人際交往能力。他們有魅力、講禮貌、討人喜歡，并具有快速建立起可親近、可信任感。4、社會(huì)工程學(xué)攻擊對(duì)象——人計(jì)算機(jī)信息安全鏈中最薄弱的環(huán)節(jié)人具有貪婪、自私、好奇、信任等心理弱點(diǎn)11.1社會(huì)工程攻擊概述系統(tǒng)、制度可能沒(méi)有漏洞。信息安全的防范應(yīng)該具有三個(gè)層次：物防、技防、人防。其中人防是不到位，則有可能成為最大的安全漏洞。盡管我們很聰明，但對(duì)我們?nèi)祟悺?、我、他的安全最?yán)重的威脅，來(lái)自于我們彼此之間。社會(huì)工程學(xué)攻擊是信息安全的最大威脅！11.2社會(huì)工程攻擊的形式1、信息收集：通過(guò)各種手段去獲取機(jī)構(gòu)、組織、公司的一些不敏感信息。不敏感信息容易獲取

不敏感信息降低了攻擊者的風(fēng)險(xiǎn)11.2.1信息收集11.2社會(huì)工程攻擊的形式2、不敏感信息：某些關(guān)鍵人物的資料：部門、職位、郵箱、手機(jī)號(hào)、座機(jī)分機(jī)號(hào)等

機(jī)構(gòu)內(nèi)部某些操作流程步驟：如報(bào)銷流程、審批流程等機(jī)構(gòu)內(nèi)部的組織關(guān)系：隸屬關(guān)系、業(yè)務(wù)往來(lái)、職權(quán)劃分、強(qiáng)勢(shì)還是弱勢(shì)等機(jī)構(gòu)內(nèi)部常用的術(shù)語(yǔ)和行話11.2.1信息收集11.2社會(huì)工程攻擊的形式3、信息收集方法：官方網(wǎng)站搜索引擎離職員工或新員工垃圾分析電話詢問(wèn)（常常是面對(duì)前臺(tái)或客服人員）11.2.1信息收集11.2社會(huì)工程攻擊的手法3、信息收集方法：官方網(wǎng)站搜索引擎微博、微信、QQ、FB、人人等等離職員工或新員工垃圾分析電話詢問(wèn)（常常是面對(duì)前臺(tái)或客服人員）11.2.1信息收集11.2社會(huì)工程攻擊的形式11.2.1信息收集4、信息收集案例

QQ聊天：攻擊者：你多大啊？受害者：我84年的攻擊者：我也84的，我3月1號(hào)的，你呢？受害者：那我比你大，我2月3號(hào)得到受害者的生日信息：84020311.2社會(huì)工程攻擊的手法1、為什么要假冒身份哪個(gè)攻擊者，愿意暴露自己真實(shí)身份呢？11.2.2假冒身份2、假冒的效果獲得信任、好感或同情樹(shù)立權(quán)威性你是騙子11.2社會(huì)工程攻擊的手法3、假冒的方法選擇一個(gè)合適的身份，秘書(shū)-秘書(shū)，同學(xué)-同學(xué)，新員工-新員工。前臺(tái)-領(lǐng)導(dǎo)秘書(shū)外貌粉飾：磁性的嗓音、柔情的語(yǔ)言，儀表堂堂，氣質(zhì)非凡等11.2.2假冒身份你是騙子11.2社會(huì)工程攻擊的手法4、假冒案例：利用第一代QQ密保騙取買狗人QQ控制權(quán)11.2.2假冒身份Tdby：你好啊,是賣狗的嗎***狗場(chǎng)：是的，你想買嗎？Tdby：恩，我開(kāi)了個(gè)場(chǎng)子，想買條狗看家，要個(gè)大點(diǎn)的。***狗場(chǎng)：你要是買狗看家就要個(gè)兇點(diǎn)的。Tdby：狗大不就厲害嗎***狗場(chǎng)：呵呵！不是，我這有個(gè)德國(guó)黑背，很兇狠，價(jià)格也很便宜。Tdby：多少錢***狗場(chǎng)：15000Tdby：能不能便宜點(diǎn)***狗場(chǎng)：不能Tdby：便宜點(diǎn)我是誠(chéng)心買的。***狗場(chǎng)：最便宜13000.Tdby：那好吧，那個(gè)網(wǎng)站上的電話是你的嗎***狗場(chǎng)：是的。Tdby：我們電話聯(lián)系吧。***狗場(chǎng)：恩，159306*****。Tdby：知道了。然后我就用SKYPE網(wǎng)絡(luò)電話給他打了過(guò)去，然后我們又商量商量?jī)r(jià)錢，最后我說(shuō)，下午我就去取錢，取了錢再聯(lián)系你。然后掛了電話。闖蕩

：你好啊**狗場(chǎng)

：恩，你好。闖蕩

：剛才是不是有個(gè)人買狗啊。他的網(wǎng)名叫******狗場(chǎng)

：恩，你怎么知道？闖蕩：呵呵，是我介紹他去的。我很喜歡狗，經(jīng)常去你的網(wǎng)站看狗，那個(gè)人是我的個(gè)朋友，他問(wèn)我哪有賣狗的。我就說(shuō)你那賣。**狗場(chǎng)

：哦，謝謝你的觀顧，喜歡狗那天我送你條小的。闖蕩

：真的嗎謝謝了。**狗場(chǎng)

：打7折。闖蕩

：暈狗還打折。闖蕩

：該多少錢就多少錢，你也不容易。**狗場(chǎng)

：呵呵，是啊。都是有本的。闖蕩

：你今年多大？

**狗場(chǎng)

：24，你呢。闖蕩

：我**。闖蕩：哦，你結(jié)婚了嗎**狗場(chǎng)：沒(méi)呢，你結(jié)了嗎闖蕩：沒(méi)呢，闖蕩：怎么還不結(jié)啊，該結(jié)了。**狗場(chǎng)：呵呵，不著急。闖蕩：你知道嗎？香港出了一件大事。**狗場(chǎng)：什么大事。闖蕩：香港最紅的歌星黃家駒死了。**狗場(chǎng)：我暈，不是早就死了嗎，都10多年了。你怎么才知道啊。闖蕩：哦是嗎，死了10多年啦。**狗場(chǎng)：恩。闖蕩：我挺喜歡他的歌的。**狗場(chǎng)：恩，還行。闖蕩：你最喜歡哪個(gè)歌星。**狗場(chǎng)：很多。闖蕩：那你最喜歡的呢。**狗場(chǎng)：最喜歡的就是譚詠麟吧，他的歌很好聽(tīng)。闖蕩;哦是嗎，我也挺愛(ài)聽(tīng)的。**狗場(chǎng):我有事，出去一下，下午聊。闖蕩:恩。正好他有事走了，說(shuō)完就下了，我便跑網(wǎng)站上去改密碼，他的問(wèn)題是我的偶像是誰(shuí)？我輸入譚詠麟，點(diǎn)確定,暈不對(duì)，我又試著輸入詠麟，OK，對(duì)了，但是郵件發(fā)了默認(rèn)郵箱去了，我又改了一下，然后打開(kāi)我郵箱，按照郵件上說(shuō)的順利改了密碼，然后把問(wèn)題改了，手機(jī)綁定也撤了，一個(gè)號(hào)就這樣到手了.11.2社會(huì)工程攻擊的形式11.2.3施加影響1、博取好感通過(guò)外在特征的“光環(huán)效應(yīng)”：以貌取人（如馬云）、以名取人（如明星的人品）通過(guò)相似性：如同學(xué)、同鄉(xiāng)、校友、經(jīng)歷等2、通過(guò)互惠原理騙取好處投桃報(bào)李：給予小恩惠，索取小回報(bào)拒絕-退讓式：先A要求，再B要求，A遠(yuǎn)大于B11.2社會(huì)工程攻擊的形式11.2.3施加影響3、通過(guò)社會(huì)認(rèn)同來(lái)施加影響快樂(lè)大本營(yíng)等節(jié)目的笑聲好評(píng)多的物品，一定好餐館人多的，一定是好餐館都喜歡和熟悉的人呆在一起4、通過(guò)威權(quán)來(lái)施加壓力專家、總裁秘書(shū)、某個(gè)官威脅、恐嚇。。。11.2社會(huì)工程攻擊的手法5、施加影響案例：另類獲取密碼的方法11.2.3施加影響滲透測(cè)試者：真的不錯(cuò)，我聽(tīng)說(shuō)，有些公司也強(qiáng)制實(shí)施這樣的策略，但員工可能會(huì)寫(xiě)下他們的口令，并把它放在某個(gè)地方，你們公司存在這樣的問(wèn)題嗎？受騙用戶：哈哈哈．是的，總是滋生這樣的情況我希望能蝣杜絕發(fā)生這樣的事情．我敢打賭．我們的用戶中有50％上的用戶會(huì)把口令寫(xiě)在他們辦公桌的某個(gè)地方。測(cè)試者：到目前為止，你為保護(hù)你的基礎(chǔ)設(shè)施的安全采取的步驟給我留下了很深刻的印象。(拍馬屁是打開(kāi)更多信息大門的第一步，)

受騙用戶：謝謝，在我們公司，我們把安全看得十分重要。滲透測(cè)試者：我已經(jīng)感受到了。你們公司強(qiáng)制實(shí)施什么安全策略了嗎？受騙用戶：嗯，當(dāng)然，我們制定了可接受的互聯(lián)網(wǎng)策略和口令策略，公司的所有員工在進(jìn)入公司時(shí)都要簽署這些策略。滲透測(cè)試者：很不錯(cuò)．詳細(xì)談一談，這很有意思。

受騙用戶：嗯，例如，我們的口令策略要求所有用戶的口令至少要八個(gè)字符長(zhǎng)．并且同時(shí)包含字母和數(shù)字。要求口令每三個(gè)月就要更換一次口令。11.2社會(huì)工程攻擊的手法1、反向社會(huì)工程讓被攻擊者求助于攻擊者破壞->發(fā)送廣告->接受你的服務(wù)->安裝后門11.2.4其他手法2、密碼心理學(xué)中文姓名拼音、常用數(shù)字（123456、1314、520）、生日。。。11.2社會(huì)工程攻擊的手法3、網(wǎng)絡(luò)釣魚(yú)（Phishing）是通過(guò)大量發(fā)送聲稱來(lái)自于銀行或其他知名機(jī)構(gòu)的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息（如用戶名、口令、帳號(hào)ID、ATMPIN碼或信用卡詳細(xì)信息）的一種攻擊方式。11.2.4其他手法4、調(diào)虎離山例：押款車既定的路線設(shè)置了重重安防，如果讓其被迫改道，則實(shí)施攻擊就容易多了。如果你電腦上有機(jī)密資料，想要獲取的有心人可以臨時(shí)叫你出去喝杯咖啡，另外的人就可以在其之上進(jìn)行信息偷竊。11.2社會(huì)工程攻擊的手法5、下餌（Phishing）軟件下載各種附件（郵件、QQ群里等）各種資源（如鳥(niǎo)國(guó)愛(ài)情動(dòng)作片、XX行業(yè)或公司薪資實(shí)名大揭秘、黑客工具集合）11.2.4其他手法11.3社會(huì)工程攻擊的綜合案例1、概述某個(gè)聰明的獵頭小黑需要搞到一家大公司研發(fā)部門的通訊錄。為了達(dá)到目的，小黑決定采取一些社會(huì)工程學(xué)的技巧。案例1獵頭獲取通訊錄2、突破口前臺(tái)、研發(fā)部秘書(shū)（被培訓(xùn)得樂(lè)于助人嘛）11.3社會(huì)工程攻擊的綜合案例3、步驟獲取前臺(tái)Email地址——信息收集，前臺(tái)郵箱地址是不敏感信息搞定研發(fā)秘書(shū)——打電話給研發(fā)部秘書(shū)（弄到電話不難吧），謊稱自己是總裁秘書(shū)或別的什么有點(diǎn)威權(quán)的人，急需一份研發(fā)人員的清單，并發(fā)送給前臺(tái)。（重點(diǎn)：假冒、威權(quán)、焦急、發(fā)前臺(tái)）搞定前臺(tái)——打電話給前臺(tái)、收郵件、打印傳真到某個(gè)號(hào)碼案例1獵頭獲取通訊錄前臺(tái)：你好，哪位？小黑：我是總裁辦的XXX秘書(shū)。前臺(tái)：你有什么事情嗎？小黑：我正陪同XX副總裁在某處開(kāi)會(huì)，XX副總裁需要一份資料。我已經(jīng)找人整理好了，等一下會(huì)發(fā)到你的郵箱。你收到之后，請(qǐng)幫忙傳真到XXXXXXXX號(hào)碼。前臺(tái)：好的。還有其它事情嗎？小黑：沒(méi)有了，多謝！11.3社會(huì)工程攻擊的綜合案例1、概述某商業(yè)間諜兼資深黑客小黑需要搞到某大公司內(nèi)部的財(cái)務(wù)報(bào)表（可以賣大價(jià)錢哦）。由于這個(gè)財(cái)務(wù)報(bào)表是很敏感的資料，只有財(cái)務(wù)部的少數(shù)主管才能看到這些報(bào)表。而財(cái)務(wù)部的主管，肯定都知道這些報(bào)表的重要性。所以，小黑再想用"案例1"的伎倆是行不通滴。案例2間諜搞到財(cái)務(wù)報(bào)表2、突破口財(cái)務(wù)部主管小白的電腦、植入木馬11.3社會(huì)工程攻擊的綜合案例3、步驟1）準(zhǔn)備階段主要辦三件事：首先，想辦法搞到公司的通訊簿。通過(guò)案例1，大伙兒應(yīng)該知道這個(gè)不難辦到；然后，通過(guò)各種途徑（具體的途徑，請(qǐng)看之前的“信息收集”）了解該公司內(nèi)部的一些情況（尤其是IT支持部和財(cái)務(wù)部的人員情況）；最后，用化名去開(kāi)通一個(gè)手機(jī)（有經(jīng)驗(yàn)的攻擊者肯定用假名，以免被抓）。案例2間諜搞到財(cái)務(wù)報(bào)表11.3社會(huì)工程攻擊的綜合案例3、步驟2）忽悠財(cái)務(wù)主管小白：搞到電話號(hào)碼和IT部情況，打電話給財(cái)務(wù)主管小白。案例2間諜搞到財(cái)務(wù)報(bào)表小白：你好，哪位？小黑：我是IT支持部的張三。你是財(cái)務(wù)部的主管小白吧？小白：對(duì)的。有啥事兒？小黑：最近幾天，你們財(cái)務(wù)部的網(wǎng)絡(luò)正常嗎？有沒(méi)有感覺(jué)網(wǎng)絡(luò)時(shí)斷時(shí)續(xù)的？小白：好像沒(méi)有嘛。小黑：有幾個(gè)其它的部門反映網(wǎng)絡(luò)不正常，所以我來(lái)問(wèn)問(wèn)你們的情況。如果這幾天你碰到網(wǎng)絡(luò)異常，請(qǐng)打電話給我。我最近忙著處理電腦網(wǎng)絡(luò)的故障，不經(jīng)常在座位上。你可以打我的手機(jī)，號(hào)碼小白：好的，我記一下。小黑：另外，我想確認(rèn)一下你電腦的網(wǎng)絡(luò)端口號(hào)。小白：什么是“網(wǎng)絡(luò)端口號(hào)”？小黑：你先找到你電腦的網(wǎng)線，在網(wǎng)線插在墻上的地方應(yīng)該貼個(gè)標(biāo)簽，那上面的寫(xiě)的號(hào)碼就是你電腦的“網(wǎng)絡(luò)端口號(hào)”。你把上面的號(hào)碼告訴我。小白：等一下，我看一下......哦，看到了，上面寫(xiě)著“A1B2C3”。小黑：嗯，很好。我只是例行確認(rèn)一下。祝你工作愉快。再見(jiàn)。11.3社會(huì)工程攻擊的綜合案例3、步驟3）欺騙IT支持部：等2~3天，打電話給IT支持部的某工程師李四（管理路由器、交換機(jī)）。小黑謊稱自己是新來(lái)的網(wǎng)絡(luò)工程師小黑說(shuō)自己正在財(cái)務(wù)辦公室?guī)托“着挪榫W(wǎng)絡(luò)問(wèn)題，請(qǐng)李四幫忙把網(wǎng)絡(luò)端口號(hào)為“A1B2C3”的網(wǎng)絡(luò)連接斷開(kāi)。（對(duì)李四而言，由于對(duì)方能準(zhǔn)確說(shuō)出小白的姓名以及小白電腦的網(wǎng)絡(luò)端口號(hào)，所以李四就相信了他的話，并按照要求把對(duì)應(yīng)的網(wǎng)絡(luò)連接斷開(kāi)。）案例2間諜搞到財(cái)務(wù)報(bào)表11.3社會(huì)工程攻擊的綜合案例3、步驟4）等待魚(yú)兒上鉤：打完這個(gè)電話之后，接下來(lái)小黑就稍息片刻，等著財(cái)務(wù)主管小白的電話。果然，不出幾分鐘，小白就打了他的手機(jī)。案例2間諜搞到財(cái)務(wù)報(bào)表小黑：你好，我是IT支持部的張三。你是哪位？小白：我是財(cái)務(wù)部的小白主管。前幾天你給我打過(guò)電話的，還記得嗎？今天網(wǎng)絡(luò)果然出問(wèn)題了。所以打你電話找你幫忙。小黑：哦，是嗎？那我?guī)湍悴橐幌?，?yīng)該很快能搞定的。大約十分鐘之后，小黑重新打給IT支持部的李四，讓他把端口號(hào)為“A1B2C3”的網(wǎng)絡(luò)連接重新開(kāi)通。11.3社會(huì)工程攻擊的綜合案例3、步驟3）大功告成：網(wǎng)絡(luò)重新開(kāi)通之后，小黑又打給小白。。案例2間諜搞到財(cái)務(wù)報(bào)表小白：你好，哪位？小黑：我是IT支持部